搜索

[14814] 2019-11-14_JWT介绍及其安全性分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-11-14_JWT介绍及其安全性分析 J W T 介 绍 及 其 安 全 性 分 析 不 瘦 二 十 斤 不 改 名   F r e e B u f   2 0 1 9 - 1 1 - 1 4 0 x 0 0   前 言 前 言 J W T （ （ J S O N   W e b 令 牌 ） 是 令 牌 ） 是 R E S T   A P I 中 经 常 使 用 的 一 种 机 制 ， 可 以 在 流 行 的 标 准 （ 例 如 中 经 常 使 用 的 一 种 机 制 ， 可 以 在 流 行 的 标 准 （ 例 如 O p e n I D   C o n n e c t ） 中 找 到 它 ， 但 是 有 时 也 会 使 用 ） 中 找 到 它 ， 但 是 有 时 也 会 使 用 O A u t h 2 遇 到 它 。 遇 到 它 。 有 许 多 支 持 有 许 多 支 持 J W T 的 库 ， 该 的 库 ， 该 标 准 本 身 具 有 标 准 本 身 具 有 “ 对 加 密 机 制 的 丰 富 支 持 对 加 密 机 制 的 丰 富 支 持 ” ， 但 是 这 一 切 是 否 意 味 着 ， 但 是 这 一 切 是 否 意 味 着 J W T 本 质 上 是 安 全 的 ？ 本 质 上 是 安 全 的 ？ 由 于 在 我 日 常 工 作 中 就 遇 到 了 j w t   t o k e n 的 问 题 ， 测 试 环 境 和 生 产 环 境 都 有 遇 到 过 类 似 的 情 况 ， 下 面 我 们 一 起 研 究 一 下 ， 参 考 & 总 结 一 下 。 0 x 0 1   J W T   介 绍 介 绍 J S O N   W e b   T o k e n   ( J W T )   i s   a   c o m p a c t ,   U R L - s a f e   m e a n s   o f   r e p r e s e n t i n g   c l a i m s   t o   b e   t r a n s f e r r e d   b e t w e e n   t w o   p a r t i e s .   T h e   c l a i m s   i n   a   J W T   a r e   e n c o d e d   a s   a   J S O N   o b j e c t   t h a t   i s   u s e d   a s t h e   p a y l o a d   o f   a   J S O N   W e b   S i g n a t u r e   ( J W S )   s t r u c t u r e   o r   a s   t h e   p l a i n t e x t   o f   a   J S O N   W e b   E n c r y p t i o n   ( J W E )   s t r u c t u r e   ( … ) R F C   7 5 1 9 如 上 解 释 。 简 而 言 之 ， J W T 是 以 J W S （ J S O N   W e b 签 名 ） 或 J W E （ J S O N   W e b 加 密 ） 结 构 编 码 的 J S O N 格 式 字 符 序 列 （ h t t p s : / / w w w . j s o n . o r g / ） 。 此 外 ， 每 个 选 项 都 必 须 以 紧 凑 的 方 式 进 行 序 列 化 （ J W S 和 J W E 中 的 两 个 序 列 化 之 一 ） 。 大 多 数 情 况 下 ， 您 会 看 到 J W S ， 而 这 种 结 构 通 常 被 称 为 J W T 。 j w t   分 为 三 个 部 分 ， h e a d e r ， p a y l o a d 和 s i g n a t u r e 签 名 部 分 。 三 个 元 素 是 使 用 B A S E 6 4 U R L 算 法 编 码 的 （ 看 起 来 与 B A S E 6 4 非 常 相 似 ， 但 是 其 中 输 出 中 的 加 号 （ + ） 替 换 为 减 号 （ - ） ， 斜 杠 （ / ） 替 换 为 下 划 线 （ _ ） ， 而 且 没 有 标 准 的 B A S E 6 4 填 充 ， 把 等 号 （ = ） 去 掉 。 一 般 来 说 ， 知 道 签 名 的 加 密 字 ， 可 以 上 h t t p s : / / j w t . i o / 来 解 密 ， 或 者 在 这 个 站 点 中 加 密 自 己 所 需 要 的 j w t   t o k e n 。 0 x 0 2   J W T 和 安 全 问 题 和 安 全 问 题 e y J h b G c i O i J I U z I 1 N i J 9 . e y J p c 3 M i O i I x N j Y w N D Y i L C J l e H A i O j E 1 N z I 4 M z k 4 N T Z 9 . a A w u J Z B u G 2 z K B J 0 4 Q Q 3 6 F v L P - 9 P e s i O 3 0 j 9 V C D D g K R 0 使 用 b a s e 6 4 u r l 解 密 以 后 ， 我 们 看 到 如 下 信 息 所 见 ， 使 用 此 “   A P I 密 钥 ” （ 其 主 要 内 容 在 p a y l o a d 中 ） ， 我 们 可 以 实 现 身 份 验 证 （ 我 有 与 A P I 进 行 通 信 的 特 权 ） 和 授 权 （ 在 上 面 的 有 效 负 载 中 ， 您 可 以 看 到 示 例 操 作 ） 可 以 由 密 钥 的 所 有 者 执 行 ） 。 