Adquisición de subdominio Fastly $ 2000

Nov 28 2022

Bug Bounty — De cero a HÉROE

WHOAMI Mi nombre es Alexandar Thangavel, también conocido como ValluvarSploit, cazador de insectos y entrenador a tiempo completo. Me encanta el reconocimiento.

QUIÉN SOY

Mi nombre es Alexandar Thangavel, también conocido como ValluvarSploit, cazador de insectos y entrenador a tiempo completo. Me encanta el reconocimiento. Soy el fundador y director ejecutivo de ValluvarSploit Security. En ValluvarSploit Security, brindamos capacitación sobre Bug Bounty en una sesión en línea individual. Para obtener más información, consulte nuestra página de LinkedIn.

OBJETIVO

Hoy, voy a compartir cómo encontré la vulnerabilidad de adquisición de subdominios de Fastly y gané mi primera recompensa de cuatro dígitos. Empecemos.

TRASFONDO

Esto se inició el domingo 2 de octubre de 2022. El día comenzó como de costumbre. Me desperté a las 6 a. m., terminé el trabajo de rutina, verifiqué mi saldo de datos móviles (quedaban 1,3 GB), habilité mi punto de acceso móvil, conecté mi computadora portátil y reanudé la búsqueda en un programa privado. Pasé algunas horas en la aplicación de destino pero no encontré nada, así que tomé un breve descanso. Solía volver a visitar mis antiguos programas privados al menos una vez cada seis meses. Entonces, revisé mis invitaciones privadas, elegí un programa antiguo y comencé a realizar la enumeración de subdominios (llamemos a nuestro objetivo redacted.com).

ADQUISICIÓN DE SUBDOMINIO

La toma de control de un subdominio ocurre cuando un atacante toma el control de un subdominio de un dominio. Ocurre debido a una mala configuración/errores de DNS.

ENUMERACIÓN DEL SUBDOMINIO

Comencé la enumeración de subdominios con las herramientas Google Dorking, OWASP Amass y Gobuster .

# Passive Subdomain Enumeration using Google Dorking
site:*.redacted.com -www -www1 -blog
site:*.*.redacted.com -product

# Passive Subdomain Enumeration using OWASP Amass
amass enum -passive -d redacted.com -config config.ini -o amass_passive_subs.txt

# Subdomain Brute force using Gobuster
gobuster dns -d redacted.com -w wordlist.txt - show-cname - no-color -o gobuster_subs.txt

# Merging subdomains into one file
cat google_subs.txt amass_passive_subs.txt gobuster_subs.txt | anew subdomains.txt

# Enumerate CNAME records
./cname.sh -l subdomains.txt -o cnames.txt

# We can use HTTPX tool as well
httpx -l subdomains.txt -cname cnames.txt

# Probe for live HTTP/HTTPS servers
httpx -l subdomains.txt -p 80,443,8080,3000 -status-code -title -o servers_details.txt

Empecé a analizar el archivo cnames.txt y encontré un subdominio que apuntaba a dos registros CNAME diferentes. Ejecuté el comando dig en el subdominio y obtuve seguidores,

dig next.redacted.com CNAME

      
                
                    
                    
       DNS query for CNAME record

Empecé a analizar el archivo server_details.txt en busca de cosas interesantes y encontré esta línea. Observe el código de estado y el título del sitio web.

https://next.redacted.com [500] [246] [Fastly error: unknown domain next.redacted.com]

En la mayoría de los casos, no podemos asumir el control del servicio Fastly. Por ejemplo debajo del caso,

Pero si el dominio aún no lo ha tomado otro cliente, entonces podemos reclamar el dominio y tomar el control del subdominio por completo.

CONFIRMACIÓN DE LA VULNERABILIDAD

Fui al sitio web oficial de Fastly y realicé los siguientes pasos:
1. Creé una cuenta en fastly.com usando un correo temporal.
2. Inicié sesión en mi Fastly Dashboard e hice clic en el botón "Crear un servicio de entrega".
3. Ingresó el nombre del subdominio de destino (next.redacted.com) y hizo clic en el botón Agregar.

Esperaba que apareciera el mensaje de error ("el dominio ya está en uso por otro cliente"), pero no apareció ningún mensaje de error. Fui redirigido a la página siguiente "Página de hosts". Me sorprendió.

Dominio reclamado en Fastly

PASOS DE CREACIÓN DE POC

Una vez que se confirmó la vulnerabilidad, inicié sesión en mi servidor VPS y creé un directorio llamado "alojamiento". Luego, dentro del directorio "alojamiento", creó un archivo HTML simple llamado "index.html".

mkdir hosting

cd hosting

nano index.html

<!DOCTYPE html>

<html>
    <head><title>STO PoC</title></head>
    <body>
        <h1>ValluvarSploit PoC</h1>
    </body>
</html>

python3 -m http.server 80

Configuración VPS

Después de unos segundos, abrí una nueva ventana del navegador y visité "http://next.redacted.com/index.html" página. Mi archivo PoC se procesó correctamente. He escrito un informe detallado y lo he enviado en HackerOne.

Prueba de concepto

APRENDIZAJE MEDIANTE LA SUPERVISIÓN DE REGISTROS DEL SERVIDOR

Mantuve mi servicio Fastly funcionando durante 3 días y supervisé los registros del servidor en busca de información confidencial. Fue divertido observar la metodología de otros cazadores de errores.

Supervisar los registros del servidor por diversión

PREMIO

Mi informe se evaluó como una vulnerabilidad de ALTA gravedad y se recompensó con $2000 en 10 días.

Premio

CONCLUSIONES CLAVE

1. Vuelva a visitar sus objetivos anteriores al menos una vez cada 6 meses.
2. La enumeración de subdominios es clave. Enumere los subdominios tanto como sea posible.
3. No te rindas.