搜索

[25696] 2016-11-08_每日安全资讯：OAuth2.0协议使用不当导致数十亿APP账户可被远程劫持

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2016-11-08_每日安全资讯：OAuth2.0协议使用不当导致数十亿APP账户可被远程劫持 每 日 安 全 资 讯 ： O A u t h   2 . 0 协 议 使 用 不 当 导 致 数 十 亿 A P P 账 户 可 被 远 程 劫 持 安 华 金 和   L i n u x 中 国   2 0 1 6 - 1 1 - 0 8 前 言 前 言 香 港 中 文 大 学 的 三 位 安 全 研 究 员 R o n g h a i   Y a n g 、 W i n g   C h e o n g   L a u 、 T i a n y u   L i u 发 现 了 一 个 极 其 危 险 的 安 全 隐 患 ， 超 过 1 0 亿 的 移 动 A P P （ 包 括 安 卓 版 本 和 i O S 版 本 ） 都 可 以 在 用 户 完 全 不 知 情 的 情 况 下 被 远 程 劫 持 。 他 们 三 位 安 全 研 究 员 发 现 大 部 分 流 行 的 移 动 应 用 程 序 都 支 持 单 点 登 录 （ S S O ） 服 务 ， 也 就 是 说 用 户 只 需 登 录 一 次 就 可 以 访 问 所 有 相 互 信 任 的 应 用 系 统 ， 但 是 这 些 应 用 程 序 却 以 不 安 全 的 方 式 执 行 了 O A u t h   2 . 0 。 O A u t h   2 . 0 简 介 简 介 O A u t h   2 . 0 是 一 个 开 放 的 认 证 标 准 ， 广 泛 应 用 在 各 个 社 交 网 站 上 。 有 了 它 ， 用 户 便 可 以 直 接 通 过 谷 歌 、 F a c e b o o k 、 新 浪 账 户 登 录 其 他 第 三 方 应 用 。 用 户 完 全 不 需 要 额 外 提 供 用 户 名 或 者 密 码 就 可 以 直 接 登 录 第 三 方 应 用 。 当 用 户 使 用 O A u t h   登 录 第 三 方 应 用 时 ， 应 用 会 请 求 核 对 I D 。 拿 F a c e b o o k 举 例 ， 如 果 用 户 使 用 F a c e b o o k 账 户 登 录 第 三 方 应 用 时 ， O A u t h   就 需 要 从 F a c e b o o k 拿 到 访 问 令 牌 ， 然 后 发 送 给 第 三 方 应 用 。 当 访 问 令 牌 被 传 送 到 第 三 方 应 用 上 时 ， 应 用 的 服 务 器 会 请 求 查 看 来 自 F a c e b o o k 的 用 户 认 证 信 息 ， 然 后 进 行 核 实 ， 最 后 才 会 允 许 用 户 以 F a c e b o o k 账 户 登 录 第 三 方 应 用 。 漏 洞 的 影 响 及 危 害 漏 洞 的 影 响 及 危 害 香 港 中 文 大 学 的 三 位 安 全 研 究 员 发 现 ， 大 部 分 的 安 卓 应 用 的 开 发 者 都 不 会 去 核 实 来 自 谷 歌 、 F a c e b o o k 、 新 浪 的 账 户 信 息 。
这 些 应 用 的 服 务 器 不 会 验 证 O A u t h   信 息 （ 也 就 是 用 户 的 认 证 信 息 ） ， 它 们 只 会 检 查 这 些 I D 是 否 和 从 I D 供 应 商 那 里 检 索 到 的 匹 配 。 基 于 这 一 天 大 的 错 误 ， 远 程 攻 击 者 可 以 下 载 一 个 存 在 问 题 应 用 ， 先 用 自 己 的 信 息 登 录 ， 然 后 再 将 用 户 名 更 改 成 任 意 他 想 攻 击 的 目 标 。 之 后 ， 攻 击 者 便 可 以 完 全 控 制 住 应 用 程 序 上 的 数 据 了 。 影 响 是 什 么 呢 ？ 