OAuth 2.0 安全漏洞分析与利用指南

OAuth 2.0 安全漏洞分析与利用指南 1. OAuth 2.0 基础概念 1.1 什么是OAuth 2.0 OAuth 2.0是一个关于授权(authorization)的开放网络标准，广泛应用于互联网服务中。它允许用户授权第三方应用访问其在其他服务提供者处存储的信息，而无需直接分享用户名和密码。 1.2 基本运行流程 用户打开客户端后，客户端要求用户授权 用户同意给予客户端授权 客户端使用获得的授权向认证服务器申请令牌 认证服务器对客户端认证后发放令牌 客户端使用令牌向资源服务器申请获取资源 资源服务器确认令牌无误后开放资源 2. OAuth 2.0 授权模式 2.1 授权码模式(Authorization Code) 特点 ：功能最完整、流程最严密的授权模式，通过客户端后台服务器与认证服务器交互 流程 ： 用户访问客户端，被导向认证服务器 用户选择是否授权 用户授权后，认证服务器将用户重定向到指定URI并附带授权码 客户端后台服务器使用授权码申请令牌 认证服务器核对无误后发放访问令牌和更新令牌 2.2 简化模式(Implicit Grant) 特点 ：直接在浏览器中完成，跳过授权码步骤，令牌对访问者可见，客户端不需要认证 流程 ： 客户端将用户导向认证服务器 用户决定是否授权 用户授权后，认证服务器重定向到指定URI并在Hash部分包含访问令牌 浏览器向资源服务器请求(不包含Hash) 资源服务器返回包含获取Hash令牌代码的网页 浏览器执行脚本提取令牌 浏览器将令牌发给客户端 2.3 密码模式(Resource Owner Password Credentials) 特点 ：用户直接向客户端提供用户名和密码 流程 ： 用户向客户端提供用户名和密码 客户端将凭据发给认证服务器请求令牌 认证服务器确认后提供访问令牌 2.4 客户端模式(Client Credentials) 特点 ：客户端以自己的名义认证，不属于严格OAuth框架解决的问题 流程 ： 客户端向认证服务器进行身份认证 认证服务器确认后提供访问令牌 3. OAuth 2.0 安全漏洞分析 3.1 漏洞成因 OAuth 2.0缺乏内置安全功能，安全性高度依赖正确配置。主要问题包括： 数据传输未加密，可被拦截 敏感数据通过浏览器发送 不同授权模式有不同安全特性 配置错误导致各种攻击面 3.2 漏洞识别方法 使用Burp Suite拦截请求 查找以 /authorization 开头的认证请求 检查是否包含 client_id 等识别信息 观察是否有第三方社交登录功能 4. OAuth 客户端漏洞利用 4.1 隐式授权类型实现不当 漏洞原理 ： 令牌通过URL传递 客户端通过POST请求将数据发送到服务端 服务端返回cookie保持会话 若客户端未正确检查令牌匹配，可伪造数据 实验案例 ：Authentication bypass via OAuth implicit flow 实验目标 ：使用wiener:peter凭证登录carlos@carlos-montoya.net账户 利用步骤 ： 使用Burp拦截登录流程 观察 /authenticate 路由的POST请求 修改请求中的email字段为目标邮箱 获取返回的cookie并访问 4.2 CSRF保护缺陷 漏洞原理 ： 缺少或错误配置state参数 state参数应作为CSRF令牌在服务端和客户端间传递 缺失时攻击者可劫持客户端账户 实验案例 ：Forced OAuth profile linking 实验目标 ：通过CSRF攻击将社交资料绑定到管理员账户 利用步骤 ： 观察OAuth流程中缺少state参数 获取授权码URL 构造恶意iframe利用CSRF漏洞 将漏洞利用发送给受害者 使用社交账户登录管理员账户 5. OAuth 服务端漏洞利用 5.1 授权码和访问令牌泄露 漏洞原理 ： 服务端未正确验证redirect_ uri 攻击者可将授权码和令牌发送到控制的URI 利用这些信息访问用户账户 实验案例 ：OAuth account hijacking via redirect_ uri 实验目标 ：窃取管理员授权码并删除Carlos账户 利用步骤 ： 测试修改redirect_ uri不报错 构造CSRF PoC将redirect_ uri指向恶意服务器 从日志中获取授权码 使用授权码和原始URI登录管理员账户 5.2 通过代理页面窃取令牌 漏洞原理 ： redirect_ uri不能指向外部域 但存在目录穿越或开放重定向漏洞 可构造特殊URI绕过限制 实验案例 ：Stealing OAuth access tokens via an open redirect 利用步骤 ： 发现存在目录穿越漏洞 利用开放重定向功能构造恶意URI 从日志中获取受害者token 使用token进行API调用获取数据 6. 防御措施 正确实现state参数 ：作为CSRF保护机制 严格验证redirect_ uri ：白名单机制，防止开放重定向 使用PKCE扩展 ：防止授权码拦截攻击 令牌有效期限制 ：设置合理的过期时间 HTTPS强制使用 ：防止中间人攻击 范围限制 ：仅请求必要权限 客户端认证 ：确保客户端身份可信 7. 参考资源 OAuth 2.0官方文档 PortSwigger Web Security Academy OWASP相关安全指南