如何分析繞過Tumblr用戶注冊過程中的reCAPTCHA驗證

今天就跟大家聊聊有關如何分析繞過Tumblr用戶注冊過程中的reCAPTCHA驗證，可能很多人都不太了解，為了讓大家更加了解，小編給大家總結了以下內容，希望大家根據這篇文章可以有所收獲。

大家好，下面分享的writeup是作者通過在Tumblr用戶注冊過程中，發現Tumblr的“人機身份驗證”機制（reCAPTCHA）存在缺陷，可被輕松繞過。這種繞過形成的安全風險是惡意攻擊者可進行大量虛假社交賬戶創建、進行針對賬戶的用戶名和郵箱枚舉，間接導致Tumblr網站應用出現流量異常甚至用戶信息泄露。

我對漏洞眾測的理解和經歷分享

去年6月16日，HackerOne在倫敦舉辦的黑客馬拉松大賽中，為發現漏洞支付的賞金有超過了8萬多美金。漏洞眾測確實是個未來可期的行業，對眾測平臺來說，有組織給賞金的測試活動，即可以激勵安全研究人員發現漏洞，也能提高上報漏洞質量，還能把詳細的漏洞信息轉發給廠商進行及時修復。

安全是門復雜的學問，即使是大公司也難免犯錯。企業在面對的內部資源和外部攻擊者之間，往往存在不定的安全風險，而漏洞眾測恰好可以很好地彌補其中存在的安全空白。如果你的組織機構無法從內部培養或選拔出高質量且多樣化的安全測試人員，那么就可以借助外部的眾測項目或咨詢服務等方式，來進行安全產品或相關系統的測試和漏洞發現。

就我個人來說，在眾測過程中也遇到過一些不好的經歷。我曾給Myspace上報過一個訪問任意賬戶的高危漏洞，但在我與Myspace的冗長協商過程中，他們簡直就是漠不關心的態度，最終我選擇了公開漏洞（點此閱讀）。該漏洞影響將近3.6億多個用戶帳戶，我寄希望于能通過公眾壓力來促使漏洞修復，這種行為也是迫不得已。

而相反的是，我曾發現了Tumblr公司的一個reCaptcha驗證碼繞過漏洞，從Twitter方式上報給他們后，他們就直接私信我進行交流，只經過了兩天漏洞就得到修復。以下就是我對該漏洞發現過程的分享。

Tumblr的reCaptcha驗證碼繞過漏洞

在我訪問www.tumblr.com進行用戶注冊時，發現其中嵌入的谷歌reCAPTCHA驗證碼服務存在一個錯誤配置漏洞，那就是由客戶端和應用發送的reCAPTCHA驗證碼請求中，其中名為‘g-recaptcha-response’ 的參數值可以置空。該漏洞會對所有新注冊用戶產生影響，且不需要什么特別的工具進行利用，只需手動地點擊網站上出現的按鈕，或是通過抓包代理發起修改即可。

漏洞影響

通常來說，Captcha機制如果運行部署合理，是具有速率限制作用的（Rate Limiting），可以用其來防止垃圾用戶創建虛假社交賬戶，減少特定應用的請求量。我發現的這個Tumblr頁面reCAPTCHA驗證碼繞過漏洞，可以被攻擊者用來創建虛假賬戶；另外由于Tumblr的用戶注冊機制只允許注冊郵箱綁定一個用戶名，所以，也可以利用該漏洞進行針對用戶郵箱和用戶名的暴力枚舉攻擊，反復大量的枚舉可以導致Tumblr的用戶注冊信息泄露。

漏洞復現

我們先來看www.tumblr.com頁面中正常的賬戶創建過程，首先來到登錄頁面https://www.tumblr.com/login，點擊右上角的注冊按鈕“Sign up”：

然后就跳轉到了賬戶注冊頁面 https://www.tumblr.com/register :

接著，點擊開始按鈕 ‘Get Started’，之后就會出現一些必填選項，包括用戶名、密碼和郵箱：

完成以上必填項之后，還要輸入年齡和勾選服務條款須知：

接下來，就會跳出一個“人機身份驗證”（reCAPTCHA ）頁面：

除了這么一個“人機身份驗證”（reCAPTCHA ）選項部署在這里，其下方還有一個選項“完成了”（Almost Done!）。搞笑的是，雖然通常來說需要完成“人機身份驗證”才能進行下一步，但是，經我測試發現，可以直接不用勾選“人機身份驗證”中的 “I’m not a robot”，直接點擊下方的“完成了”（Almost Done!）即可完成這里所謂的“人機身份驗證”，就直接進入下一步到用戶的Tumblr主頁。這種“人機身份驗證”（reCAPTCHA ）部署在這里是當擺設的嗎？

抓包分析

為了深入分析，我們用Burp來看看用戶在“人機身份驗證”（reCAPTCHA ）這一步發起具體的請求和響應。

發起“人機身份驗證”時的POST請求如下：

仔細查看上述POST請求可以發現，其中的recaptcha質詢是一個名為‘g-recaptcha-response’的參數值，也就是上圖中的紅字部分。但如果我們把這個參數值置空，也等同于就不去勾選它，會發生什么情況？這樣構造的POST請求如下：

后經測試發現，Tumblr服務器端對以上兩種POST請求都返回了相同且有效的響應：

當然也就是說，Tumblr服務器端直接就是忘記了檢查‘g-recaptcha-response’ 參數的值，才導致了上述的“人機身份驗證”（reCAPTCHA ）機制被繞過。

盡管很多網站應用都要求用戶群的高度可信，但類似這種驗證繞過漏洞在這些網站中也很常見。這不，前不久Google才剛剛修復了一個可完全繞過 reCAPTCHA 的漏洞。

看完上述內容，你們對如何分析繞過Tumblr用戶注冊過程中的reCAPTCHA驗證有進一步的了解嗎？如果還想了解更多知識或者相關內容，請關注億速云行業資訊頻道，感謝大家的支持。