Łączenie podatności dla większego wpływu

Łączenie podatności polega na połączeniu kilku podatności o niższej istotności w jeden łańcuch wykorzystania o większym łącznym wpływie. Łańcuch SSRF + dostęp do IMDS + kradzież poświadczeń IAM ma znacznie większy wpływ niż każdy z tych elementów oceniany osobno.

Programy nagradzają wpływ, a nie liczbę pojedynczych błędów. XSS o niskiej istotności, połączone z obejściem ograniczenia self-XSS i CSRF uruchamiającym ten atak, może stanowić łańcuch prowadzący do przejęcia konta, wart nagrody za podatność o wysokiej lub krytycznej istotności, zamiast trzech osobnych zgłoszeń o niskiej istotności.

Self-XSS jest zazwyczaj odrzucane, ponieważ atakujący atakuje samego siebie. Jeśli jednak połączy się je z CSRF, który zmusza ofiarę do uruchomienia ładunku XSS w jej sesji, atakujący może wykonywać dowolny JavaScript w kontekście ofiary — co prowadzi do przejęcia konta. Dwa ustalenia o niskiej istotności tworzą krytyczny łańcuch.

Server-Side Request Forgery, które umożliwia dostęp wyłącznie do wewnętrznej infrastruktury (zwykle ma średnią istotność), staje się krytyczne po połączeniu z dostępem do usługi metadanych AWS EC2 (169.254.169.254), który pozwala wykraść poświadczenia IAM, a następnie użyć ich do uzyskania pełnego dostępu do konta AWS.

Open redirect w domenie example.com umożliwia przekierowanie odpowiedzi autoryzacyjnych OAuth na adres URL kontrolowany przez atakującego. Połączenie go z konfiguracją phishingową pozwala wykraść kody autoryzacyjne OAuth, wymienić je po stronie serwera i uzyskać pełny dostęp do konta. Dwa ustalenia o średniej istotności tworzą krytyczny łańcuch.

Wstrzyknięcie nagłówka Host do wiadomości e-mail dotyczących resetowania hasła pozwala skierować link resetujący ofiary na serwer kontrolowany przez atakującego. Gdy ofiara kliknie link, atakujący otrzyma token resetowania i przejmie konto — wstrzyknięcie nagłówka Host (niska istotność) staje się przejęciem konta (krytyczna istotność).

Należy zastanowić się, co zapewnia każda podatność: SSRF = możliwość wykonywania żądań z serwera, XSS = wykonywanie JavaScriptu w przeglądarce ofiary, CSRF = wymuszanie uwierzytelnionych działań, open redirect = kontrola miejsca docelowego przekierowania. Należy połączyć to, co zapewnia jedna podatność, z tym, czego wymaga druga.

Podczas zgłaszania łańcucha należy zaprezentować każdy jego krok za pomocą odrębnych żądań i odpowiedzi HTTP. Należy pokazać: warunek wstępny → uruchomienie pierwszego błędu → uzyskanie X → wykorzystanie X przez drugi błąd do osiągnięcia Y → końcowy wpływ. Każde ogniwo łańcucha musi być udowodnione, a nie tylko teoretyczne.

Elementy łańcuchów o wysokiej wartości to: ujawnienie informacji (ujawnia wewnętrzne adresy IP i nazwy użytkowników), SSRF (dostęp wewnętrzny), open redirect (zmiana kierunku ataku w celu kradzieży tokenu), XSS (wykonywanie JavaScriptu), CSRF (wymuszanie działań), IDOR (dostęp do innych zasobów) oraz słaby JWT (fałszowanie sesji). Należy dobrze opanować wszystkie te zagadnienia.

Zamiast odrzucać ustalenia pozornie mało istotne, należy odnotowywać je podczas rekonesansu. Parametr odzwierciedlany, który przyjmuje wyłącznie wartości liczbowe, może być przydatny w łańcuchu. Warto prowadzić lokalny system notatek i wracać do ustaleń po znalezieniu elementów, które można z nimi połączyć.

Należy prezentować łańcuchy tylko w zakresie niezbędnym do udowodnienia wpływu. Jeśli SSRF umożliwia dostęp do IMDS, należy pokazać zwrócone poświadczenia, ale nie wolno ich faktycznie używać. Trzeba udokumentować ścieżkę eskalacji bez pełnego wykorzystania podatności, aby uniknąć wyrządzenia rzeczywistej szkody.

Dlaczego podatności self-XSS są często odrzucane w izolacji, ale mają dużą wartość w łańcuchach?

Łączenie podatności przekształca ustalenia o niskiej istotności w łańcuchy wykorzystania o dużym wpływie. Dzięki zrozumieniu, co zapewnia każda podatność i do czego można ją wykorzystać, badacze łączą SSRF + IMDS, XSS + CSRF oraz open redirect + kradzież OAuth, aby wykazać krytyczny wpływ i zmaksymalizować nagrody.