Ignorer le processus de redirection d'Apple avec le caractère point (".")

Salut les gars, j'ai été absent pendant un moment mais maintenant je suis de retour et voici un nouveau post d'écriture. Aujourd'hui, je vais vous montrer la vulnérabilité Open Redirection que j'ai trouvée dans le sous-domaine d'Apple en utilisant le caractère point.

Je n'ai pas l'autorisation de publier ce sous-domaine donc je ne le publierai pas mais vous pouvez le considérer comme une zone de forum où les utilisateurs sont actifs. Je vais donc l'appeler "expurgé" et commençons !

Tout d'abord, lorsque nous visitons le sous-domaine expurgé.apple.com, il y a un écran de connexion ici et la connexion est assez simple.

Comme vous pouvez le voir sur l'image, le paramètre ?path= est défini pour rediriger vers une autre page du même sous-domaine dans la section permettant de choisir un surnom pour les utilisateurs qui se connectent pour la première fois.

Ce processus sera probablement redirigé vers "/welcome?login=true" pour les nouveaux utilisateurs une fois que tous les prérequis auront été remplis correctement.

Comme je l'avais deviné, la redirection redirigeait vers la page spécifiée après avoir choisi le nom d'utilisateur et téléchargé l'avatar. Bien sûr, j'ai essayé quelques charges utiles ici principalement comme https://evil.com & //evil.com etc.

En fait, ce qui m'intéressait ici, c'est qu'après avoir utilisé la charge utile //evil.com, la réponse était /evil.com avec un seul caractère '/'.
Si vous utilisez une charge utile comme ?path=//evil.com, alors ce qui suit est attendu : redacted.apple.com//evil.com
Cependant, la réponse que j'ai obtenue est la suivante : redacted.apple.com/evil.com

Dans ce cas, je pensais que le seul '/' ajouté à la fin était dû à ma charge utile, et j'ai pensé à simplement taper evil.com

Le comportement auquel je m'attendais était d'être redirigé vers un domaine inexistant redacted.apple.comevil.com, mais à la place, je suis retourné à "/welcome?login=true". Pour la plupart des paramètres, il serait acceptable de simplement naviguer vers evil.com dans le sous-domaine. (?path=evil.com > x.apple.com/evil.com)

Finalement, une idée m'est venue à l'esprit et je ne l'avais vue nulle part auparavant. Je pensais purement théoriquement et j'ai été surpris de voir que c'était possible chez Apple.

Si nous définissons la charge utile sur .evil.com (c'est-à-dire ?path=.evil.com), "." sera ajouté à la fin de redacted.apple.com, ce qui en fera un sous-domaine de evil.com.

Et voici le résultat que nous attendons. L'ajout d'un point devant la charge utile signifie que le caractère "/" est manquant dans certains cas. Cela fait de redacted.apple.com un sous-domaine de evil.com

Cette vulnérabilité a été corrigée par l'équipe et j'ai été ajouté au Apple Hall of Fame.

C'est tout pour le moment. Merci d'avoir lu jusqu'ici et j'espère que ça vous a plu !

Vous pouvez me suivre sur twitter:https://twitter.com/canmustdie

D'après Infosec Writeups : Il se passe beaucoup de choses chaque jour dans l'Infosec qu'il est difficile de suivre. Rejoignez notre newsletter hebdomadaire pour obtenir toutes les dernières tendances Infosec sous la forme de 5 articles, 4 fils de discussion, 3 vidéos, 2 dépôts et outils GitHub et 1 alerte d'emploi GRATUITEMENT !