LinkedIn.com中存储型xss(嵌入未经验证的Open Graph）

最新推荐文章于 2024-04-24 15:32:10 发布

niexinming

最新推荐文章于 2024-04-24 15:32:10 发布

阅读量2.9w

点赞数

分类专栏：外文翻译

外文翻译专栏收录该内容

31 篇文章 5 订阅

订阅专栏

翻译自：https://medium.com/@jonathanbouman/persistent-xss-unvalidated-open-graph-embed-at-linkedin-com-db6188acedd9
翻译：聂心明

你想参加私有众测？我很乐意邀请你，请联系我Jonathan@Protozoan.nl

背景

在我的上一篇文章中，我们已经学到存储型xss中的特殊类型。这次攻击允许我们通过操作oEmbed功能去注入HTML和JavaScript。
oEmbed是一种开放的格式，它允许从其他网站插入内容。大多数富文本平台支持标准的oEmbed。比如，你会很容易的在你Wordpress博客的文章中通过粘贴一段 Vimeo的视频链接来添加一段视频。Wordpress将把链接转换成HTML。这段HTML加载视频播放器，然后播放指定的视频。

如果我粘贴我的推特的链接到这篇文章中，那么Medium就会创建一段带我照片的简介。这就是oEmbed的功能。在我们知道这些之前，它们有一个很严重的漏洞，允许用户插入未经验证的oEmbeds。

另一种方式就是通过 Open Graph 协议来嵌入一个假的富文本。一个网站在页面上添加Open Graph标签，目的是指定你插入的内容类型。

在用户嵌入内容之前，大多数平台会检查指定的oEmbed和Open Graph标签。网站会遵守特殊的规则。然后网站会检查所有的标签，以决定是否嵌入其中或者以怎样的方式嵌入其中。

还有一个有利条件是，独自不需要离开博客去查看富文本内容（比如：视频，图片，表演）。还可以插入像Vimeo和Youtube等视频平台的链接，也可以提高他们的播放量和点击率。

大多数平台允许你嵌入一些其他的内容，但是它们会有域名的白名单。看一下 Wordpress的做法。你想把你的HTML注入到平台中，这可能有点难度。

但是如果白名单的实现出现了错误，那么我们就可以把我们的恶意代码注入到我们的目标平台上去，那么这样的错误是什么呢？

我们已经证明了oEmbed中的漏洞，现在我们看看能不能利用这个技巧来操纵Open Graph标签呢？让我们试试。

选取目标

今天我们应该选谁好呢？你说LinkedIn？好主意。当我想联系我关注的研究员时，LinkedIn是我最喜欢的去的地方。而且上面有大量的CEO/CTO/CTTO/CNYANCATO。所以当我报告一个漏洞时（例如没有安全负责人的平台）。我就会快速的联系到那个网站的负责人，给他们的经理直接发送一个消息就足够了：”嘿，你的网站有漏洞了，你快去看一下。你的技术支持还在睡觉。“

这里我插一句嘴，LinkedIn是一个有一个非常负责任的漏洞披露平台，它们甚至也有私有众测项目

让我们给他们报告一个漏洞，然后争取参加私有众测的机会吧

识别目标

博客，这就是我想要寻找的地方，这里允许我们插入一些额外的内容。对LinkedIn 文章说hello。通过访问你的动态然后点击 Write an Article 这个按钮，你就会打开这部分功能。

我们访问到了一个看起来比较干净的编辑器，这里允许我们去写我们的第一篇文章，这个文章由标题和内容组成。我们移动鼠标到下面的小图标中，这里有一些可以添加图片和视频的功能。

点击这个小图标，我们点开添加链接的按钮，然后在我们的博客中添加富文本内容。

插入请求

是时候打开 Burp Suite 然后观察我们的数据传输，当我们填入链接的时候到底发生了什么？

我们看到LinkedIn把我们的url转换成了HTML代码。返回报文被url编码了，下面是解码的结果：

{“embedIframe”:”<iframe src=\”https://www.linkedin.com/pulse/api/edit/embed?embed={"request":{"originalUrl":"https://www.youtube.com/watch?v=9hWgA7qjK2c","finalUrl":"https://www.youtube.com/watch?v=9hWgA7qjK2c"},"images":[{"width":480,"url":"https://i.ytimg.com/vi/9hWgA7qjK2c/hqdefault.jpg","height":360},{"width":1920,"url":"https://i.ytimg.com/vi/9hWgA7qjK2c/maxresdefault.jpg","height":1080}],"data":{"com.linkedin.treasury.Video":{"width":480,"html":"<iframe scrolling=\”no\” allowfullscreen src=\”//media.licdn.com/embeds/media.html?src=https://www.youtube.com/embed/9hWgA7qjK2c?feature=oembed&amp;url=https://www.youtube.com/watch?v=9hWgA7qjK2c&amp;type=text/html&amp;schema=youtube\" width=\”480\” frameborder=\”0\” class=\”embedly-embed\” height=\”270\” />”,”height”:270}},”provider”:{“display”:”YouTube”,”name”:”YouTube”,”url”:”https://www.youtube.com/"},"author":{"name":"321 Relaxing — Meditation Relax Clips”},”description”:{“localized”:{“en_US”:”Rain HD video and forest, relaxing rain sounds and forest sounds for sleeping meditation. Nature sounds relaxation. Rainforest sounds: https://www.youtube.co..."}},"title":{"localized":{"en_US":"Rain Sounds and Forest Sounds — Relaxing Sleep”}},”type”:”video”}&signature=AcdfNDjBXZOjo2vdz4EOixtGBrlx\”></iframe>”,”universal”:true}

编辑器把它解析成框架，然后放入我们的文章中，结果被放入了三个框架之中，它们中每一个之后都有一个视频播放器。我们继续，然后就看到我们嵌入的YouTube视频 relaxing rain sounds