基 本 是 常 见 的 场 景 下 ， j w t 是 用 来 做 身 份 校 验 的 ， 识 别 请 求 者 的 身 份 以 及 用 于 鉴 权 那 么 ， 从 安 全 性 的 角 度 来 看 ， 至 少 存 在 两 个 潜 在 的 问 题 。 1 、 缺 乏 机 密 性 - 我 们 能 够 轻 松 解 码 有 效 载 荷 p a y l o a d （ 和 报 头 h e a d e r ） 。 有 时 间 就 是 这 样 要 求 的 ， 但 是 当 我 们 要 求 对 令 牌 中 发 送 的 数 据 进 行 保 密 时 ， 有 一 种 更 好 的 方 法 可 以 做 到 这 一 点 ： J W E （ J S O N   W e b 加 密 ） 。 2 、 用 户 插 入 另 一 个 操 作 （ 例 如 删 除 ） 并 绕 过 授 权 的 潜 在 可 能 性 。 在 这 种 情 况 下 ， 解 决 方 案 是 在 令 牌 中 使 用 签 名 （ 请 注 意 ， 在 上 面 的 示 例 中 ， 我 们 看 到 了 “ 签 名 ” ） 。 标 头 中 指 示 的 H S 2 5 6 算 法 是 标 准 的 H M A C - S H A 2 5 6   – 一 种 确 保 整 个 消 息 完 整 性 的 机 制 （ 由 于 这 样 ， 用 户 无 法 更 改 有 效 负 载 ） 在 签 名 验 证 期 间 检 测 篡 改 ） 。 要 配 置 H S 2 5 6 ， 您 需 要 生 成 一 个 密 钥 （ 字 符 串 ） 并 将 其 放 入 A P I 配 置 中 。 1 p u b l i c   c l a s s   J w t T o k e n   {       2         p u b l i c   s t a t i c   S t r i n g   c r e a t e T o k e n ( )   t h r o w s   E x c e p t i o n {       3                 M a p < S t r i n g ,   O b j e c t >   m a p   =   n e w   H a s h M a p < S t r i n g ,   O b j e c t > ( ) ;       4                 m a p . p u t ( " a l g " ,   " H S 2 5 6 " ) ;       5                 m a p . p u t ( " t y p " ,   " J W T " ) ;       6                 S t r i n g   t o k e n   =   J W T . c r e a t e ( )       7                                 . w i t h H e a d e r ( m a p ) / / h e a d e r       8                                 . w i t h C l a i m ( " n a m e " ,   " D e s M 0 n d " ) / / p a y l o a d       9                                 . w i t h C l a i m ( " a g e " ,   " 1 8 " )     1 0                                 . s i g n ( A l g o r i t h m . H M A C 2 5 6 ( " s e c r e t " ) ) ; / / 加 密     1 1                 r e t u r n   t o k e n ;     1 2         }     1 3 } 1 h e a d e r   2 {   3     " a l g " :   " H S 2 5 6 "   4 }   5 p a y l o a d   6 {   7     " i s s " :   " 1 6 6 0 4 6 " ,   8     " e x p " :   1 5 7 2 8 3 9 8 5 6   9 } 1 0 V E R I F Y   S I G N A T U R E 1 1 H M A C S H A 2 5 6 ( 1 2     b a s e 6 4 U r l E n c o d e ( h e a d e r )   +   " . "   + 1 3     b a s e 6 4 U r l E n c o d e ( p a y l o a d ) ,   1 1 1 ）
综 上 所 述 ， J W T 看 上 去 比 A P I 密 钥 灵 活 得 多 - 您 可 以 轻 松 地 传 输 任 何 数 据 ， 确 保 其 完 整 性 ， 并 在 必 要 时 保 持 机 密 性 。 此 外 ， 所 有 信 息 （ 秘 密 密 钥 除 外 ） 都 可 以 位 于 令 牌 本 身 中 。 但 是 ， 世 界 上 没 有 十 全 十 美 主 要 问 题 之 一 是 J W T 是 一 种 非 常 复 杂 的 机 制 。 J W T   /   J W S   /   J W E   /   J W K ， 多 种 密 码 算 法 ， 两 种 不 同 的 编 码 （ 序 列 化 ） ， 压 缩 方 式 ， 一 个 以 上 签 名 的 可 能 性 ， 对 多 个 接 收 者 的 加 密 - 这 些 仅 是 几 个 示 例 。 所 有 与 J W T 相 关 的 规 范 都 有 3 0 0 多 个 页 面 ！ 问 题 二 ， 根 据 J W T 的 正 式 规 范 ， 虽 然 通 常 假 定 “ 适 当 的 ”   J W T 是 带 有 签 名 （ J W S ） 的 J W T ， 但 是 签 名 不 是 强 制 性 的 因 此 ， 会 有 这 种 h e a d e r 有 趣 的 是 ， ” n o n e ”   这 个 算 法 配 置 是 根 据 R F C 实 现 的 两 种 算 法 之 一 ， 在 J S O N   W e b 算 法 [ J W A ] 中 指 定 的 签 名 和 M A C 算 法 中 ， 仅 ” H S 2 5 6 ” 和 ” n o n e ” 通 过 符 合 J W T 的 实 现 。 