搜索

[10691] 2016-11-08_OAuth2.0部署不当，数十亿AndroidApp账户存泄露风险

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-11-08_OAuth2.0部署不当，数十亿AndroidApp账户存泄露风险 O A u t h 2 . 0 部 署 不 当 ， 数 十 亿 A n d r o i d   A p p 账 户 存 泄 露 风 险 k u m a   F r e e B u f   2 0 1 6 - 1 1 - 0 8 香 港 大 学 的 三 名 安 全 研 究 人 员 发 现 ， 众 多 支 持 单 点 登 录 的 香 港 大 学 的 三 名 安 全 研 究 人 员 发 现 ， 众 多 支 持 单 点 登 录 的 A p p 没 有 正 确 部 署 没 有 正 确 部 署 O A u t h 2 . 0 认 证 协 议 ， 攻 击 者 可 利 用 此 漏 洞 远 程 认 证 协 议 ， 攻 击 者 可 利 用 此 漏 洞 远 程 登 陆 任 何 用 户 的 登 陆 任 何 用 户 的 A p p 账 户 。 账 户 。         R o n g h a i   Y a n g 、 W i n g   C h e o n g   L a u 和 T i a n y u   L i u 调 查 了 美 国 和 中 国 最 热 门 的 6 0 0 个 A n d r o i d 应 用 ， 发 现 1 8 2 个 应 用 支 持 单 点 登 录 服 务 ， 这 其 中 有 4 1 % 没 有 正 确 部 署 O A u t h 2 . 0 协 议 。 具 体 问 题 具 体 问 题 O A u t h 认 证 是 什 么 ？ 认 证 是 什 么 ？ 许 多 社 交 网 络 平 台 ， 包 括 新 浪 微 博 、 G o o g l e 、 F a c e b o o k 等 ， 都 在 使 用 O A u t h   2 . 0 认 证 协 议 。 这 个 认 证 协 议 可 以 让 用 户 在 一 处 登 录 后 ， 通 过 认 证 已 有 的 身 份 ， 登 录 第 三 方 服 务 ， 而 不 需 要 提 供 其 它 信 息 。 比 如 下 图 ： A p p 开 发 者 应 当 如 何 实 现 开 发 者 应 当 如 何 实 现 O A u t h 认 证 认 证   ？ ？
当 用 户 通 过 O A u t h 登 录 第 三 方 应 用 时 ， 该 应 用 将 检 验 用 户 I D 提 供 方 （ 比 如 新 浪 微 博 ） 是 否 提 供 了 正 确 的 认 证 信 息 。 如 果 认 证 信 息 正 确 ， O A u t h 将 从 微 博 处 得 到 一 个 访 问 t o k e n ， 然 后 发 放 给 第 三 方 A p p 的 服 务 器 。 访 问 t o k e n 发 放 后 ， A p p 服 务 器 将 向 微 博 索 取 用 户 认 证 信 息 ， 进 行 验 证 ， 而 后 让 用 户 使 用 微 博 登 录 信 息 登 录 这 个 第 三 方 A p p 。 A p p 开 发 者 实 际 如 何 部 署 开 发 者 实 际 如 何 部 署 O A u t h 认 证 ？ 认 证 ？ 研 究 人 员 发 现 ， 许 多 A n d r o i d   A p p 的 开 发 者 并 没 有 正 确 地 核 对 微 博 等 I D 提 供 方 发 来 的 信 息 的 有 效 性 。 这 些 第 三 方 A p p 并 没 有 验 证 上 文 提 到 的 访 问 t o k e n ， 以 核 查 用 户 与 I D 提 供 方 是 否 关 联 ； 第 三 方 第 三 方 A p p 服 务 器 只 检 查 了 这 个 信 息 是 否 由 服 务 器 只 检 查 了 这 个 信 息 是 否 由 一 个 有 效 的 一 个 有 效 的 I D 提 供 方 发 出 提 供 方 发 出 。
这 种 部 署 给 了 攻 击 者 可 乘 之 机 ， 他 们 可 以 下 载 存 在 此 漏 洞 的 A p p ， 使 用 自 己 的 信 息 登 录 ， 通 过 建 立 服 务 器 ， 修 改 新 浪 微 博 等 I D 提 供 方 发 送 的 数 据 ， 将 自 己 的 用 户 名 改 为 目 标 对 象 的 用 户 名 。 影 响 范 围 影 响 范 围 攻 击 者 可 以 利 用 这 种 方 法 ， 泄 露 用 户 敏 感 信 息 ， 或 者 以 用 户 名 义 在 相 应 A p p 上 操 作 。 在 接 受 福 布 斯 采 访 时 ， L a u 表 示 O A u t h 2 . 0 部 署 问 题 其 实 是 个 基 础 性 的 错 误 。 但 是 ， 影 响 范 围 却 可 能 很 严 重 。 攻 击 者 如 果 黑 入 旅 游 A p p ， 可 以 获 得 用 户 的 完 整 行 程 信 息 。 如 果 黑 的 是 酒 店 预 订 A p p ， 可 以 预 定 房 间 并 让 受 害 用 户 支 付 ； 攻 击 者 也 有 可 能 盗 取 地 址 、 银 行 账 户 等 个 人 信 息 。 “ O A u t h 协 议 挺 复 杂 的 。 许 多 第 三 方 开 发 商 都 是 小 本 经 营 ， 他 们 没 有 能 力 。 大 多 数 时 候 ， 他 们 用 的 是 G o o g l e 和 F a c e b o o k 的 推 荐 ， 但 是 如 果 他 们 不 正 确 操 作 的 话 ， 他 们 的 A p p 就 很 容 易 受 到 攻 击 。 ” 研 究 人 员 发 现 有 O A u t h 部 署 问 题 的 各 类 A p p 总 共 有 2 4 亿 的 下 载 量 ， 专 家 估 计 将 有 1 0 亿 不 同 的 手 机 亿 不 同 的 手 机 A p p 账 户 可 能 被 劫 持 账 户 可 能 被 劫 持 。 下 图 列 出 了 存 在 此 漏 洞 的 A p p 类 型 ： 是 否 影 响 是 否 影 响 i P h o n e 用 户 ？ 用 户 ？ 研 究 人 员 并 没 有 测 试 i O S 设 备 ， 但 他 们 认 为 这 个 攻 击 在 苹 果 A p p 上 一 样 可 以 实 现 。 虽 然 他 们 的 攻 击 是 在 A n d r o i d 平 台 演 示 的 ， 但 是 这 个 e x p l o i t 与 平 台 无 关 ： 任 何 i O S 或 者 A n d r o i d 用 户 ， 只 要 曾 经 用 过 存 在 此 漏 洞 的 A p p ， 都 会 受 到 影 响 。 Y a n g 和 L a u 在 2 0 1 6 欧 洲 黑 帽 子 大 会 上 展 示 了 他 们 的 研 究 成 果 ， 点 此 查 看 完 整 P P T 。 * 参 考 来 源 ： t h e h a c k e r n e w s ， F B 小 编 k u m a 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理