Można było obejść funkcję „loguj przez Facebooka” – za zgłoszenie wypłacono nagrodę ~200 000 PLN)

W dzisiejszym odcinku #vulnz, mamy coś nieco bardziej skomplikowanego. Pewnie w wielu z Was kojarzy funkcję loguj się z wykorzystaniem Facebooka:

Instagram, Netflix, Spotify czy rodzimy Wykop – to tylko kilka przykładów. Jak to działa? Na początek musimy jednorazowo potwierdzić, że chcemy korzystać z tej funkcji (jesteśmy przekierowani z danego serwisu na Facebooka, gdzie potwierdzamy, że dany serwis będzie miał dostęp do naszego imienia / nazwiska i e-maila i że w ogóle chcemy używać Facebooka do logowania się w źródłowym serwisie).

W kolejnym kroku (jeśli jesteśmy zalogowani do Facebooka), po prostu klikamy „zaloguj się z wykorzystaniem Facebooka” i voila – jesteśmy zalogowani. Od strony technicznej najczęściej działa to w ten sposób: jeśli użytkownik jest zalogowany do Facebooka, przekazuje on do aplikacji tzw. access token (notabene: powinien on być zawsze weryfikowany przez aplikację – tak aby nie można było podstawić dowolnego tokenu). W skrócie: jeśli mamy prawidłowy access token ofiary – możemy najczęściej zalogować się na jej konto! (np. na Instagramie).

I właśnie do tego sprowadza się poprawiony przez Facebook błąd: atakujący w pewien sposób zwabia ofiarę do wejścia na konkretną stronę (niech to będzie nawet sekurak.pl). Na sekuraku jest zaszyty ukryty iframe, który w tle wykrada access token (pod warunkiem że ktoś jest zalogowany do FB). Teraz atakujący ma możliwość zalogowania się jako ofiara (w aplikacji która używa funkcji 'loguj się Facebookiem’).

Jak mógł wyglądać taki iframe? Np. w ten sposób:

var app_id = '124024574287414',
app_domain = 'www.instagram.com';

var exploit_url = 'https://www.facebook.com/connect/ping?client_id=' + app_id + '&redirect_uri=https%3A%2F%2Fstaticxx.facebook.com%2Fconnect%2Fxd_arbiter%2Fr%2F7SWBAvHenEn.js%3Fversion%3D44%23origin%3Dhttps%253A%252F%252F' + app_domain;

var i = document.createElement('iframe');
i.setAttribute('id', 'i');
i.setAttribute('style', 'display:none;');
i.setAttribute('src', exploit_url);
document.body.appendChild(i);

window.addEventListener('OAuth', function(FB) {
    alert(FB.data.name);
}, !1);

Zacznijmy od końca – nasz iframe wyśle (za pomocą mechanizmu postMessage) do głównego okna przeglądarki komunikat, zawierający access token (oczekujemy na ten komunikat z wykorzystaniem window.addEventListener). Mała przerwa – czym jest postMessage? Jest to jeden z mechanizmów umożliwiających tzw. komunikację cross-origin (por. tekst o CORS na sekuraku, lub jego zaktualizowana wersja w postaci rozdziału naszej książki o bezpieczeństwie aplikacji webowych). Bardziej po ludzku, całość umożliwia różnym „oknom” przeglądarki porozumiewanie się – nawet jeśli znajdują się w kompletnie różnych domenach. W naszym przypadku pewnadomena.facebook.com wyśle access token do naszej domeny (np. sekurak.pl).

W jaki sposób zmusić Facebooka do wysłania w ten sposób naszego tokena? Badacz znalazł pewien zasób (obecnie już usunięty, choć można zobaczyć jego kopię), który w pewnym uproszczeniu wykonuje takie operacje:

var frameName = window.location.href.split("#")[1];
window.parent.postMessage(frameName,"*");

Szczególnie istotna jest druga linijka. Widzicie wysłanie komunikatu postMessage do okna rodzica? (czyli w naszym przypadku okna przeglądarki, w którym umieściliśmy iframe). Bardzo ważna (i bardzo niepoprawna) jest tutaj gwiazdka. Oznacza ona, że komunikat może być wysłany do dowolnej domeny (czyli Facebook zgadza się wysłać komunikat np. do sekuraka :)

O co z kolei chodzi w linijce pierwszej? Otóż access token jest przekazywany w URL-u po znaku # (patrz flow Implicit Grant mechanizmu OAuth2.0; cały rozdział dotyczący OAuth 2.0 mamy w naszej książce), a gotowa na Facebooku linijka właśnie wyciągnie nam ten access token!

Podsumowując:

1. Na dowolnej domenie uruchamiamy iframe ze źródłem: https://www.facebook.com/connect/ping?client_id=’ + app_id + '&redirect_uri=https%3A%2F%2Fstaticxx.facebook.com%2Fconnect%2Fxd_arbiter%2Fr%2F7SWBAvHenEn.js%3Fversion%3D44%23origin%3Dhttps%253A%252F%252F’ + app_domain
2. Czekamy na komunikat postMessage
3. Podsyłamy naszą stronę osobie, która korzysta z funkcji 'loguj się z wykorzystaniem konta na Facebooku) – np. do Instagrama
4. W tle uzyskiwany jest access token (przecież ofiara jest zalogowana do Facebooka), który następnie za pomocą postMessage jest wysyłany do okna w naszej domenie (i może zostać on przesłany dalej – czy zapisany w logach po stronie serwerowej)

Za znalezisko wypłacono $55 000.

–ms