下 面 的 攻 击 方 法 是 从 资 料 里 看 来 的 。 攻 击 方 法 一 ： 修 改 签 名 算 法 攻 击 方 法 一 ： 修 改 签 名 算 法 攻 击 者 可 以 获 得 一 个 J W T （ 带 有 签 名 ） ， 对 其 进 行 更 改 （ 例 如 ， 添 加 新 权 限 等 ） ， 然 后 将 其 放 在 标 头 { “   a l g ” : ” n o n e ” } 中 。 然 后 将 整 个 内 容 发 送 到 A P I （ 带 或 不 带 签 名 ） 。 这 时 候 ， 服 务 器 应 该 接 受 这 样 的 令 牌 吗 ？ 从 理 论 上 讲 是 可 以 的 ， 但 是 它 将 破 坏 J W T 签 名 的 整 个 思 想 。 然 而 ， 这 样 的 情 况 真 的 发 生 了 。 在 许 多 图 书 馆 实 施 J W T s ： h t t p s : / / a u t h 0 . c o m / b l o g / c r i t i c a l - v u l n e r a b i l i t i e s - i n - j s o n - w e b - t o k e n - l i b r a r i e s / ， c v e d e t a i l ： h t t p s : / / w w w . c v e d e t a i l s . c o m / c v e / C V E - 2 0 1 8 - 1 0 0 0 5 3 1 / 。 攻 击 方 法 二 ： 删 除 签 名 攻 击 方 法 二 ： 删 除 签 名 如 果 标 头 中 有 一 个 签 名 算 法 （ 例 如 H S 2 5 6 或 H S 5 1 2 ） ， 但 是 我 们 从 令 牌 中 删 除 了 整 个 签 名 部 分 ， 会 发 生 什 么 ？ 案 例 链 接 h t t p s : / / g i t h u b . c o m / F u s i o n A u t h / f u s i o n a u t h - j w t / i s s u e s / 2 正 如 你 所 看 到 的 ， 有 时 候 这 样 的 令 牌 就 会 被 验 证 ， 这 是 比 上 面 方 法 更 危 险 的 配 置 。 J W T D e c o d e r . d e c o d e 中 的 输 入 验 证 漏 洞 ， 即 使 缺 少 有 效 签 名 ， 该 漏 洞 也 可 能 导 致 J W T 被 解 码 并 因 此 被 隐 式 验 证 。 攻 击 方 法 三 ： 插 入 错 误 信 息 攻 击 方 法 三 ： 插 入 错 误 信 息 如 果 攻 击 者 不 知 道 如 何 创 建 适 当 的 签 名 ， 也 许 会 将 其 插 入 错 误 消 息 中 h t t p s : / / g i t h u b . c o m / j w t - d o t n e t / j w t / i s s u e s / 6 1 因 此 ， 如 果 有 人 更 改 了 有 效 负 载 并 将 此 类 令 牌 发 送 给 服 务 器 ， 则 服 务 器 会 礼 貌 地 通 知 我 们 有 关 信 息 ， 并 提 供 与 我 们 的 有 效 负 载 匹 配 的 正 确 令 牌 。 { “ a l g   “ :   “ n o n e   “ , “ t y p   “ :   “ J W T   “ }
为 了 使 系 统 正 常 运 行 ， 必 须 将 服 务 器 配 置 为 向 用 户 显 示 异 常 ， 虽 然 这 很 普 遍 ， 但 是 这 是 个 不 安 全 的 配 置 。 另 一 个 例 子 h t t p s : / / a u t h 0 . c o m / d o c s / s e c u r i t y / b u l l e t i n s / c v e - 2 0 1 9 - 7 6 4 4 低 于 1 . 0 . 4 的 所 有 A u t h 0 - W C F - S e r v i c e - J W T   N u G e t 软 件 包 版 本   均 在 J W T 签 名 验 证 失 败 时 发 出 的 错 误 消 息 中 包 含 有 关 预 期 J W T 签 名 的 敏 感 信 息 。 攻 击 方 法 四 ： 破 解 攻 击 方 法 四 ： 破 解 H M A C 密 钥 密 钥 这 个 方 法 就 是 我 常 用 的 方 法 了 ， 由 于 加 密 字 的 强 度 过 低 ， 因 此 h m a c 的 密 钥 可 以 被 破 解 。 破 解 j w t 的 加 密 字 ， 标 准 方 法 采 用 A P I 生 成 的 令 牌 并 运 行 经 典 的 蛮 力 / 字 典 / 混 合 攻 击 一 次 迭 代 需 要 计 算 两 个 S H A 2 5 6 哈 希 （ 这 是 H M A C - S H A 2 5 6 的 工 作 方 式 ） ， 并 且 还 有 一 些 工 具 可 以 使 整 个 操 作 自 动 化 ， 例 如 h a s h c a t 使 用 G P U 实 现 J W T 密 钥 的 破 解 。 借 助 几 个 快 速 的 G P U ， 您 可 以 实 现 每 秒 超 过 十 亿 次 检 查 的 速 度 。 而 且 ， 整 个 操 作 可 以 脱 机 完 成 ， 而 无 需 与 A P I 进 行 任 何 交 互 （ 足 以 获 得 一 个 带 有 签 名 的 任 意 令 牌 ） 。 