В сентябре 2017 года, изучая пачку сервисов Google, я наткнулся на https://talkgadget.google.com/ , на котором удалось обнаружить интересную уязвимость — если вбить в форму поиска какое-нибудь слово, например — user, admin, etc, то в ответ вываливается список пользователей

При выполнении POST-запроса, меня заинтересовал один из передаваемых параметров pageSize, значение которого было равно 15, то есть на страницу вываливало 15 человек из поиска. Изменив значение на 100, в респонсе я получил 100 человек, далее 1000, и т.д, выкрутив значение на 1000000, в респонсе удалось получить порядка 8 Мб данных! «хммм» — подумал я… неужели всё так просто и банально?!

А сам респонс выглядит примерно так:

В котором содержится достаточное количество полей с более чем интересной и вкусной информацией —  name, photo (link), email, nickname, organization, location, gender, phone, etс. Конечно же, эта информация является публичной и в пользовательском соглашении Гугла это отражается в полной мере, но я решил проверить сколько пользовательских данных мне удастся нарыбачить =)

Накидав небольшой скриптец, я запустил его на десять минут в один поток, и дёрнул порядка 863 Мб данных, хм интересно, как быстро сервер отдаёт, ему совсем не жалко пользовательских данных для одного IP и сессии xD

Слив 863 Мб данных, сразу же захотелось узнать сколько валидных эмейлов можно выдернуть с этого дампа

Грепнув регулярочкой, увидел порядка ~117k валидных эмейлов, для меня сразу открылся вектор, и в голове возникла куча вопросов — а что если в несколько потоков? а что если не 10 минут, а сутки? сколько можно слить? почему не превентят слив данных? почему в гугле всё так по мудакски? и т.д. и т.п.

Решено было накатать отчёт в Google  VRP ибо я классифицировал это как узвимость «Information leak».

Пишу отчёт

Здесь я уберу скриншоты добаленные ранее, чтобы не дублировать их. Собственно текст отчёта:

Hi Google!

I’be discovered a vulnerability that allows to get huge amount of users’ data. And it can be automated.

Steps for reproducing the vulnerability:

Checking Google Hangouts website: https://talkgadget.google.com/ I discovered, that during the user search 15 user profiles were downloaded by “autocomplete” box.

The request looks like this:

POST /v2/people/autocomplete HTTP/1.1

Host: people-pa.clients6.google.com

———- Other necessary headers ———-

query=user&client=HANGOUTS&pageSize=15
If we change the pageSize parameter with a bigger one, we will get much more data. I tried to change it from 1 to 1000000 with a successful outcome.

Then we could substitute “user” value from query parameter, and we will get different results, containing personal data like Google (Hangouts) — name, photo (link), email, nickname, organization, location.

I wrote a script for PoC demonstration (autocomplete.sh can be found on GDrive), where pageSize=1000000, and the query parameter is getting from the dictionary file: wordlist.txt (~1000 lines, can be found on GDrive as well).

As an outcome of running autocomplete.sh — leaked at least 863 Mb of users’ data (in ~10 minutes), and among the data ~117K are e-mails with user’s data.

And what if I leave the script running for an hour.. or a day..? I believe I’ll get a plethora of users’ data.. (10 min = ~1Gb, 2 hour = ~100 Gb, etc..)

As a next step, the attacker, using another vulnerability (or a feature, if you want..), could extract from the leaked.json users’ e-mails and build a dictionary with just grabbed e-mails (gmail_list.txt). Then, using lookup.sh, and the dictionary data as a value of the id parameter, we could get some more useful data in addition (e.g: gender, phone number, address, legacyFields, etc.). See: lookup.json (~150 MB — it is only a small part of the data leaked as a proof).

And who could be interested in such kind of info?

Spammers — for target e-mailings, because of the real users data (name, photo (link), email, nickname, organization, location, gender, phone, etc). Moreover, the leakage could hit Google’s reputation and so on and so forth.

Отчёт отправлен и принят на рассмотрение.

Дальнейший диалог с Google

• Стандартный ответ от Security-команды на любую багу:

Hey,

Just letting you know that your report was triaged and we’re currently looking into it. You should receive a response in a couple of days, but it might take up to a week if we’re particularly busy.

Thanks,
Google Security Team

• Неделю спустя:

• Как и следовало ожидать — Гугл предложил мне отвалить со своей багой сославшись на то, что стянутая информация является публичной, об этом написано в пользовательском соглашении и т.д.

• На что Гугл ответил:

• Через пару дней ещё один ответ, где они наконец-таки осознали суть проблемы))