如 果 黑 客 入 侵 进 了 受 害 者 的 旅 游 A P P ， 他 们 就 能 知 道 受 害 者 的 行 程 ； 如 果 他 们 入 侵 进 酒 店 预 订 A P P ， 他 们 就 可 以 预 定 一 个 房 间 ， 并 且 让 受 害 者 支 付 ； 或 者 是 窃 取 受 害 者 的 个 人 信 息 ， 比 如 家 庭 住 址 、 银 行 详 细 信 息 。 “ O A u t h   协 议 非 常 的 复 杂 ， 很 多 第 三 方 开 发 者 都 是 半 桶 水 晃 荡 ， 没 有 什 么 能 力 。 他 们 大 部 分 都 是 借 鉴 使 用 谷 歌 和 F a c e b o o k 的 一 些 功 能 ， 但 是 如 果 他 们 不 能 正 确 的 使 用 ， 那 么 他 们 开 发 出 来 的 A P P 将 会 出 很 大 的 安 全 风 险 。 ” R o n g h a i   Y a n g 、 W i n g   C h e o n g   L a u 、 T i a n y u   L i u 已 经 在 美 国 和 中 国 发 现 了 数 百 款 安 卓 应 用 在 使 用 S S O 服 务 ， 并 且 下 载 量 超 过 2 4 亿 次 ， 但 是 不 幸 的 是 都 存 在 该 问 题 。 据 安 全 研 究 员 们 估 计 ， 有 超 过 1 0 亿 个 不 同 的 移 动 A P P 账 户 存 在 被 攻 击 者 劫 持 的 风 险 。
后 记 后 记 安 全 研 究 员 们 还 没 有 测 试 他 们 的 e x p 在 i P h o n e 手 机 上 是 否 适 用 ， 但 是 他 们 相 信 他 们 的 攻 击 方 式 对 所 有 存 在 漏 洞 的 应 用 都 有 效 ， 包 括 i O S 移 动 操 作 系 统 。 “ 尽 管 我 们 现 在 的 攻 击 方 式 只 在 安 卓 平 台 上 进 行 了 演 示 ， 但 是 e x p 本 身 就 与 平 台 无 关 ， 只 要 用 户 使 用 了 基 于 O A u t h   2 . 0 的 S S O 服 务 ， 不 管 它 是 安 卓 版 的 移 动 应 用 还 是 i O S 版 的 移 动 应 用 ， 他 都 将 受 影 响 。 ” R o n g h a i   Y a n g 、 W i n g   C h e o n g   L a u 在 B l a c k   H a t   E u r o p e 公 开 了 他 们 的 这 一 发 现 。 详 细 细 节 文 档 ： h t t p s : / / w w w . b l a c k h a t . c o m / d o c s / e u - 1 6 / m a t e r i a l s / e u - 1 6 - Y a n g - S i g n i n g - I n t o - B i l l i o n - M o b i l e - A p p s - E f f o r t l e s s l y - W i t h - O A u t h 2 0 - w p . p d f 来 源 ： 安 全 客 更 多 资 讯 更 多 资 讯 1 .   美 媒 ： 美 军 黑 客 已 侵 入 俄 网 络   随 时 待 命 发 动 攻 击 h t t p : / / t . c n / R f 7 u r S E 2 .   被 曝 遭 黑 客 入 侵 　 俄 罗 斯 外 交 部 向 美 国 讨 说 法 h t t p : / / t . c n / R f 7 u F h N 3 .   3 .   英 国 乐 购 网 上 银 行 2 0 0 0 个 账 户 遭 窃   现 已 暂 停 服 务 h t t p : / / t . c n / R f 7 3 v H K 4 .   【 快 讯 】 印 度 驻 7 国 使 馆 网 站 数 据 库 遭 黑 客 泄 露 h t t p : / / t . c n / R f 7 3 z y 1 （ 信 息 来 源 于 网 络 ， 安 华 金 和 搜 集 整 理 ）

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理