破 解 工 具 ： c - j w t - c r a c k e r   h t t p s : / / g i t h u b . c o m / b r e n d a n - r i u s / c - j w t - c r a c k e r h a s h c a t P y J W T   l i b r a r y   h t t p s : / / g i t h u b . c o m / j p a d i l l a / p y j w t , h t t p s : / / g i t h u b . c o m / h a s h c a t / h a s h c a t / i s s u e s / 1 0 5 7 因 此 ， 密 钥 太 弱 会 被 爆 破 ， 那 么 我 们 该 用 什 么 强 度 的 密 钥 呢 ？ R F C 里 有 规 定 A   k e y   o f   t h e   s a m e   s i z e   a s   t h e   h a s h   o u t p u t   ( f o r   i n s t a n c e ,   2 5 6   b i t s   f o r   “ H S 2 5 6 ” )   o r   l a r g e r   M U S T   b e   u s e d   w i t h   t h i s   a l g o r i t h m . ( T h i s   r e q u i r e m e n t   i s   b a s e d   o n   S e c t i o n   5 . 3 . 4   ( S e c u r i t y   E f f e c t   o f t h e   H M A C   K e y )   o f   N I S T   S P   8 0 0 - 1 1 7   [ N I S T . 8 0 0 - 1 0 7 ] ,   w h i c h   s t a t e s   t h a t   t h e   e f f e c t i v e   s e c u r i t y   s t r e n g t h   i s   t h e   m i n i m u m   o f   t h e   s e c u r i t y   s t r e n g t h   o f   t h e   k e y   a n d   t w o   t i m e s   t h e   s i z e   o f   t h e i n t e r n a l   h a s h   v a l u e . ) . 此 算 法 必 须 使 用 与 哈 希 输 出 大 小 相 同 的 密 钥 （ 例 如 ， “   H S 2 5 6 ” 为 2 5 6 位 ） 或 更 大 。 （ 此 要 求 基 于 N I S T   S P   8 0 0 - 1 1 7   [ N I S T . 8 0 0 - 1 0 7 ] 的 第 5 . 3 . 4 节 （ H M A C 密 钥 的 安 全 性 影 响 ） ， 其 中 规 定 ， 有 效 的 安 全 性 强 度 是 密 钥 的 安 全 强 度 中 的 最 小 值 。 两 倍 于 内 部 哈 希 值 的 大 小 ） 。 攻 击 方 法 五 ： 利 用 签 名 方 法 攻 击 方 法 五 ： 利 用 签 名 方 法 很 多 j w t 的 安 全 问 题 来 源 于 复 杂 的 标 准 。 到 目 前 为 止 ， J W S 签 名 算 法 已 经 有 H M A C 和 S H A 2 5 6 函 数 ， 但 是 这 并 不 是 唯 一 的 选 择 ， 各 种 签 名 的 描 述 可 以 在 这 个 链 接 里 找 到 h t t p s : / / a u t h 0 . c o m / b l o g / j s o n - w e b - t o k e n - s i g n i n g - a l g o r i t h m s - o v e r v i e w / 常 见 的 选 择 是 使 用 非 对 称 算 法 - R S A 。 在 这 种 情 况 下 ， 我 们 将 在 h e a d e r 中 的 ” a l g ” : ”   R S 5 1 2 ” 或 ” a l g ” : ”   R S 2 5 6 ” 中 看 到 。 提 醒 一 下 ： R S A 私 钥 用 于 签 名 ， 与 其 关 联 的 公 钥 可 以 验 证 签 名 。 因 此 ， 在 这 种 情 况 下 ， 我 们 生 成 了 一 对 R S A 密 钥 ， 而 不 是 对 称 密 钥 （ 如 H S 2 5 6 算 法 中 的 对 称 密 钥 ） 。 如 果 您 第 一 次 看 到 R S 5 1 2 或 R S 2 5 6 ， 您 可 能 会 想 到 使 用 5 1 2 或 2 5 6 位 R S A 密 钥 的 要 求 ？ 但 是 ， 这 样 的 密 钥 可 以 以 最 小 的 成 本 和 时 间 来 破 坏 （ 请 参 阅 ： h t t p s   : / / e p r i n t . i a c r . o r g / 2 0 1 5 / 1 0 0 0 . p d f 或 h t t p s : / / w w w . t h e r e g i s t e r . c o . u k / 2 0 1 0 / 0 1 / 0 7 / r s a _ 7 6 8 _ b r o k e n / ） 。 即 使 是 1 0 2 4 位 R S A 密 钥 也 不 被 认 为 是 安 全 的 。 幸 运 的 是 ， 这 仅 指 向 与 R S A 结 合 使 用 的 特 定 S H A 函 数 。 例 如 ， R S 5 1 2 表 示 R S A 加 S H A 5 1 2 功 能 。 但 是 R S A 密 钥 呢 ？ 长 度 由 生 成 它 的 人 员 设 置 ， 这 是 另 一 个 潜 在 的 问 题 （ 此 外 ， 在 不 同 的 在 线 教 程 中 ， 您 可 以 使 用 O p e n S S L 并 生 成 1 0 2 4 位 密 钥 来 找 到 特 定 的 命 令 ） 回 到 这 一 点 ， 使 用 R S A 算 法 ， 我 们 至 少 还 有 一 个 有 趣 的 安 全 问 题 。 