Я взломал Bing CMS, что позволило мне изменить результаты...

121

Я взломал Bing CMS, что позволило мне изменить результаты поиска и завладеть миллионами учетных записей Office365, рассказ Хилая Бен-Сассона

Как я это сделал? Ну, все началось с простого клика в Azure...

Мое исследование началось, когда наша исследовательская группа впервые заметила странную конфигурацию в Azure.

Один чекбокс - это все, что отделяет приложение от того, чтобы стать "многопользовательским" - что по умолчанию позволяет всем пользователям входить в систему.

Я нашел приложение Microsoft, настроенное подобным образом, и... просто вошел в него.

Мой пользователь сразу же получил доступ к странице "Bing Trivia".

Не позволяйте названию обмануть вас - она контролирует гораздо больше, чем просто мелочи.

На самом деле, как я выяснил, она может контролировать АКТУАЛЬНЫЕ РЕЗУЛЬТАТЫ ПОИСКА.

Я начал осматриваться, чтобы понять назначение приложения и то, почему у меня есть доступ.

Затем я нашел раздел, содержащий некоторые ключевые слова и соответствующие результаты поиска, что вызвало вопрос - может ли это приложение действительно изменять результаты поиска на Bing.com?

Я проверил эту теорию, выбрав ключевое слово "лучшие саундтреки" и переключив первый результат с "Дюна (2021)" на мой личный любимый "Хакеры (1995)".

Я был удивлен, увидев, что этот результат сразу же появился на Bing.com!

Затем я проверил на жизнеспособность XSS, добавив безобидную пейлоуд в мой новый результат.

Я обновил страницу, и мой компонент успешно выполнился! Я быстро отменил изменения и сообщил обо всем в Microsoft, но у меня остался один вопрос - что я могу сделать с этим XSS?

При проверке запросов Bing я заметил, что конечная точка используется для связи с Office 365.

Как выяснилось, Bing разрешено выдавать маркеры Office для любого вошедшего в систему пользователя.

Я быстро создал пейлоуд XSS, использующий эту функциональность, протестировал его на себе, и он сработал!

С помощью этого токена злоумышленник мог получить:

— Электронную почту Outlook

— Календари

— Сообщения команды

— Документы SharePoint

— Файлы OneDrive

— И многое другое, от любого пользователя Bing!

Центр Microsoft Security Response Center быстро отреагировал на наш отчет, исправил уязвимые приложения и внес некоторые изменения в продукт AAD и руководство, чтобы помочь клиентам устранить эту проблему.

За это они назначили нам вознаграждение в размере 40 000 долларов, которое мы задонатим.

https://www.wiz.io/blog/azure-active-directory-bing-misconfiguration

https://www.youtube.com/watch?v=hctqRgQW4IU

@MikeBlazerX