搜索

[1401] 2018-01-23_关于OAuth2.0存在第三方帐号快捷登录授权劫持漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2018-01-23_关于OAuth2.0存在第三方帐号快捷登录授权劫持漏洞的安全公告 关 于 O A u t h   2 . 0 存 在 第 三 方 帐 号 快 捷 登 录 授 权 劫 持 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 8 - 0 1 - 2 3 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 8 - 0 0 0 8 2 0 1 8 年 1 月 2 1 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 接 收 了 O A u t h   2 . 0 存 在 第 三 方 帐 号 快 捷 登 录 授 权 劫 持 漏 洞 （ C N V D - 2 0 1 8 - 0 1 6 2 2 ） 。 综 合 利 用 上 述 漏 洞 ， 攻 击 者 可 通 过 登 录 受 害 者 账 号 ， 获 取 存 储 在 第 三 方 移 动 应 用 上 的 敏 感 信 息 。 由 于 O A u t h 广 泛 应 用 于 微 博 等 社 交 网 络 服 务 ， 漏 洞 一 旦 被 黑 客 组 织 利 用 ， 可 能 导 致 用 户 隐 私 信 息 泄 露 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 O A u t h （ O p e n   A u t h o r i z a t i o n ） 是 一 个 关 于 授 权 的 开 放 网 络 标 准 ， 允 许 用 户 授 权 第 三 方 移 动 应 用 ， 访 问 用 户 存 储 在 其 他 服 务 提 供 者 上 的 信 息 ， 而 无 需 将 用 户 名 和 密 码 提 供 给 第 三 方 移 动 应 用 或 分 享 数 据 的 所 有 内 容 。 该 漏 洞 利 用 O A u t h 第 三 方 授 权 无 需 用 户 名 和 密 码 的 特 点 ， 结 合 r e d i r e c t _ u r i 未 指 定 授 权 目 录 引 发 用 户 劫 持 攻 击 。 攻 击 者 通 过 登 录 某 种 社 交 网 络 服 务 ， 修 改 链 接 r e d i r e c t _ u r i 参 数 值 指 向 ， 将 伪 造 后 的 用 户 授 权 链 接 发 给 目 标 用 户 ， 当 目 标 用 户 点 击 或 被 欺 骗 访 问 上 述 授 权 链 接 进 行 登 陆 后 ， 攻 击 者 即 可 通 过 r e f e r e r 获 取 用 户 授 权 ， 快 速 登 录 目 标 用 户 账 号 ， 还 可 登 陆 该 账 号 绑 定 的 其 他 网 站 信 息 ， 查 看 敏 感 信 息 或 执 行 授 权 操 作 ， 还 可 以 利 用 受 害 人 账 号 进 行 非 法 信 息 传 播 、 诈 骗 等 非 法 行 为 。 C N V D 对 上 述 漏 洞 的 综 合 评 级 为 “ 中 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 上 述 漏 洞 影 响 采 用 第 三 方 登 陆 授 权 方 式 的 服 务 ， 如 百 度 、 新 浪 微 博 、 3 6 0 、 金 山 W P S 等 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议 C N V D 建 议 广 大 用 户 采 取 如 下 措 施 进 行 漏 洞 的 防 范 ： 1 .   在 注 册 第 三 方 授 权 时 ， r e d i r e c t _ u r i 需 要 限 制 到 指 定 网 站 的 指 定 目 录 ， 比 如 r e d i r e c t _ u r i 注 册 为 p a s s p o r t . a a a . c o m / o a u t h / ， 而 非 a a a . c o m 或 者 p a s s p o r t . a a a . c o m 。 2 .   禁 止 非 源 跳 转 。 通 过 增 加 网 站 跳 转 的 判 断 条 件 ， 禁 止 对 非 本 网 站 的 链 接 进 行 跳 转 。 参 考 链 接 ： h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 8 - 0 1 6 2 2 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理