如 我 之 前 所 写 ， 公 钥 用 于 签 名 验 证 ， 因 此 通 常 会 在 A P I 配 置 中 将 其 设 置 为 v e r i f y _ k e y 。 在 这 里 ， 值 得 注 意 的 是 ， 对 于 H M A C ， 我 们 只 有 一 个 对 称 密 钥 同 时 用 于 签 名 和 验 证 。 攻 击 者 如 何 伪 造 J W T 令 牌 ？ 1 、 他 获 得 了 一 个 公 共 密 钥 （ 它 的 名 字 表 明 它 可 以 公 开 使 用 ） 。 有 时 ， 它 在 J W T 自 身 内 部 传 输 。 2 、 使 用 h e a d e r 中 设 置 的 H S 2 5 6 算 法 发 送 令 牌 （ 有 效 载 荷 已 更 改 ） （ 即 H M A C ， 而 不 是 R S A ） ， 并 使 用 公 共 R S A 密 钥 对 令 牌 进 行 签 名 。 是 的 ， 这 里 没 有 错 误 – 我 们 使 用 公 共 R S A 密 钥 （ 以 字 符 串 形 式 给 出 ） 作 为 H M A C 的 对 称 密 钥 。 3 、 服 务 器 接 收 令 牌 ， 检 查 将 哪 种 算 法 用 于 签 名 （ H S 2 5 6 ） ， 验 证 密 钥 在 配 置 中 设 置 为 公 共 R S A 密 钥 。 4 、 签 名 经 过 验 证 （ 因 为 使 用 了 完 全 相 同 的 验 证 密 钥 来 创 建 签 名 ， 并 且 攻 击 者 将 签 名 算 法 设 置 为 H S 2 5 6 ） 。 1 h a s h c a t   - m   1 6 5 0 0   j w t . t x t   - a   3   - w   3   ? a ? a ? a ? a ? a ? a 1 > > >   i m p o r t   j w t 2 > > >   e n c o d e d   =   j w t . e n c o d e ( { ' s o m e ' :   ' p a y l o a d ' } ,   ' s e c r e t ' ,   a l g o r i t h m = ' H S 2 5 6 ' ) 3 ' e y J h b G c i O i J I U z I 1 N i I s I n R 5 c C I 6 I k p X V C J 9 . e y J z b 2 1 l I j o i c G F 5 b G 9 h Z C J 9 . 4 t w F t 5 N i z n N 8 4 A W o o 1 d 7 K O 1 T _ y o c 0 Z 6 X O p O V s w a c P Z g '
有 趣 吧 ！ 尽 管 我 们 打 算 仅 使 用 R S A 验 证 令 牌 的 签 名 ， 但 有 可 能 由 用 户 提 供 签 名 算 法 。 因 此 ， 要 么 我 们 只 强 制 一 个 选 定 的 签 名 算 法 （ 我 们 不 提 供 通 过 更 改 令 牌 来 更 改 它 的 可 能 性 ） ， 要 么 让 我 们 为 我 们 支 持 的 每 种 签 名 算 法 提 供 单 独 的 验 证 方 法 （ 和 密 钥 ！ ） 下 面 是 这 个 漏 洞 的 真 实 案 例 ： h t t p s : / / w w w . c v e d e t a i l s . c o m / c v e / C V E - 2 0 1 6 - 1 0 5 5 5 / S i n c e   “ a l g o r i t h m ”   i s n ’ t   e n f o r c e d   i n   j w t . d e c o d e ( ) i n   j w t - s i m p l e   0 . 3 . 0   a n d   e a r l i e r ,   a   m a l i c i o u s   u s e r   c o u l d   c h o o s e   w h a t   a l g o r i t h m   i s   s e n t   s e n t   t o   t h e   s e r v e r .   I f   t h e   s e r v e r   i s   e x p e c t i n g   R S A   b u t   i s s e n t   H M A C - S H A   w i t h   R S A ’ s   p u b l i c   k e y ,   t h e   s e r v e r   w i l l   t h i n k   t h e   p u b l i c   k e y   i s   a c t u a l l y   a n   H M A C   p r i v a t e   k e y .   T h i s   c o u l d   b e   u s e d   t o   f o r g e   a n y   d a t a   a n   a t t a c k e r   w a n t s . 由 于 在 j w t - s i m p l e   0 . 3 . 0 及 更 低 版 本 的 j w t . d e c o d e （ ） 中 未 实 施 “ 算 法 ” ， 因 此 恶 意 用 户 可 以 选 择 将 哪 种 算 法 发 送 到 服 务 器 。 如 果 服 务 器 期 望 使 用 R S A ， 但 使 用 R S A 的 公 钥 向 其 发 送 了 H M A C - S H A ， 则 服 务 器 将 认 为 该 公 钥 实 际 上 是 H M A C 私 钥 。 这 可 用 于 伪 造 攻 击 者 想 要 的 任 何 数 据 。 攻 击 方 法 六 ： 信 任 攻 击 者 密 钥 攻 击 方 法 六 ： 信 任 攻 击 者 密 钥 攻 击 者 可 以 在 令 牌 中 提 供 自 己 的 密 钥 ， 然 后 A P I 会 使 用 该 密 钥 进 行 验 证 ！ 