Иван Чалыкин (Россия), Digital Security. Легальный SOP Bypass. Проблемы внедрения CORS-подобных технологий
- 1. ИВАН ЧАЛЫКИН “Легальный SOP Bypass. Проблемы внедрения CORS-подобных технологий”
- 2. Agenda 2
- 3. SOP 3
- 4. SOP 4
- 5. SOP 5
- 6. SOP 6
- 7. SOP 7 Same Origin Policy • Scheme • Domain • Port Что можно? • Отправить GET/POST запрос с куками Что нельзя? • Прочитать ответ на запрос
- 8. SOP 8 Same Origin Policy • Scheme • Domain • Port
- 9. We need SOP bypass 9 Когда может потребоваться обмен данными разным доменам? Авторизовать пользователя на другом домене «куковый» домен “example.com”, надо дать возможность комментировать и на коротком домене “exam.pl”
- 10. We need SOP bypass 10 Когда может потребоваться обмен данными разным доменам? Авторизовать пользователя на другом домене «куковый» домен “example.com”, надо дать возможность комментировать и на коротком домене “exam.pl” Разрешить одному поддомену забрать данные с другого “mail.example.com” хочет подгрузить информацию с “disk.example.com”
- 11. We need SOP bypass 11 Когда может потребоваться обмен данными разным доменам? Авторизовать пользователя на другом домене «куковый» домен “example.com”, надо дать возможность комментировать и на коротком домене “exam.pl” Разрешить одному поддомену забрать данные с другого “mail.example.com” хочет подгрузить информацию с “disk.example.com” Узнать количество лайков в социальной сети “shop.com” хочет показать сколько пользователей “VK.com” дизлайкнули товар
- 12. 1. JSONP 12
- 13. JSONP 13 2011 год… • Выходят фильмы: «1+1 Intochables», «Гарри поттер и Дары Смерти II» • 50-летие полета человека в космос • Умирает Стив Джобс • Появляется Internet Explorer 9 - Поддерживает ли IE9 CORS (ajax)? - Нет.
- 14. JSONP 14
- 15. JSONP 15
- 16. JSONP 16
- 17. JSONP 17 Хороший пример: Токен присутствует, зла не совершить.
- 18. 18 Плохой пример: Токен отсутствует, возможно зло: JSONP or XSSI
- 19. JSONP or XSSI 19 - А давайте формировать JS динамически, на основе сессии! - Да, что может пойти не так? Мы разместим там: Cross Site Script Inclusion • Почту пользователя; • Логин, ФИО, день рождения; • Токены CSRF; • Иную чувствительную информацию. Blackhat 2015, ”Your Script in my Page”. Из 150 популярных сайтов 30% оказались так или иначе уязвимы. <script src="http://victim.com/any_script.js"></script>
- 20. JSONP or XSSI 20 • Есть ли в запросе csrf токен? (лучше всего) • Если токена нет, хотя бы реферер проверяется? (так себе) • Имя callback функции валидируется? (A-Z, a-z, 0-9) • Меняется ли JS в зависимости от сессии? Что-нибудь интересное? Ладно, что проверять?
- 21. 21 2. websockets
- 22. websockets Tunnel arbitrary data • JSON • XML • HTML − images, video, sound • another protocol 22
- 23. websockets 23 Tunnel arbitrary data • JSON • XML • HTML − images, video, sound • another protocol
- 26. websockets Аутентификация: • Cookies (идеально хацкеру) • GET param/custom-header token (идеально СИБ) 26 Что можно сделать? • Hijacking (no origin check + cookie auth) • DoS Server via Resource exhaustion (Client declares 2GB length, only contains a few bytes) • Стандартные баги связанные с кавычками
- 29. websockets • ws:// не бро, wss:// бро • CHECK THE ORIGIN (By default, Socket.IO allows all origins) • CSP “connect-src” ограничит куда можно подключаться • Как всегда: санитайзим пользовательский инпут https://media.blackhat.com/bh-us-12/Briefings/Shekyan/BH_US_12_Shekyan_Toukharian_Hacking_Websocket_Slides.pdf https://www.theseus.fi/bitstream/handle/10024/113390/Harri+Kuosmanen+-+Masters+thesis+-+Security+Testing+of+WebSockets+-+Final.pdf?sequence=1 29 Ладно, что проверять?
