4.9 KiB
SOME - Ejecución de método de misma origen
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥
- ¿Trabajas en una empresa de ciberseguridad? ¿Quieres ver tu empresa anunciada en HackTricks? ¿O quieres tener acceso a la última versión de PEASS o descargar HackTricks en PDF? ¡Consulta los PLANES DE SUSCRIPCIÓN!
- Descubre The PEASS Family, nuestra colección exclusiva de NFTs
- Obtén el swag oficial de PEASS y HackTricks
- Únete al 💬 grupo de Discord o al grupo de telegram o sígueme en Twitter 🐦@carlospolopm.
- Comparte tus trucos de hacking enviando PR al repositorio de hacktricks y al repositorio de hacktricks-cloud.
Ejecución de método de misma origen
Habrá ocasiones en las que puedas ejecutar un javascript limitado en una página. Por ejemplo, en el caso en el que puedas controlar un valor de devolución de llamada que se ejecutará.
En esos casos, una de las mejores cosas que podrías hacer es acceder al DOM para llamar a cualquier acción sensible que puedas encontrar allí (como hacer clic en un botón). Sin embargo, por lo general, encontrarás esta vulnerabilidad en pequeños puntos finales sin nada interesante en el DOM.
En esos escenarios, este ataque será muy útil, porque su objetivo es poder abusar de la ejecución limitada de JS dentro de un DOM desde una página diferente del mismo dominio con acciones mucho más interesantes.
Básicamente, el flujo del ataque es el siguiente:
- Encuentra un callback que puedas abusar (potencialmente limitado a [\w\._]).
- Si no está limitado y puedes ejecutar cualquier JS, podrías simplemente abusar de esto como un XSS regular.
- Haz que la víctima abra una página controlada por el atacante.
- La página se abrirá a sí misma en una ventana diferente (la nueva ventana tendrá el objeto
openerhaciendo referencia a la inicial). - La página inicial cargará la página donde se encuentra el DOM interesante.
- La segunda página cargará la página vulnerable abusando del callback y usando el objeto
openerpara acceder y ejecutar alguna acción en la página inicial (que ahora contiene el DOM interesante).
{% hint style="danger" %}
Ten en cuenta que incluso si la página inicial accede a una nueva URL después de haber creado la segunda página, el objeto opener de la segunda página sigue siendo una referencia válida a la primera página en el nuevo DOM.
Además, para que la segunda página pueda usar el objeto opener, ambas páginas deben estar en el mismo origen. Esta es la razón por la que, para abusar de esta vulnerabilidad, necesitas encontrar algún tipo de XSS en el mismo origen. {% endhint %}
Explotación
- Puedes usar este formulario para generar un PoC para explotar este tipo de vulnerabilidad: https://www.someattack.com/Playground/SOMEGenerator
- Para encontrar una ruta DOM a un elemento HTML con un clic, puedes usar esta extensión del navegador: https://www.someattack.com/Playground/targeting_tool
Ejemplo
- Puedes encontrar un ejemplo vulnerable en https://www.someattack.com/Playground/
- Ten en cuenta que en este ejemplo el servidor está generando código javascript y añadiéndolo al HTML basado en el contenido del parámetro de devolución de llamada:
<script>opener.{callbacl_content}</script>. Es por eso que en este ejemplo no necesitas indicar el uso deopenerexplícitamente.
- Ten en cuenta que en este ejemplo el servidor está generando código javascript y añadiéndolo al HTML basado en el contenido del parámetro de devolución de llamada:
- También revisa esta solución de CTF: https://ctftime.org/writeup/36068