请 参 阅 C V E - 2 0 1 8 - 0 1 1 4 中 的 节 点   n o d e - j o s e 漏 洞 的 细 节 ： h t t p s : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 1 8 - 0 1 1 4 A   v u l n e r a b i l i t y   i n   t h e   C i s c o   n o d e - j o s e   o p e n   s o u r c e   l i b r a r y   b e f o r e   0 . 1 1 . 0   c o u l d   a l l o w   a n   u n a u t h e n t i c a t e d ,   r e m o t e   a t t a c k e r   t o   r e - s i g n   t o k e n s   u s i n g   a   k e y   t h a t   i s   e m b e d d e d   w i t h i n   t h e   t o k e n .   T h e v u l n e r a b i l i t y   i s   d u e   t o   n o d e - j o s e   f o l l o w i n g   t h e   J S O N   W e b   S i g n a t u r e   ( J W S )   s t a n d a r d   f o r   J S O N   W e b   T o k e n s   ( J W T s ) .   T h i s   s t a n d a r d   s p e c i f i e s   t h a t   a   J S O N   W e b   K e y   ( J W K )   r e p r e s e n t i n g   a p u b l i c   k e y   c a n   b e   e m b e d d e d   w i t h i n   t h e   h e a d e r   o f   a   J W S .   T h i s   p u b l i c   k e y   i s   t h e n   t r u s t e d   f o r   v e r i f i c a t i o n .   A n   a t t a c k e r   c o u l d   e x p l o i t   t h i s   b y   f o r g i n g   v a l i d   J W S   o b j e c t s   b y   r e m o v i n g   t h e   o r i g i n a l s i g n a t u r e ,   a d d i n g   a   n e w   p u b l i c   k e y   t o   t h e   h e a d e r ,   a n d   t h e n   s i g n i n g   t h e   o b j e c t   u s i n g   t h e   ( a t t a c k e r - o w n e d )   p r i v a t e   k e y   a s s o c i a t e d   w i t h   t h e   p u b l i c   k e y   e m b e d d e d   i n   t h a t   J W S   h e a d e r . 该 漏 洞 是 由 于 遵 循 J S O N   W e b 令 牌 （ J W T ） 的 J S O N   W e b 签 名 （ J W S ） 标 准 而 导 致 的 节 点 丢 失 。 该 标 准 指 定 可 以 将 表 示 公 共 密 钥 的 J S O N   W e b 密 钥 （ J W K ） 嵌 入 J W S 的 标 头 中 。 然 后 将 此 公 钥 信 任 进 行 验 证 。 攻 击 者 可 以 通 过 以 下 方 法 来 伪 造 有 效 的 J W S 对 象 ： 删 除 原 始 签 名 ， 向 标 头 添 加 新 的 公 钥 ， 然 后 使 用 与 该 J W S 标 头 中 嵌 入 的 公 钥 关 联 的 （ 攻 击 者 拥 有 的 ） 私 钥 对 对 象 进 行 签 名 ， 从 而 利 用 此 漏 洞 早 于 2 0 1 6 年 ， 在 G o - j o s e 库 （ h t t p s : / / m a i l a r c h i v e . i e t f . o r g / a r c h / m s g i f / j o s e / g Q U _ C _ Q U R V u w m y - Q 2 q y V w P L Q l c g ） 中 检 测 到 类 似 的 漏 洞 另 一 个 例 子 h t t p s : / / g i t h u b . c o m / D C I T / p e r l - C r y p t - J W T / c o m m i t / b 9 8 a 5 9 b 4 2 d e d 9 f 9 e 5 1 b 2 5 6 0 4 1 0 1 0 6 2 0 7 c 2 1 5 2 d 6 c 攻 击 方 法 七 ： 恢 复 私 钥 攻 击 方 法 七 ： 恢 复 私 钥 那 么 j w t 加 密 呢 ？ 在 这 里 ， 您 可 以 从 几 种 算 法 中 选 择 （ 消 息 本 身 的 加 密 或 用 于 加 密 消 息 的 对 称 密 钥 的 加 密 ） 。 