- 31. postMessage Общение между вкладками. Окнами. Айфреймами. 31
- 32. postMessage Общение между вкладками. Окнами. Айфреймами. 32
- 33. postMessage Общение между вкладками. Окнами. Айфреймами. 33
- 34. postMessage 34
- 35. postMessage 35
- 36. postMessage 36
- 37. postMessage 37
- 38. postMessage 38
- 39. postMessage 39 Можно посмотреть в: > Chrome Dev Tools > Source > Global Listeners > Message
- 40. postMessage 40 Можно посмотреть в: > Chrome Dev Tools > Source > Global Listeners > Message postMessage debugger extension:
- 41. postMessage 41 Отправитель должен проверять, куда шлет: Ладно, что проверять?
- 42. postMessage 42 Получатель должен проверить, откуда пришли данные: Отправитель должен проверять, куда шлет: Ладно, что проверять?
- 43. postMessage Плохие примеры 43 ЛастПасс был готов принять месседж от кого угодно. Мессадж попадал в Extension, вызываем LastPass RCP и исполняем код. RCE https://bugs.chromium.org/p/project-zero/issues/detail?id=1209 Slack тоже слушал мессаджи от кого. В итоге была возможность заставить “подключить по WS к вооот такому-то URL, используй собственный токен” LEAK https://labs.detectify.com/2017/02/28/hacking-slack-using-postmessage-and-websocket- reconnect-to-steal-your-precious-token/
- 44. 44 4. CORS
- 45. CORS Основы: 45
- 46. CORS Основы: 46 GET /token HTTP 1.1 Host: example.com Accept: */* User-Agent: Mozilla/5.0 Origin: https://evil.com Cookie: sessid=139f91391k9 HTTP/1.1 200 OK Server: nginx/1.8.1 Content-Type: application/json Access-Control-Allow-Origin: https://evil.com Access-Control-Allow-Credentials: true {“token”:1337} Но! Access-Control-Allow-Origin: * //если вот так, то куки принудительно отключатся браузером
- 47. CORS Представим, что на сайте example.com меняется пароль так: 47 PUT /api/v1/user/10012 HTTP 1.1 Host: example.com Accept: */* Origin: https://example.com Content-type: application/json Cookie: JSESSION=367ajm23o19da0 {“password”:”sUp3ers3cr3t!”} HTTP/1.1 200 OK Server: nginx/1.8.1 Content-Type: application/json {“status”:”ok”} CORS на сервере отключен («Access-Contol-Allow-Origin» всегда отсутствует, данные не утекут) - А будет ли тут CSRF на смену пароля?
- 48. CORS Представим, что на сайте example.com меняется пароль так: 48 PUT /api/v1/user/10012 HTTP 1.1 Host: example.com Accept: */* Origin: https://example.com Content-type: application/json Cookie: JSESSION=367ajm23o19da0 {“password”:”sUp3ers3cr3t!”} HTTP/1.1 200 OK Server: nginx/1.8.1 Content-Type: application/json {“status”:”ok”} CORS на сервере отключен («Access-Contol-Allow-Origin» всегда отсутствует, данные не утекут) - А будет ли тут CSRF на смену пароля? - Нет. Ибо preflight.
- 49. CORS Prefligh: презапрос для «непростых» реквестов 49 • METHOD != GET || POST || HEAD. • CONTENT-TYPE != application/x-www-form-urlencoded || multipart/form-data ||text/plain • Присутствуют “кастомные” заголовки Method OPTIONS Браузер ожидает: HTTP/1.1 200 OK Access-Control-Allow-Method: методы Access-Control-Allow-Origin: хосты Access-Control-Allow-Headers: заголовки.
- 50. CORS 50 Access-Control-Allowed-Origin: null А что если так?
- 51. CORS 51 Access-Control-Allowed-Origin: null А что если так?
- 52. CORS 52 1) Замена значения заголовка Origin Ладно, что проверять?
- 53. 53 All-In-one