„Apple“ įsilaužėme 3 mėnesius: štai ką radome

Visiškas „Apple Distinguished Educators“ programos kompromisas per autentifikavimą ir autorizaciją

Viena iš pirmųjų paslaugų, kurias praleidome įsilauždami, buvo „Apple Distinguished Educators“ svetainė. Tai buvo tik kvietimų turintis „Jive“ forumas, kuriame vartotojai galėjo patvirtinti savo „Apple“ paskyrą. Kažkas įdomaus šiame forume buvo tas, kad kai kurios pagrindinės „Jive“ funkcijos, skirtos užsiregistruoti programoje, buvo perkeltos per „Apple“ sukurtą pasirinktinį tarpinės programinės įrangos puslapį, kad būtų galima prijungti jų autentifikavimo sistemą (IDMSA) prie pagrindinio „Jive“ forumo, kuriame paprastai buvo naudojamas vartotojo vardas / slaptažodis .

Tai buvo sukurta tam, kad vartotojai galėtų lengvai naudoti jau turimą „Apple“ paskyrą, kad taptų autentiški forume, ir nereikėtų susidurti su papildoma vartotojo paskyra. Jūs paprasčiausiai naudosite „Prisijungti naudodami„ Apple “ir būsite prisijungę prie forumo.

Nukreipimo puslapis vartotojams, kuriems nebuvo leista prisijungti prie forumo, buvo programų portalas, kuriame pateikėte informaciją apie save, kurią forumo moderatoriai įvertino patvirtinti.

Kai pateikėte paraišką naudotis forumu, pateikėte beveik visas savo paskyros vertes, tarsi įprastai registruotumėtės „Jive“ forume. Tai leistų „Jive“ forumui sužinoti, kas jūs buvote pagal savo IDMSA slapuką, nes jis susiejo jūsų „Apple“ paskyrai priklausantį el. Pašto adresą su forumu.

Viena iš reikšmių, kuri buvo paslėpta programos puslapyje norint užsiregistruoti naudoti forumą, buvo laukas „slaptažodis“ su reikšme „### NETEISINGA #%! 3“. Kai pateikėte paraišką, kurioje buvo jūsų vartotojo vardas, vardas ir pavardė, el. Pašto adresas ir darbdavys, jūs taip pat pateikėte „slaptažodžio“ vertę, kuri tada buvo slapta susieta su jūsų paskyra, gaunama iš paslėpto puslapio įvesties lauko.

<div class="j-form-row">
<input id="password" type="hidden" value="###INvALID#%!3">
<div id="jive-pw-strength">
...

Stebėdami paslėptą numatytojo slaptažodžio lauką, mes nedelsdami sugalvojome rasti būdą, kaip rankiniu būdu autentifikuotis programoje ir pasiekti patvirtintą forumo paskyrą, užuot bandžius prisijungti naudojant „Sign In With Apple“ sistemą. Mes tai ištyrėme, nes slaptažodžiai buvo vienodi kiekvienam iš mūsų atskirose registracijose.

Jei kas nors būtų naudojęsis šia sistema ir egzistuotų funkcionalumas, kurį galėtumėte neautomatiškai patvirtinti, galite tiesiog prisijungti prie jo paskyros naudodami numatytąjį slaptažodį ir visiškai apeiti „Prisijungti naudojant„ Apple “prisijungimą.

Iš greito žvilgsnio neatrodė, kad jūs galėtumėte autentifikuoti rankiniu būdu, tačiau po kelių „Google“ paieškų mes nustatėme „cs_login“ galinį tašką, skirtą prisijungti prie „Jive“ programų vartotojo vardo ir slaptažodžio. Kai rankiniu būdu suformavome bandomąją HTTP užklausą autentifikuoti „Apple Distinguished Developers“ programoje, mes nustatėme, kad ji bandė mus autentifikuoti pateikdama neteisingą slaptažodžio klaidą. Kai naudojome savo sąskaitas, su kuriomis anksčiau kreipėmės, paraiška suklydo ir neleido mums patvirtinti tapatybės, nes dar nebuvo patvirtinti. Jei norėtume patvirtinti, turėtume rasti jau patvirtinto nario vartotojo vardą.

Šiuo metu mes įkėlėme HTTP užklausą į „Burp Suite“ įsibrovėlį ir bandėme sugadinti vartotojo vardus nuo 1 iki 3 simbolių per prisijungimo ir numatytąjį slaptažodį.