再 次 ， 有 一 些 有 趣 的 研 究 ， 即 J W E 的 几 种 实 现 使 攻 击 者 可 以 恢 复 私 钥 ： h t t p s : / / b l o g s . a d o b e . c o m / s e c u r i t y / 2 0 1 7 / 0 3 / c r i t i c a l - v u l n e r a b i l i t y - u n c o v e r e d - i n - j s o n - e n c r y p t i o n . h t m l 。 更 具 体 地 说 ， E C D H - E S 算 法 的 实 现 存 在 问 题 （ 顺 便 说 一 下 ， 在 相 关 的 R F C 文 档 中 是 推 荐 级 别 h t t p s :   / / t o o l s . i e t f . o r g / h t m l / r f c 7 5 1 8 ） 。 也 许 以 前 的 漏 洞 只 是 一 个 意 外 ？ 让 我 们 在 G C M 模 式 下 查 看 A E S ： h t t p s   : / / r w c . i a c r . o r g / 2 0 1 7 / S l i d e s / n g u y e n . q u a n . p d f 。 谷 歌 研 究 人 员 正 在 J W T 的 背 景 下 写 这 篇 文 章 ， 他 们 总 结 道 ： G C M 很 脆 弱 ， 但 很 少 检 查 其 实 现 。 我 们 还 可 以 选 择 带 有 P K C S 1 v 1 . 5 填 充 的 R S A 算 法 。 它 出 什 么 问 题 了 ？ 自 1 9 9 8 年 以 来 该 问 题 已 经 知 道 ： f t p : / / f t p . r s a . c o m / p u b / p d f s / b u l l e t n 7 . p d f 。 而 有 些 人   概 括 起 来 是 这 样 的 ： h t t p s : / / b l o g . c r y p t o g r a p h y e n g i n e e r i n g . c o m / 2 0 1 2 / 0 9 / 0 6 / o n - p r o v a b l e - s e c u r i t y - o f - t l s - p a r t - 1 / P K C S ＃ 1 v 1 . 5 非 常 棒 – 如 果 您 要 教 授 关 于 如 何 攻 击 密 码 协 议 的 课 程 。 使 用 J W E 会 永 远 注 定 失 败 吗 ？ 当 然 不 是 ， 但 是 值 得 验 证 我 们 是 否 使 用 了 适 当 的 安 全 加 密 算 法 （ 及 其 安 全 实 现 ） 。 现 在 ， 我 们 对 众 多 选 择 感 到 有 些 不 知 所 措 。 毕 竟 ， 我 们 只 想 在 A P I 端 “ 解 码 ” 令 牌 并 使 用 其 中 包 含 的 信 息 。 但 是 请 记 住 ， “ d e c o d e ” 并 不 总 是 与 “ v e r i f y ” 相 同 ， 但 是 不 同 的 库 可 能 提 供 不 同 的 功 能 来 解 码 和 / 或 验 证 令 牌 。 可 以 在 下 面 链 接 找 到 此 类 问 题 或 疑 问 的 示 例 。 h t t p s : / / g i t h u b . c o m / a u t h 0 / j w t - d e c o d e / i s s u e s / 4 简 而 言 之 ， 如 果 我 使 用 e n c o d e （ ） 函 数 ， 则 可 能 只 对 B A S E 6 4 U R L 的 有 效 负 载 （ 或 标 头 ） 进 行 解 码 ， 而 无 需 进 行 任 何 验 证 。 验 证 可 以 是 一 个 单 独 的 函 数 ， 尽 管 它 也 可 以 内 置 在 d e c o d e （ ） 中 。 有 时 ， 是 用 户 要 求 这 种 选 项 （ 在 下 面 引 用 的 情 况 下 ） ， 有 人 要 求 重 载 d e c o d e （ ） 方 法 ， 以 便 它 也 可 以 接 受 令 牌 本 身 （ 没 有 密 钥 ） ： 攻 击 方 法 八 ： 上 下 文 相 同 令 牌 攻 击 方 法 八 ： 上 下 文 相 同 令 牌 J W T 经 常 指 出 的 优 点 之 一 是 ， 无 需 执 行 对 数 据 库 的 查 询 ， 即 可 实 现 身 份 验 证 （ 或 授 权 - 取 决 于 将 使 用 整 个 上 下 文 的 上 下 文 ） 。 此 外 ， 我 们 可 以 在 几 个 独 立 的 服 务 器 （ A P I ） 上 并 行 执 行 此 操 作 。 毕 竟 ， 仅 令 牌 的 内 容 就 足 以 在 此 处 做 出 决 定 。 它 还 有 一 个 缺 点 – 如 果 许 多 服 务 器 上 可 用 的 签 名 密 钥 以 某 种 方 式 泄 漏 了 怎 么 办 ？ 当 然 ， 有 可 能 生 成 使 用 适 当 密 钥 进 行 验 证 的 所 有 机 器 所 接 受 的 正 确 签 名 的 令 牌 。 攻 击 者 可 以 从 中 获 得 什 么 ？ 例 如 ， 未 经 授 权 访 问 A P I 函 数 或 其 他 用 户 帐 户 。 在 这 种 情 况 下 ， 可 以 使 用 规 范 本 身 定 义 的 某 些 参 数 ： i s s （ 发 出 者 ） 和 a u d （ 听 众 ） 。 多 亏 了 他 们 ， 令 牌 才 被 我 们 的 特 定 接 收 者 接 受 。 { “ i s s   ”   =   “ m y _ a p i   “ , “ l o g i n   ”   =   “ m a n a g e r   “ , “ a u d   ”   =   “ s t o r e _ a p i   “ }
