利用Github探测发现特斯拉API请求漏洞

本文讲述作者通过Github探测手段&＃xff08;Github Recon&＃xff09;发现了特斯拉某服务端的用户名密码凭据&＃xff0c;通过该凭据可以成功对特斯拉后台API接口发起请求&＃xff0c;实现敏感数据返回。漏洞最终获得了特斯拉官方$5000美金奖励。一起来围观围观。

漏洞发现

由于我对服务台和管理员角色比较熟悉&＃xff0c;但此前并未涉猎过多的网络安全&＃xff0c;对于安全行业&＃xff0c;我还在努力研究。最近几天&＃xff0c;我在看&＃64;Th3G3nt3lman发布的Github探测手段&＃xff08;Github Recon&＃xff09;视频教程&＃xff0c;它是关于一些手动的Github侦测技巧&＃xff0c;包括关键字查找和特殊库发现等方式。看过之后&＃xff0c;我尝试着自己现学现卖&＃xff0c;就随手拿特斯拉公司作为目标进行搜索查找&＃xff0c;如&＃xff1a;

“tesla.com” password&＃61;

结果是什么都没发现&＃xff0c;那再换换看&＃xff1a;

“tesla.com” pass&＃61;

也没有任何返回结果&＃xff0c;再来&＃xff1a;

“tesla.com” pwd&＃61;

这下就有了&＃xff1a;

它是一个特斯拉的代码库&＃xff0c;而且竟然是3天前更新过的代码&＃xff1a;

从以上代码可以看出&＃xff1a;

1、它是与云端IT业务专业管理工具ServiceNow进行交互的代码&＃xff0c;我对ServiceNow比较熟悉&＃xff1b;

2、其中的用户名user、密码pwd是base64编码&＃xff0c;是可以解码的。

测试验证

手里有了这个凭据&＃xff0c;我就想如何去利用它。在CTF经验的帮助下&＃xff0c;我用在线的CyberChef工具成功解码了上述base64编码字段&＃xff0c;这样一来&＃xff0c;就能去登录测试了。

但尴尬的是&＃xff0c;当我尝试用明文凭据去登录特斯拉adfs系统&＃xff08;https://sso.tesla.com/adfs/&＃xff09;时&＃xff0c;它提示需要进行多因素验证&＃xff0c;还需要验证登录用户的手机号&＃xff0c;这就有点难了。

API拯救了世界

至此&＃xff0c;好像也没什么希望了。但是由于我了解ServiceNow&＃xff0c;工作中经常会用到其API接口方式&＃xff0c;所以&＃xff0c;我就想在此请求特斯拉API接口试试看。于是&＃xff0c;我用PostMan构造了包含上述凭据的请求&＃xff0c;看看能否返回一个有效的响应。

从我探测过的特斯拉API接口列表中&＃xff0c;我选择了几个执行请求&＃xff0c;BOOM&＃xff01;其中完全不需要权限验证&＃xff0c;HTTP 200 &＃xff01;值得注意的是&＃xff0c;我构造的请求不算大&＃xff0c;但返回数据竟然把PostMan都崩溃了&＃xff0c;可见其响应数据算是非常之多了。

这里&＃xff0c;我们再来认识一下ServiceNow&＃xff0c;它是一款云服务管理工具&＃xff0c;安装之后会包含一个名为“MID Server”的服务&＃xff0c;它负责把数据信息推送到云实例中&＃xff0c;其中推送的数据信息包括用户和主机等活动目录数据&＃xff0c;这是ServiceNow可以把事件或帮助台票据链接到特定用户的功能&＃xff0c;也是工程师在生产系统中可以通过ServiceNow的Configuration Item DB导入和管理实现维护的手段。

也就是说&＃xff0c;通过其中的实例请求&＃xff0c;攻击者可以获取到所有的内部服务&＃xff0c;包括IP地址和系统信息描述等&＃xff0c;也能获取到一些绝佳的请求更改、事件信息或服务请求票据。

为此&＃xff0c;我特意写了一个PowerShell脚本并转化成Python&＃xff0c;用它可以实现整个ServiceNow实例的数据下载&＃xff0c;有了这个功能&＃xff0c;漏洞最终从P4被提升到了P1。

漏洞上报后&＃xff0c;特斯拉在3小时后就立马删除了该代码库&＃xff0c;之后特斯拉在API接口请求中加入了对ServiceNow实例请求的MFA验证手段。

经验总结

要擅于应用搜索语法&＃xff0c;上述的特斯拉代码库曝露在网已经快3年多了&＃xff0c;而其中的更新代码恰巧就被我发现了&＃xff1b;

自动化工具不能发现所有东西&＃xff0c;有时候需要亲自动动手&＃xff1b;

任何要都可以发现漏洞&＃xff0c;有些漏洞需要的漏洞技术并不是太多&＃xff0c;但前提是你需要了解某些应用逻辑&＃xff0c;知道从哪下手。

作者&＃xff1a;clouds

来源&＃xff1a;https://www.freebuf.com/vuls/241033.html

关注微信公众号&＃xff1a;互联网架构师&＃xff0c;在后台回复&＃xff1a;2T&＃xff0c;可以获取我整理的教程&＃xff0c;都是干货。

猜你喜欢

1、GitHub 标星 3.2w&＃xff01;史上最全技术人员面试手册&＃xff01;FackBoo发起和总结

2、如何才能成为优秀的架构师&＃xff1f;

3、从零开始搭建创业公司后台技术栈

4、程序员一般可以从什么平台接私活&＃xff1f;

5、37岁程序员被裁&＃xff0c;120天没找到工作&＃xff0c;无奈去小公司&＃xff0c;结果懵了...

6、滴滴业务中台构建实践&＃xff0c;首次曝光

7、不认命&＃xff0c;从10年流水线工人&＃xff0c;到谷歌上班的程序媛&＃xff0c;一位湖南妹子的励志故事

8、15张图看懂瞎忙和高效的区别

9、2T架构师学习资料干货分享