2017-01-22 14:32:51
来源：安全客 作者：shan66
阅读：219次
点赞(0)
收藏
翻译：shan66
预估稿费：200RMB
投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿
JSONP注入是一种鲜为人知却又相当普遍和危险的漏洞。JSONP是随着最近几年JSON、Web API的迅速崛起和对跨域通信的迫切需要而应运而生的。
什么是JSONP？
这里我们假设大家都已经了解JSON了，所以下面直接开始讨论JSONP。JSONP(JSON with Padding)是JSON的一种“使用模式”，可用于解决主流浏览器的跨域数据访问的问题。
让我们举个例子。 我们的网上银行应用程序，http://verysecurebank.ro，已实现一个API调用，可以用来返回当前用户的交易数据。
这样，通过向http://verysecurebank.ro/getAccountTransactions 端点发送HTTP请求，我们就能得到JSON格式的交易数据：
如果我们的报表应用程序（http://reports.verysecurebank.ro ）希望获取交易的详细信息的话，由于同源策略（不同主机）的原因，所以是无法通过AJAX对该页面进行调用的。
为了解决这个问题，JSONP便应运而生了。 由于跨域脚本包含（主要用于加载javascript库，如jQuery，AngularJS等）是允许的，但不推荐，所以，我们可以这样来解决这个问题：在响应中预填回调函数。
需要注意的是，当跨域包含脚本时，脚本将在包含应用程序的上下文中运行，而不是在脚本的源上下文中运行。
通过为API响应添加一个回调函数，并封装JSON格式的数据，就允许我们加载脚本标签之间的API响应，并允许通过定义我们自己的回调函数来处理它的内容。
漏洞利用
下面列出一些最常见的情形：
回调函数被硬编码到响应中
基本函数调用
对象方法调用
回调函数是动态的
通过URL（GET变量）可以实现完全控制
通过URL（GET变量）可以实现部分控制，但需要附加一个数字
通过URL（GET变量）可以实现控制，但最初不显示在请求中
基本函数调用
一个非常常见的例子，就是将回调函数myCallback硬编码到响应的JSON格式的数据中：
我们首先需要定义myCallback函数，然后在脚本标签中引用API调用就可以轻松利用这一点：
注意：一定要在包含该响应之前定义这个函数，否则将会调用未定义的函数，导致无法获取任何数据。
当登录的受害者访问我们的恶意页面时，我们就能得到他的数据。 为了简洁起见，我们在当前页面中显示数据。
对象方法调用
这跟第一个例子几乎完全相同，并且您可能会在ASP或ASP.NET Web应用程序中遇到它。 在我们的示例中，System.TransactionData.Fetch作为回调函数添加到JSON格式的数据中：
我们只需为TransactionData对象创建Fetch方法，该对象是System对象的一部分。
由于结果都是一样的，所以从现在开始不再提供相关的截图。
通过URL（GET变量）实现完全控制
这是最常见的情况：回调函数在URL中指定，并且我们可以完全控制它。 通过URL中的callback参数，我们可以修改回调函数的名称，因此我们将其设置为testing，并在响应中检查它的变化情况：
我们基本上可以使用跟前面完全相同的漏洞利用代码，只是利用script标签包含响应时不要忘了添加参数callback。
通过URL（GET变量）实现部分控制，但需要附加一个数字
在这种情况下，回调函数名称需要附加一些东西，通常是一个数字。在大多数情况下，我们得到的东西类似于附加短数（如12345）的jQuery，例如回调函数名称将变成jQuery12345。
逻辑上，漏洞利用代码保持不变，我们只需要将12345添加到我们的回调函数名称后面，而不是在包含脚本时添加。
但如果数字不是硬编码怎么办？如果数字是动态的，并且对于每个会话都不相同，那怎么办呢？如果它是一个相对较短的数字，我们可以通过编程的方式来预定义每个可能的函数。我们假设附加的数字最大值为99.999。我们可以以编程方式创建所有这些函数，因为我们已经知道了回调函数的名称，所以只要附加相应的数字即可。下面给出了一个示例代码，这里使用了一个更简单的回调函数来演示结果：
简单介绍一下代码：我们硬编码了一个回调函数，名为jQuery，我们为函数的数字设置了一个上限。在第一个循环中，我们在callbackNames数组中生成回调函数名。然后我们循环遍历数组，并将每个回调函数名称转换为全局函数。请注意，为了减少代码，我只提醒第一笔交易中发送的金额。让我们看看它是如何工作的：
在我的机器上，花了大约5秒钟时间来显示警报，回调函数名称为jQuery12345。这意味着Chrome在5秒内创建了超过10.000个函数，所以我可以很大胆地说，这是一个非常可行的漏洞利用方法。
通过URL（GET变量）可以实现控制，但最初不会显示在请求中
最后一个场景涉及一个API调用，由于它没有使用回调函数，因此没有可见的JSONP。当开发人员遗留下来的与其他软件的“隐式”向后兼容性，或在重构时没有删相关代码，那么就可能出现这种情况。因此，当看到没有回调函数的API调用时，特别是JSON格式的数据已经被放入括号之间时，可以手动添加回调函数到请求中。
如果我们有API调用http://verysecurebank.ro/getAccountTransactions ，就可以设法猜测回调变量：
http://verysecurebank.ro/getAccountTransactions?callback=test
http://verysecurebank.ro/getAccountTransactions?cb=test
http://verysecurebank.ro/getAccountTransactions?jsonp=test
http://verysecurebank.ro/getAccountTransactions?jsonpcallback=test
http://verysecurebank.ro/getAccountTransactions?jcb=test