Maždaug po dviejų minučių gavome 302 atsakymą, nurodantį sėkmingą prisijungimą prie vartotojo su 3 simbolių vartotojo vardu, naudojant anksčiau nustatytą numatytąjį slaptažodį. Mes buvome! Nuo šio momento mūsų kitas tikslas buvo patvirtinti tapatybę kaip turintiems padidintus leidimus. Mes padarėme keletą prieigos ekrano kopijų ir spustelėjome sąrašą „Vartotojai“, kad pamatytumėte, kurie vartotojai yra administratoriai. Mes prisijungėme prie pirmosios paskyros, kurią pamatėme sąraše, bandydami įrodyti, kad galime pasiekti nuotolinį kodo vykdymą naudodamiesi administravimo funkcijomis, tačiau vis tiek laukė kelios kliūtys.

Bandant naršyti „/ admin /“ („Jive“ administratoriaus pultas) kaip administratoriaus paskyrą, programa nukreipė prisijungti taip, tarsi mes dar nebūtų patvirtinti. Tai buvo keista, nes tai buvo įprastas „Jive“ programos elgesys, ir niekas iš mūsų to anksčiau nepastebėjo. Spėjome, kad „Apple“ apribojo administravimo pultą pagal IP adresą, kad įsitikintų, jog niekada nebuvo visiškai pažeista programa.

Vienas iš pirmųjų dalykų, kuriuos išbandėme, buvo antraštės „X-Forwarded-For“ panaudojimas norint apeiti hipotetinį apribojimą, tačiau, deja, tai nepavyko. Kitas dalykas, kurį mes bandėme, buvo įkelti kitą „/ admin /“ formą, jei programa turėjo tam tikrus kelio juoduosius sąrašus, kad galėtų pasiekti administratoriaus konsolę.

Po vos kelių HTTP užklausų supratome, kad „GET / admin; /“ leis užpuolikui pasiekti administravimo pultą. Mes automatizavome šį apėjimą nustatydami „Burp Suite“ taisyklę, kuri mūsų HTTP užklausose automatiškai pakeitė „GET / POST / admin /“ į „GET / POST / admin; /“.

Kai pagaliau naršėme ir įkėlėme administravimo pultą, iškart buvo aišku, kad kažkas ne taip. Mes neturėjome prieigos prie įprastos funkcijos, kuri parodytų nuotolinį kodo vykdymą (nebuvo nei šablonų, nei įskiepių įkėlimo, nei standartinės administravimo derinimo funkcijos).

Šiuo metu mes nustojome galvoti apie savo buvimo vietą ir supratome, kad paskyra, kurią patvirtinome, gali būti ne „pagrindinis“ programos administratorius. Mes atėjome ir patvirtinome dar 2-3 paskyras, kol galiausiai autentifikavome kaip pagrindinį administratorių ir pamatėme funkciją, kuri leistų nuotoliniu būdu vykdyti kodą.

Užpuolikas galėjo (1) apeiti autentifikavimą rankiniu būdu autentifikuodamas naudodamas paslėptą numatytąją prisijungimo funkciją, tada (2) prieiti prie administravimo pulto siųsdamas modifikuotą HTTP kelią užklausoje ir galiausiai (3) visiškai sugadinti programą naudodamas vieną iš daugelio „keptų RCE“ funkcijų, tokių kaip įskiepių įkėlimas, šablonai ar failų valdymas.

Apskritai tai būtų leidę užpuolikui …

• Vykdykite savavališkas komandas ade.apple.com žiniatinklio serveryje
• Pasiekite vidinę LDAP paslaugą, kad galėtumėte valdyti vartotojo abonementus
• Pasiekite daugumą „Apple“ vidinio tinklo

Šiuo metu mes baigėme ataskaitą ir viską pateikėme.

Visiškas „DELMIA Apriso“ programos kompromisas per autentifikavimo aplinkkelį

Apie tai, apie ką daug galvojome įsilauždami „Apple“, buvo tai, ar jie turi kokių nors prieinamų paslaugų, susijusių su savo produktų gamyba ir platinimu. Kaip paaiškėjo, buvo programa, vadinama „DELMIA Apriso“, kuri buvo trečiosios šalies „Global Manufacturing Suite“, teikianti įvairius sandėlio sprendimus.

Deja, neatrodė, kad technologijai yra daug prieinamos sąveikos, nes „prisijungti“ ir „iš naujo nustatyti slaptažodį“ galite tik iš galimų sąsajų.

Bandžiusi rasti pažeidžiamumą ribotame puslapių skaičiuje, kažkas …