Vulnerabilità di scripting cross-site di Alchemy

Alchemy è la piattaforma di sviluppo web3 più popolare. Aiuta gli sviluppatori a creare e ridimensionare collegando istantaneamente la tua dApp alla blockchain.

Il 20 agosto 2022, il team di CredShields ha identificato una vulnerabilità di sicurezza in un endpoint di Alchemy. Questo post sul blog fornirà una panoramica della vulnerabilità della sicurezza e delle azioni intraprese dal team di Alchemy per risolverla.

Accedi con la funzione Alchemy:

Alchemy ha una funzione che consente alle applicazioni di terze parti di accedere tramite alchemy. Consente a un'applicazione di terze parti di ottenere un accesso limitato a un servizio HTTP che è per conto di un proprietario della risorsa orchestrando un'interazione di approvazione tra il proprietario della risorsa e il servizio HTTP o consentendo all'applicazione di terze parti di ottenere l'accesso per proprio conto . È simile all'accesso con Google o all'accesso con la funzione Facebook, che è abbastanza comune in web2.

Capiamo come funziona:
l'utente fa clic sul pulsante "Accedi ad Alchemy" su un sito Web o un'applicazione di terze parti.

1. Il sito Web o l'applicazione reindirizza l'utente all'endpoint Alchemy OAuth con una richiesta di accesso alle informazioni sull'account Alchemy dell'utente.
2. All'utente viene richiesto di accedere al proprio account Alchemy se non è già stato effettuato l'accesso.
3. All'utente viene chiesto di concedere l'autorizzazione al sito Web o all'applicazione per accedere alle informazioni del proprio account Alchemy.
4. Una volta che l'utente concede l'autorizzazione, Alchemy reindirizza l'utente al sito Web o all'applicazione con un codice di autorizzazione.
5. Il sito Web o l'applicazione utilizza il codice di autorizzazione per effettuare una richiesta all'endpoint token di Alchemy al fine di ottenere un token di accesso.

Noi di CredShields stavamo cercando di ottenere alcuni fondi per il testnet Gorelihttps://goerlifaucet.com/. Abbiamo provato ad autenticarci tramite "Alchemy Login" e abbiamo notato l'URL qui sotto.

https://dashboard.alchemyapi.io/signup?a=goerli_faucet&redirectUrl=https://goerlifaucet.com

Poiché mancava qualsiasi forma di verifica dello stato, eravamo fiduciosi di poter causare un reindirizzamento dell'URL. Tuttavia, un reindirizzamento URL aperto è un problema solo se può essere concatenato con altre vulnerabilità. Quindi abbiamo cercato la convalida dell'input e mancava. Abbiamo provato il valore di input javascript:alert(document.domain)per eseguire una prova di concetto di scripting tra siti e ha funzionato. Quindi abbiamo ottenuto una vulnerabilità di scripting cross-site in Alchemy.

Cos'è lo scripting tra siti?

Gli attacchi Cross-Site Scripting (XSS) sono un tipo di iniezione in cui script dannosi vengono iniettati in siti Web altrimenti innocui e affidabili. Un utente malintenzionato può utilizzare XSS per inviare uno script dannoso a un utente ignaro. Il browser dell'utente finale non ha modo di sapere che lo script non dovrebbe essere attendibile e lo eseguirà. Poiché ritiene che lo script provenga da una fonte attendibile, lo script dannoso può accedere a qualsiasi cookie, token di sessione o altre informazioni riservate conservate dal browser e utilizzate con quel sito. Questi script possono persino riscrivere il contenuto della pagina HTML.

Riconoscimento:

Noi del team CredShields siamo in missione per rendere Web3 più sicuro, quindi abbiamo inviato un'e-mail al team Alchemy. Il team ha trovato valido il problema di sicurezza e ha risolto la vulnerabilità il 22 agosto 2022.

Informazioni su SolidityScan:

Il team dietro CredShields sta costruendo SolidityScan. SolidityScan è uno strumento avanzato di scansione dei contratti intelligenti che scopre le vulnerabilità e riduce i rischi nel codice. Richiedi un controllo di sicurezza con noi e ti aiuteremo a proteggere i tuoi contratti intelligenti. Iscriviti per una prova gratuita suhttps://solidityscan.com/signup

Seguici sui nostri social media per gli aggiornamenti relativi alla sicurezza di Web3.
Solidity Scan — LinkedIn | Cinguettio | Telegramma | Discordia