http://verysecurebank.ro/getAccountTransactions?call=test
虽然这些是最常见的回调函数名称，但是您还可以继续猜测其他名称。如果我们的回调函数名称被添加到了响应中，自然就能获取到一些数据。
简单的数据采集技术
到目前为止，我们只是在显示数据，下面开始介绍如何将数据发送回来。这是JSONP数据抓取的一个最简单的示例，您可以将其用于概念验证。
我们使用data参数中的应用程序响应（交易数据）向我们的数据采集器发出GET请求。
注意：确保对数据使用了JSON.stringify()，因为它是一个对象，我们不希望在我们的文件中只有[object Object]。注意：如果响应很大，请确保切换到POST，因为由于HTTP GET大小的限制，您可能无法接收完整的数据。
这里是我们的grabData.php代码，我们将接收到的数据追加到data.txt文件中：
常见问题
在寻找具有JSONP漏洞的Web应用程序时，我们可能会遇到一些问题。在这里，我们将介绍解决这些问题的方法。
Content-Type和X-Content-Type-Options
如果在API请求的响应头部中，X-Content-Type-Options设置为nosniff，则必须将Content-Type设置为JavaScript（text / javascript，application / javascript，text / ecmascript等）。这是因为通过在响应中包含回调函数的话，响应就不再是JSON，而是JavaScript。
如果您想知道自己的浏览器将哪些内容类型解释为JavaScript的话，请将浏览器导航至https://mathiasbynens.be/demo/javascript-mime-type。
在此示例中，Content-Type设置为application / json，X-Content-Type-Options设置为nosniff。
最新版本的Google Chrome、Microsoft Edge和Internet Explorer 11可以成功阻止脚本执行。但是，Firefox 50.1.0（目前是最新版本）却没有这么做。
注意：如果X-Content-Type-Options：nosniff头部未设置的话，它将适用于所有上述浏览器。
注意：旧版本的浏览器没有进行严格的MIME类型检查，因为X-Content-Type-Options是最近才实现的。
响应代码
有时我们可能会得到200之外的一些响应代码。我对下列浏览器进行了相关的测试：
Microsoft Edge 38.14393.0.0
Internet Explorer 11.0.38
Google Chrome 55.0.2883.87
Mozilla Firefox 50.1.0
下面将测试结果总结如下：
响应代码相关浏览器 100ContinueInternetExplorer,MicrosoftEdge,GoogleChrome 101SwitchingProtocolsGoogleChrome 301MovedPermanentlyGoogleChrome 302FoundGoogleChrome 304NotModifiedMicrosoftEdge因此，即使我们没有得到200 HTTP代码，该漏洞仍然可以在其他浏览器中使用。
绕过Referrer检查
1.使用数据URI方案
如果有HTTP Referer检查，我们可以设法不发送它，以绕过验证。 我们怎么才能做到这一点内？引入数据URI。
我们可以滥用数据URI方案，以便在没有HTTP Referer的情况下发出请求。 因为我们要处理的是代码，其中包括引号、双引号和其他语法断开字符，所以我们需要对我们的payload（回调函数定义和脚本包含）进行base64编码。
下面是具体的语法：
data：text/plain;base64，our_base64_encoded_code
以下是允许我们使用数据URI方案的三个主要HTML标签：
iframe（在src属性中）——它在Internet Explorer中不起作用
embed（在src属性中）——它在Internet Explorer和Microsoft Edge中不起作用
object（在data属性中）—— 它在Internet Explorer和Microsoft edge中不起作用
通过下图我们可以看到，API请求中没有发送HTTP Referer。
2.从HTTPS页面发送HTTP请求
如果我们的目标网站可以通过HTTP访问，我们还可以通过在HTTPS页面上托管我们的代码来避免发送HTTP Referer。如果我们从HTTPS页面发出HTTP请求，浏览器就不会发送Referer头部，以防止信息泄露。
我们要做的就是在启用HTTPS的网站上托管我们的恶意代码。
注意：由于混合内容安全机制的关系，这种方法不适用于启用了默认设置的现代Web浏览器。
但是，它在旧版本的浏览器中是可行的，并且不发送HTTP Referer头部，我们可以看到：
如何解决这个安全问题
最后，让我们看看我们如何预防这种安全攻击的发生。最直接和最现代的方法是CORS（跨源资源共享）。
1.完全删除JSONP功能
2.请将Access-Control-Allow-Origin头部添加到API响应中
3.使用跨网域AJAX请求
因此，http://reports.verysecurebank.ro将以下跨网域AJAX请求嵌入到http://verysecurebank.ro/getAccountTransactions：
API响应包括Access-Control-Allow-Origin：http://reports.verysecurebank.ro：
我们将获得http://verysecurebank.ro/getAccountTransactions 的内容：
小结
虽然JSONP的使用率在逐渐降低，但仍然有大量的网站还在使用或支持它。最后提醒一下，当处理JSONP时，别忘了顺便检查一下反射式文件下载和反射式跨站脚本漏洞。阅读愉快！
本文由 安全客 翻译，转载请注明“转自安全客”，并附上链接。
原文链接：securitycafe.ro
