文章总结： 文章讲述了作者如何通过拦截移动应用的网络请求，发现Chess.com存在一个严重的账户接管漏洞。该漏洞源于其API在响应中泄露了用户的PHPSESSID（即session_id），攻击者可利用此信息直接登录并控制任意用户账户，甚至能访问管理员后台。该漏洞于2020年12月被报告并迅速修复。 综合评分： 85 文章分类： 渗透测试,WEB安全,实战经验,SRC活动,恶意软件

当我第一次看到这个 HTTP 响应时，我感到非常兴奋，因为它返回了该用户的邮箱地址！这意味着可以任意获取任意用户的邮箱地址，这是一个中等危害等级的漏洞。

即使我们无法自行签名 HTTP 请求，也只需通过移动应用搜索某个特定用户，拦截请求流量，就能在 HTTP 响应中看到目标用户的邮箱地址。

在向他们的安全团队提交报告之前，我仔细查看了用户资料字段，试图发现是否有其他信息被泄露。整体来看似乎没什么特别，但在搜索了两个不同用户后，我注意到了一个现象：

"session_id": "56c5257a0800d.....86d28934868a88","session_id": "1f3d112b9a3f.....dbbf19438fcd8d",

每个用户的 session_id 都是不同的。由于这是返回的用户对象，这意味着这些 session_id 很可能是属于该用户本身的，而非属于我的会话。

关键问题是，这些 session_id 的用途是什么，以及它们是否涉及敏感信息。

我随后在桌面端登录了该网站，检查了浏览器的 Cookie。发现他们使用的是 PHPSESSID 作为会话令牌。当我搜索自己的用户名时，结果中返回的 session_id 字段正是我的 PHPSESSID！

HTTP/1.1 200 OKDate: Sat, 9 Dec 2020 05:52:47 GMTContent-Type: application/json..."session_id":"3947398c39ef15a.....56523b5a4533"...

由于 PHPSESSID 是唯一用于用户认证的凭证，这意味着我们可以提取任何用户的该值，从而劫持他们的会话。

这就是重大发现——实现对任意 Chess.com 用户的完全任意账户接管！

为了展示漏洞的最大影响力，我进一步获取了 Chess.com 管理员 Daniel Rensch 的 PHPSESSID Cookie。

但在切换到他的会话后，我有些失望——没有发现任何管理界面。

我在应用中随意点击，忽然想起之前测试时发现的一个“admin.chess.com”子域名。

我将泄露的管理员 PHPSESSID Cookie 作用域设置为 .chess.com，然后打开新标签页尝试访问该子域名。加载页面后，它没有像之前那样将我踢出登录状态——我们成功进入了管理员控制台！

此时，我们在应用中调出了自己的用户资料页面：

如果我们是恶意攻击者，就可以利用该漏洞完全接管任何人的账户。更糟糕的是，我们还能修改个人资料，伪装成任何高于 400 ELO 的玩家。

此时，我们于凌晨 4 点左右编写并提交了漏洞报告。对方在一小时内回复邮件，并在两小时内完成了修复。

时间线

• 2020 年 12 月 12 日 00:34 — 漏洞报告提交
• 2020 年 12 月 12 日 03:17 — 漏洞确认
• 2020 年 12 月 12 日 07:42 — 漏洞修复
• 2020 年 12 月 16 日 14:40 — 奖励发放

培训咨询v

linglongsec

SRC漏洞挖掘培训

玲珑安全第一期SRC漏洞挖掘培训

玲珑安全第二期SRC漏洞挖掘培训

玲珑安全第三期SRC漏洞挖掘培训

玲珑安全第四期SRC漏洞挖掘培训

玲珑安全第五期SRC漏洞挖掘培训

玲珑安全第六期SRC漏洞挖掘培训

往期文章分享

利用Cookie Sandwich窃取HttpOnly Cookie

记住，不要在 XSS 中使用 alert(1)

入侵全球最大的航空公司和酒店奖励平台

啊？谁把我黑了？？（二）

啊？谁把我黑了？？（一）

仅凭车牌号，黑客如何远程控制起亚汽车？

黑进斯巴鲁——只需车牌号，10秒接管车辆

要挂科了？那就黑一下教务处系统吧…

价值10w的Google点击劫持漏洞

玲珑安全B站公开课

https://space.bilibili.com/602205041

玲珑安全QQ群

191400300

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：玲珑安全 玲珑安全 玲珑安全《入侵Chess.com并获取5000万客户记录》