Hızla Alt Alan Adı Devralma $2000

Nov 28 2022

Hata Ödülü — Sıfırdan KAHRAMAN'a

WHOAMI Benim adım Alexandar Thangavel, namı diğer ValluvarSploit, tam zamanlı bir böcek avcısı ve eğitmeni. Keşfi seviyorum.

BEN KİMİM

Benim adım Alexandar Thangavel AKA ValluvarSploit, tam zamanlı bir böcek avcısı ve eğitmeni. Keşfi seviyorum. ValluvarSploit Security'nin kurucusu ve CEO'suyum. ValluvarSploit Security'de, bire bir çevrimiçi oturumda Bug Bounty eğitimi veriyoruz. Daha fazla bilgi için lütfen LinkedIn sayfamızı kontrol edin.

AMAÇ

Bugün, Fastly alt alan adı devralma güvenlik açığını nasıl bulduğumu ve ilk dört haneli ödülümü nasıl kazandığımı paylaşacağım. Başlayalım.

ARKA ÖYKÜ

Bu, 2 Ekim 2022 Pazar günü başladı. Gün her zamanki gibi başladı. Sabah 6'da uyandım, rutin işleri bitirdim, Mobil veri bakiyemi kontrol ettim (1,3 GB kaldı), Mobil Erişim Noktamı etkinleştirdim, Dizüstü bilgisayarımı bağladım ve özel bir programda aramaya devam ettim. Hedef uygulamada birkaç saat harcadım ama hiçbir şey bulamadım, bu yüzden kısa bir ara verdim. En az altı ayda bir eski özel programlarımı tekrar ziyaret ederdim. Böylece özel davetlerimi gözden geçirdim, eski bir program seçtim ve alt alan numaralandırması yapmaya başladım (Hedefimize redacted.com diyelim).

ALT ALAN DEVRİ

Alt etki alanı devralma, bir saldırgan bir etki alanının alt etki alanı üzerinde denetimi ele geçirdiğinde gerçekleşir. DNS yanlış yapılandırması / hataları nedeniyle olur.

ALT ALAN SAYIMLAMASI

Google Dorking, OWASP Amass ve Gobuster araçları ile subdomain numaralandırmaya başladım .

# Passive Subdomain Enumeration using Google Dorking
site:*.redacted.com -www -www1 -blog
site:*.*.redacted.com -product

# Passive Subdomain Enumeration using OWASP Amass
amass enum -passive -d redacted.com -config config.ini -o amass_passive_subs.txt

# Subdomain Brute force using Gobuster
gobuster dns -d redacted.com -w wordlist.txt - show-cname - no-color -o gobuster_subs.txt

# Merging subdomains into one file
cat google_subs.txt amass_passive_subs.txt gobuster_subs.txt | anew subdomains.txt

# Enumerate CNAME records
./cname.sh -l subdomains.txt -o cnames.txt

# We can use HTTPX tool as well
httpx -l subdomains.txt -cname cnames.txt

# Probe for live HTTP/HTTPS servers
httpx -l subdomains.txt -p 80,443,8080,3000 -status-code -title -o servers_details.txt

cnames.txt dosyasını incelemeye başladım ve iki farklı CNAME kaydını işaret eden bir alt alan adı buldum. Alt etki alanında dig komutunu çalıştırdım ve aşağıdakileri aldım,

dig next.redacted.com CNAME

      
                
                    
                    
       DNS query for CNAME record

İlginç şeyler için servers_details.txt dosyasını incelemeye başladım ve bu satırı buldum. Durum koduna ve web sitesi başlığına dikkat edin.

https://next.redacted.com [500] [246] [Fastly error: unknown domain next.redacted.com]

Çoğu durumda, Fastly hizmetini devralamayız. Örneğin aşağıdaki durumda,

Ancak alan adı zaten başka bir müşteri tarafından alınmadıysa, alan adını talep edebilir ve alt alan adını tamamen devralabiliriz.

ZAYIFLIĞIN DOĞRULANMASI

Fastly resmi web sitesine gittim ve aşağıdaki adımları gerçekleştirdim, 1. Fastly.com'da geçici bir posta kullanarak
bir hesap oluşturdum . 2. Fastly Dashboard'umda oturum açın ve "Bir Teslimat Hizmeti Oluştur" düğmesine tıklayın. 3. Hedef alt alan adını(next.redacted.com) girin ve Ekle düğmesine tıklayın.

Hata mesajının ("etki alanı zaten başka bir müşteri tarafından alınmış") görünmesini bekliyordum ancak herhangi bir hata mesajı yoktu. Bir sonraki "Ana Bilgisayarlar sayfası" sayfasına yönlendirildim. Şaşırmıştım.

Fastly'de alan adı talep edildi

POC OLUŞTURMA ADIMLARI

Güvenlik açığı onaylandıktan sonra VPS sunucuma giriş yaptım ve “hosting” adında bir dizin oluşturdum. Daha sonra "hosting" dizini içinde "index.html" adlı basit bir HTML dosyası oluşturuldu.

mkdir hosting

cd hosting

nano index.html

<!DOCTYPE html>

<html>
    <head><title>STO PoC</title></head>
    <body>
        <h1>ValluvarSploit PoC</h1>
    </body>
</html>

python3 -m http.server 80

VPS Yapılandırması

Birkaç saniye sonra yeni bir tarayıcı penceresi açtım ve “http://next.redacted.com/index.html" sayfa. PoC dosyam başarıyla oluşturuldu. Ayrıntılı bir rapor yazdım ve HackerOne'a gönderdim.

Kavramın ispatı

SUNUCU GÜNLÜKLERİNİ İZLEYEREK ÖĞRENME

Fastly hizmetimi 3 gün boyunca çalışır durumda tuttum ve hassas bilgiler için sunucu günlüklerini izledim. Diğer böcek avcılarının metodolojisini izlemek eğlenceliydi.

Eğlenmek için sunucu günlüklerini izleme

ÖDÜL

Raporum, YÜKSEK önem dereceli bir güvenlik açığı olarak sınıflandırıldı ve 10 gün içinde 2000 ABD Doları ile ödüllendirildi.

Ödül

ANAHTAR TAHMİNLER

1. Eski hedeflerinizi en az 6 ayda bir tekrar gözden geçirin.
2. Alt alan numaralandırma anahtardır. Alt etki alanlarını mümkün olduğunca numaralandırın.
3. Pes etmeyin.