价值23000美元的uber用户信息泄露漏洞

iso60001  98天前

22.png

对于现在的互联网大公司来说,不断会有大量新资产和基础设施部署在互联网上,同时也有不少旧资产下架。而伴随着这种资产和设施的不停变动,传统的安全管理方法似乎不再好用。我们经常发现,随着资产设施的变化,同一个位置可能会出现以前从未发现的漏洞。

当我们在测试一个uber的子域时,就发现了这种情况。这个子域是由Uber漏洞平台的Assetnote安全团队发现的,子域为exacttarget-web-hook.uber.com

在以前相当长的时间内,如果你访问它,只会返回了一个由Express.js的Web服务生成的“Not Found”错误。

然而,出乎意料的是,在某一天,这个子域突然返回了一个系统页面,似乎是Uber信息个性化系统的一个全面内部测试平台:

33.png

乍一看,该页面像是一个API控制台,用于测试一些包含用户个性化设置的文本消息。

我们尝试使用上图中“Test Contact Key”这个测试项,但未能使API正常工作。经过研究,我们认为contactKey这个参数应该是一个经过身份验证的帐户的UUID,而不是API控制台上提供的UUID。于是,我们登录了uber,从https://riders.uber.com/profile的页面源码中提取了帐户的UUID。

将上一步获得的UUID填入参数contactKey,然后我们成功发送了api请求到预览处:

正如上面的图片所示,你可以看到一个预览的截图:通过对语法的研究,再结合子域名exacttarget-web-hook的含义,我们发现上述页面左下角的代码实际上是AMPsc ript

AMPsc ript作为一种脚本语言,可以嵌入HTML电子邮件、文本电子邮件、登录页面和短消息中,控制向不同消费者显示的内容。AMPsc ript由ExactTarget开发,而后于2013年被Salesforce收购。

使用API控制台中提供示例AMPsc ript会显示失败,因此我们开始研究使用方法,并很快发送了一个http的get请求,如下图,其中AMPsc ript的脚本是%%=HTTPGet('https://ipinfo.io')=%%

44.png

很好!我们似乎能够使用任意的AMPsc ript!但是,我们发送的get请求并不是来自Uber的服务器,它实际上是来自AS22606 ExactTarget,Inc.的,如上面的图片所示。

为了展示这个漏洞,我们从名为driver_partners的数据扩展中提取了用户数据。数据扩展指的是可以被AMPsc ript的数据扩展函数所访问的数据库表。

通过阅读有关LookupRows函数的AMPsc ript文档,我们能够创建一个AMPsc ript脚本呢,它可以执行以下操作:

  1. driver_partners数据扩展中搜索firstname等于Shubs的所有数据行。

  2. 将查询结果存储到数组中。

  3. 迭代数组并打印。

最终,当这个AMPsc ript被发送到预览端点时,你可以在响应中看到UUID、加入日期、电子邮件地址以及每个姓为Shubs的用户的名字。

请求和响应:

55.png

最终如上图所示,我收到了许多名为Shub的用户的详细信息(我已经修改了屏幕截图,只显示了我的测试帐户)。至此,攻击者可以利用AMPsc ript提取大量用户数据,或者通过名字搜索Uber用户中的特定人员,并获得其UUID和电子邮件地址。

我在发现这个漏洞时,正好赶上HackerOne做活动,我们的漏洞报告成为在活动期间“最具影响力的报告”,并获得了20000美元的额外奖金,最后这个漏洞给我们带来了23000美元的收益。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://blog.assetnote.io/bug-bounty/2019/01/14/gaining-access-to-ubers-user-data-through-ampsc ript-evaluation/

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋

nosec.org All Rights Reserved 京ICP备15042518号