记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

phpBB从session id泄露到CSRF到XSS(CVE-2019-13376)

2020-06-03 13:01

前言

phpBB是一个论坛软件,使用PHP语言开发的并开放其源码。是模块化设计,具专业性、安全性高、支持多国语系、支持多种数据库和自定义的版面设计等优越性能,而且功能强大。

自2000年发布以来, phpBB已经成为世界上应用最广泛的开源论坛软件。

phpBB 3.2.7版以及之前版本中存在一处安全问题:当管理员从phpBB后台控制面板切换到前台时,系统会将session id存放于访问的前台功能的URL中使得攻击者可以窃取这个session id。由于phpBB的安全限制,攻击者不可以直接利用这个sid登录后台,但是可以协同phpBB后台编辑bbcode页面存在的CSRF漏洞,在目标服务器上实现存储型XSS。

漏洞分析

首先来看一下phpBB的后台,也就是ACP页面

可以发现所有后台功能的url中都会携带着sid(session id)参数:

http://127.0.0.1/phpbb/phpBB/adm/index.php?sid=9c4869b4054e9ff8d4d588c32ffcf7e7&i=1

如果url中sid值错误,即使已经登录后台也无法正常的访问后台页面

phpbb程序这样做的确有着这样做的优点,但也存在着很严重的安全隐患

优点:

在后台功能url中加入sid,相当于增加了一层安全屏障,降低了后台页面出现CSRF漏洞的几率,为什么这样说呢?假使因为开发疏忽,一个表单提交页面没有利用随机数对用户提交的表单进行保护,这通常会导致CSRF漏洞的产生。但是在phpbb应用中,所有的后台功能url中都加入了sid参数且phpbb对sid参数值合法性进行校验,即使攻击者在后台发现了一处没有随机数保护的表单提交页面,但在不知道管理

员sid值的情况下,也无法构造出一个有效的恶意表单提交页面地址

安全隐患:

这样的操作相当于在url中存放了本来只应该出现在cookie中的session id。如果url中的sid被泄露,攻击者有机会利用这个值伪造管理员身份进行登录后台操作(但不一定可以直接利用,这里涉及到phpBB的一个安全机制,后文会讲到)。

注意看,url中的sid值与cookie中的值完全一样,它们都是此用户的session id值

至于cookie中session值的key :phpbb3_qnsnz_sid

这个值在系统安装完成之后是固定的,无论什么身份的用户访问都是这个值

因此,如果管理员访问的url中sid值被泄露,攻击者可以有机会利用这个值构造cookie以便使用管理员身份登录后台

但是如何获取这个暴露在url中sid值呢?

由于phpbb的设计特色:当管理员使用完后台功能后想要切换到前台,后台页面中提供了一个跳转到前台地址的按钮

当管理员点击这个按钮切换到前台时,url中会带有sid

其实前台页面的访问并不需要在url中使用sid,但从后台切换过来后url中会默认带上这个值。这就导致本应该只在后台功能url中出现的管理员sid泄露到了管理员访问的前台功能url中,而这个存在于url中的sid值很容易在前台页面加载远程资源时在HTTP_REFERER中被泄露

例如:在一些phpbb站点中可能会开启远程头像选项

这个功能并不是默认开启的,当此功能开启后,用户可以设置远程头像

程序会在使用这个远程头像的时候将其加载进来

如果管理员此时访问的页面在渲染时加载了攻击者的远程头像,且此时管理员访问的url中带有sid,sid将会被泄露

我们是否可以构造一个恶意的远程图片链接poc,用以接收管理员的sid呢?

首先看一下phpBB在后台程序如何校验远程图片链接,phpBB使用getImageSize对用户添加的远程图片链接进行校验

因此我们可以构造如下poc

poc.php除了需要记录加载该图片请求中的HTTP_REFERER,同时需要将图片进行返回展示

构造远程图片链接

http://x.x.x.x/poc.php?avatar.png

攻击者的头像加载成功

但是如何使得管理员加载这个头像资源呢?

只要给管理员留言,或者评论管理员发布的文章即可

以评论文章为例:当针对管理员发布的文章发表一条评论之后,管理员在前端页面即可收到一个消息提示

点看之后可以看到被加载的头像

但无论管理员点开与否,在phpbb首页加载时,都会远程加载这个资源,HTTP_REFERER都会被发送到攻击者的服务器上

到此为止,攻击者可以顺利获得sid值。但为什么上文说获取了sid值也不一定可以盗用管理员身份登录系统呢?

在phpBB中有如下的安全策略

Session IP validation选项用来验证当前用户会话绑定的IP;All选项代表匹配完整地址,A.B.C选项匹配前面的x.x.x段,A.B选项匹配x.x,None选项关闭IP检查。

这项安全策略是用来检验用户sid与IP的绑定关系,系统默认采用A.B.C选项,因此攻击者在获取了管理员sid后,想要冒用身份也是很困难的。

然而这也不是无解的:

phpBB后台管理中包含着编辑BBCode的功能。

BBCode是Bulletin Board Code的缩写,也有译为「BB代码」的,属于轻量标记语言(Lightweight Markup Language)的一种,如字面上所显示的,它主要是使用在BBS、论坛、Blog等网络应用上。BBcode的语法通常为 [标记] 这种形式,即语法左右用两个中括号包围,以作为与正常文字间的区别。系统解译时遇上中括号便知道该处是BBcode,会在解译结果输出到用户端时转换成最为通用的HTML语法。

当然,作为后台管理功能,访问此处url也需要sid

由于上文的利用,攻击者可以获取sid,因此这里可以确定管理员此处后台功能的确切url

在此页面上,管理员可以添加,删除和编辑自定义BBCode。假如定义了这样的BBCode

用户可以在PM、话题或者帖子中使用这个BBCode

结果如下

然而phpBB中编辑BBCode的功能存在CSRF问题,首先看一下编辑BBCode功能的后台代码

可以看到,这里的确有对csrf进行防范

但是问题出在了前面的\$submit参数:

只有提交的POST请求中存在submit参数,系统才会检查CSRF nonce。反之不会

因此,只要构造csrf时,请求中不带submit参数即可

\$action、\$bbcode_id、\$bbcode_match与\$bbcode_tpl参数均有\$request->variable方式获取而来

variable方法不仅会获取POST中提交的变量,也会获取通过GET提交的变量,这意味着攻击者可以通过GET参数传参来进行CSRF攻击。

当csrf攻击成功后,恶意的bbcode将会被添加。之后攻击者可以滥用这个bbcode短代码,在消息、话题、帖子、回复中执行任意XSS代码。


知识来源: xz.aliyun.com/t/7829

阅读:33586 | 评论:0 | 标签:xss CSRF CVE 泄露

想收藏或者和大家分享这篇好文章→复制链接地址

“phpBB从session id泄露到CSRF到XSS(CVE-2019-13376)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云