{"draftJsState":{"blocks":[{"data":{"image":{"id":"67842b0d881e6458cc81fc87"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Человечик угоняет ваш аккаунт!","type":"atomic:image","key":"21dpp"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":0,"style":"BOLD"}],"text":"Дисклеймер","type":"unstyled","key":"82rer"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Информация, представленная в данной статье, предназначена исключительно для образовательных и информационных целей. Автор не несет ответственности за использование представленных сведений в противоправных или неэтичных целях.","type":"unstyled","key":"7ecf0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Применение полученных знаний должно осуществляться строго в рамках действующего законодательства и исключительно для повышения уровня безопасности информационных систем, защиты данных и предотвращения возможных атак.","type":"unstyled","key":"9th3n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":84,"style":"BOLD"}],"text":"Используйте информацию ответственно, уважая права и конфиденциальность других лиц;\n\nПродолжаем\nНу что продолжаем. Начинаем с метода детектирования. Но спустимся немного ниже, какие типы популярные типы запросов у нас существуют?\n\nВерно, GET, POST, PUT, DELETE;\nОстановимся поподробнее на парочке GET/POST;","type":"unstyled","key":"9mab8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":81,"offset":137,"style":"ITALIC"}],"text":"Важно помнить, что запрос GET передает параметры в URL; (Зачастую используется для получения данных с сервера):\ncurl vk.com/fake_page \n\nТут включается душнила, curl без спец параметров -X, по умолчанию отправляет GET\n\nPOST запрос передает данные в теле http запроса;\ncurl vk.com/fake_page -d \"{\"foo\":\"bar\"}\"","type":"unstyled","key":"40dfs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":68,"offset":0,"style":"ITALIC"}],"text":"В данном случае -d определяет тело запроса, отправляемого на сервер;","type":"unstyled","key":"fbqjn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":0,"style":"BOLD"}],"text":"CSRF-token\nВ предыдущей статье запрос на смену почты в случае использования тега img использовал метод GET, но обычно штуки вроде смены почты реализую на методах POST, также к ним добавляют проверку csrf, чтобы удостовериться что запрос не был подделан (но это не единственный метод проверки подделки запроса);\n\nЭто такая штука, которая добавляется \"каждый раз\" на различные формы, например на смену почты:","type":"unstyled","key":"2enfd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"clpo9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\nЧувствуете к чему я виду, верно 2 новые возможности, первое это проверить, а действительно ли POST запросом едины, это можно сделать, изменив тип запроса например на несуществующий PPP, тогда есть возможность увидеть в хедерах ответа поддерживаемые методы запроса;\n","type":"unstyled","key":"eff9c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Запрос:\nPPP /my-account/change-email HTTP/2\nHost: 0a5e007703028bb680e8a36500660001.web-security-academy.net\nCookie: session=Eud9WAIBCrRud9znXYaW6omV3EjfxBuo\nContent-Length: 15\nCache-Control: max-age=0\n\nВ ответе может прилететь хедер по типу:\nAccess-Control-Request-Method: GET,POST,HEAD","type":"blockquote","key":"2ul5p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Видите мякотку, из ответа можно предположить что сервис поддерживает GET запрос, а также возможно что вместо тело запроса в POST, можно указать запрос в URL ","type":"blockquote","key":"b9d0i"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":51,"offset":1268}],"inlineStyleRanges":[{"length":8,"offset":630,"style":"BOLD"}],"text":"Второй момент, который есть - это csrf токен, механизм призванный противостоять подделке запросов, но включен ли сам этот запрос?\n\nЭто очень хороший вопрос, проверить это можно отловив запрос с csrf токеном, тут нужно проверить парочку вещей (это техники, которые можно попробовать проверить):\n\n1) Можно ли запихнуть аброкадабру в токен; (узнать валидация на двух точках? фронтенд/бэкенд)\n\n2) Убрать токен из запроса и посмотреть что будет; (схлопотать ошибку или запрос пройдет?)\n\n3) Проверить, отзываются ли токены; (попробовать скопировать csrf токен от одного пользователя (\"аккаунта злоумышленника\") и подсунуть его жертве)\n\nCSRF-key\nА иногда такое бывает, что у нас есть CSRF-key, это уже кука, которая к нам прилетает в хранилище и валидация запроса происходит совместно, csrf-token/key;\nТут мы уже залезаем плавненько в тему с куками, чтобы не углубляться покажу сразу POC с атакой crlf:\n\nhttps://example.com/?search=test%0d%0aSet-Cookie:%20csrf=fake%3b%20SameSite=None\n\nСамое интересное, мы отключаем политику на видимость куки и перебиваем её жертве (Пока не парьтесь, SameSite будет разобран в следующей статье);\nТаким образом если приложение уязвимо к атаке crlf, мы можем объединить её с нашим POC к crlf и подломить ;)\n\nПочитать подробнее по crlf атаку: https://habr.com/ru/companies/otus/articles/512226/\n\nЧуть глубже при первом просмотре:\nОбычный запрос на смену почты:\n\nPOST /email/change HTTP/1.1\nHost: vulnerable-website.com\nContent-Type: application/x-www-form-urlencoded\nContent-Length: 68\nCookie: session=pSJYSScWKpmC60LpFOAHKixuFuM4uXWF; csrfKey=rZHCnSzEp8dbI6atzagGoSYyqJqTz5dv\n\ncsrf=RhV7yQDO0xcq9gLEah2WVbmuFqyOq7tY&email=wiener@normal-user.com","type":"unstyled","key":"6m5mk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\nВидите тут csrfKey это кукис, а токен передается в теле POST запроса (разработчики могут добавить функционал проверки, но могут забыть проверить саму корректность механизма и отставить дыру в приложении)\n\nВредоносный poc:\n\n","type":"unstyled","key":"sohf"},{"data":{},"depth":0,"entityRanges":[{"key":1,"length":34,"offset":767},{"key":2,"length":27,"offset":822},{"key":3,"length":37,"offset":862}],"inlineStyleRanges":[],"text":"\n\n

\n\n\n\nПользак, который попадёт на данную страничку будет обречен ;) \nУвидимся в следующих статьях;\n===\nЕсли у вас есть вопросы, а также пожелания, пожалуйста оставьте свой комментарий;\nПредыдущая статья:https://dzen.ru/a/Z4QdIlP_PEbuVsI-\nМой канал телеграм: https://t.me/devops_talk1ng\nЮтуб канал: https://www.youtube.com/@devops_vault","type":"unstyled","key":"7vs6n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"vpTKp0QXxpDMKemjsUD7"}],"entityMap":{"0":{"data":{"url":"https://habr.com/ru/companies/otus/articles/512226/"},"mutability":"MUTABLE","type":"LINK"},"1":{"data":{"badSeoLink":"true","url":"https://dzen.ru/a/Z4QdIlP_PEbuVsI-"},"mutability":"MUTABLE","type":"LINK"},"2":{"data":{"url":"https://dzen.ru/away?to=https%3A%2F%2Ft.me%2Fdevops_talk1ng"},"mutability":"MUTABLE","type":"LINK"},"3":{"data":{"url":"https://dzen.ru/away?to=https%3A%2F%2Fwww.youtube.com%2F%40devops_vault"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}