挖洞經驗 | 利用Instagram版權功能構造CSRF漏洞刪除其他用戶文件

最近，我注意到Instagram增加了大量的 版權說明部分 ，其中聲稱，當用戶上傳到Instagram的媒體文件侵犯了其他地方的知識版權後，就會顯示一個通知反映媒體文件的版權上訴信息，之後Instagram會自動刪除該文件。

Instagram版權說明中有這樣的描述：

收到權利所有人投訴 Instagram 上的內容侵犯其知識產權的舉報後，我們可能需要立即從Instagram 刪除相關內容，而不會事先聯繫您。

如果 Instagram 根據通過在線表單提交的知識產權舉報刪除您發布的內容，就會向您發送通知消息，並附上提交舉報的權利所有人的姓名和電子郵箱或者舉報詳情。您如果認為相關內容不應該被刪除，則可以直接聯繫提交舉報的用戶，嘗試解決此問題。

根據以上說明，所以我決定對此功能進行一些測試。我就上傳了一個包含某首音樂面臨版權問題的視頻文件，經測試發現，Instagram會使用一個GET請求來刪除該文件。其刪除操作路徑為：

https://www.instagram.com/media/ {MEDIA_ID}/copyright/dismiss_am/

其中的MEDIA_ID代表將要被刪除的視頻文件或發貼ID，後來我發現，只要獲取對受害者所發貼或上傳的相關文件ID號，然後把上述鏈接髮送給受害者用戶後，都會把對方發貼或相關文件刪除掉，造成間接的CSRF場景，做到惡意破壞目的。該Bug在Instagram的手機APP或網頁版中都能成功復現。

以下是在安卓版APP中的復現：

以下是在網頁版中的復現：

漏洞上報及處理進程

 2019.1.29 漏洞初報 
 2019.1.29 漏洞分類 
 2019.1.30 漏洞修復 
 2019.2.14 Facebook獎勵了$3,000 

*參考來源： dynamicworld ，clouds 編譯整理，轉載請註明來自 FreeBuf.COM

>挖洞經驗 | 利用Instagram版權功能構造CSRF漏洞刪除其他用戶文件