攻 击 方 法 九 ： 重 放 攻 击 方 法 九 ： 重 放 J W T 如 果 特 定 令 牌 只 能 使 用 一 次 怎 么 办 ？ 让 我 们 想 象 一 个 场 景 ， 当 用 户 编 写 一 个 生 成 的 令 牌 以 执 行 我 们 A P I 中 的 D E L E T E 方 法 时 。 然 后 ， 例 如 一 年 后 （ 理 论 上 他 不 再 拥 有 相 应 的 权 限 ） 之 后 ， 他 尝 试 再 次 使 用 它 （ 所 谓 的 重 播 攻 击 ） 。 为 此 ， 请 使 用 以 下 声 明 ： j t i 和 e x p 。 J t i （ J W T   I D ） 是 令 牌 标 识 符 ， 必 须 是 唯 一 的 ， 而 e x p 是 令 牌 到 期 日 期 的 定 义 。 这 两 个 字 段 的 组 合 将 使 我 们 在 适 当 程 度 上 缩 短 令 牌 的 有 效 性 及 其 唯 一 性 。 但 是 ， 值 得 注 意 的 是 ， 我 们 是 否 正 确 实 施 了 这 两 个 部 分 。 现 在 看 看 根 本 没 有 考 虑 e x p 值 的 b u g （ h t t p s : / / g i t h u b . c o m / j w t - d o t n e t / j w t / i s s u e s / 1 3 4 ） 。 J W T 不 会 在 . N e t C o r e 中 抛 出 E x p i r e d T o k e n E x c e p t i o n 库 开 发 人 员 使 用 到 期 声 明 （ 不 在 J W T 规 范 中 ） 执 行 到 期 检 查 ； 报 告 后 ， 该 错 误 已 得 到 纠 正 。 攻 击 方 法 十 ： 定 时 攻 击 签 名 攻 击 方 法 十 ： 定 时 攻 击 签 名 如 果 通 过 具 有 正 确 签 名 的 字 节 接 一 个 字 节 地 检 查 来 自 J W S   的 签 名 （ 由 接 受 J W S 的 一 方 生 成 ） ， 并 且 如 果 验 证 在 第 一 个 不 一 致 的 字 节 上 完 成 ， 则 我 们 可 能 会 受 到 时 间 攻 击 。 请 注 意 ， 在 这 种 情 况 下 ， 我 们 拥 有 的 匹 配 字 节 越 多 ， 需 要 的 比 较 就 越 多 ， 因 此 响 应 所 需 的 时 间 越 长 。 可 以 通 过 生 成 连 续 的 签 名 来 观 察 响 应 时 间 ， 从 签 名 的 第 一 个 字 节 开 始 ， 然 后 再 移 至 第 二 个 签 名 。 有 关 此 类 攻 击 的 确 切 描 述 ， 请 参 见 ： h t t p s : / / h a c k e r n o o n . c o m / c a n - t i m i n g - a t t a c k - b e - a - p r a c t i c a l - s e c u r i t y - t h r e a t - o n - j w t - s i g n a t u r e - b a 3 c 8 3 4 0 d e a 9 根 据 报 告 ， 在 产 生 大 量 流 量 （ 每 秒 多 达 5 5 , 0 0 0 个 请 求 ） 的 情 况 下 ， 可 以 在 2 2 小 时 （ 实 验 室 条 件 ） 中 获 得 任 何 消 息 的 签 名 。 当 然 ， 如 果 流 量 减 少 ， 我 们 将 需 要 更 多 的 时 间 （ 数 天 ） ， 但 是 效 果 可 能 令 人 震 惊 （ 我 们 可 以 生 成 任 何 J W T 并 准 备 将 被 验 证 为 正 确 的 签 名 ） 。 在 现 实 生 活 中 这 种 袭 击 真 的 可 能 吗 ？ 您 可 以 想 象 ， 响 应 时 间 的 变 化 很 小 ， 但 是 您 可 以 尝 试 测 量 它 们 。 在 这 一 点 上 ， 还 应 该 提 醒 您 一 些 有 关 时 间 攻 击 的 较 旧 的 文 章 ： h t t p s   : / / w w w . c s . r i c e . e d u / ~ d w a l l a c h / p u b / c r o s b y - t i m i n g 2 0 0 9 . p d f 。 已 实 现 以 下 测 量 ： 我 们 的 工 作 基 于 准 确 测 量 网 络 响 应 时 间 和 本 地 网 络 以 及 整 个 I n t e r n e t 上 的 抖 动 来 分 析 攻 击 的 局 限 性 。 我 们 提 出 的 滤 波 器 设 计 可 显 着 降 低 抖 动 的 影 响 ， 使 攻 击 者 能 够 在 I n t e r n e t 上 以 1 5 - 1 0 0 µ s 的 精 度 测 量 事 件 ， 在 本 地 网 络 上 以 1 0 0 n s 的 精 度 进 行 测 量 。 其 他 问 题 其 他 问 题 除 了 以 上 的 攻 击 方 法 以 外 ， 在 实 际 开 发 生 产 中 也 会 产 生 各 种 问 题 。 1 、 生 产 和 测 试 使 用 相 同 的 密 钥 2 、 服 务 器 端 缺 少 对 t o k e n 的 记 录 和 校 验 。 当 收 到 r e q u e s t 时 ， 只 校 验 签 名 是 否 合 法 ， 而 没 有 校 验 是 否 由 自 己 生 产 ， 这 也 是 伪 造 j w t   t o k e n 能 够 成 功 攻 击 的 一 个 原 因 （ 但 不 是 全 部 ） 0 x 0 3   J W T 安 全 性 讨 论 安 全 性 讨 论 s o ？ J W T 安 全 吗 ？ 安 全 界 的 意 见 分 歧 。 有 些 人 坚 决 不 鼓 励 使 用 J W T ， 另 一 些 人 则 指 出 准 备 不 充 分 的 实 现 ， 而 另 一 些 人 则 准 确 地 描 述 了 J W T 机 制 本 身 ， 将 决 定 权 留 给 了 用 户 。 此 外 ， J W T 是 一 种 非 常 流 行 的 机 制 ， 没 有 标 准 的 ， 流 行 的 替 代 方 法 ， 它 还 证 明 了 其 安 全 性 。 之 前 指 出 的 安 全 问 题 可 以 分 为 三 类 ： 1 、 J W T 规 范 本 身 存 在 问 题 （ 例 如 ， 无 算 法 ） 。 2 、 库 实 现 错 误 ， 包 括 密 码 算 法 实 现 错 误 （ 可 能 是 最 多 的 一 组 ） 。 3 、 库 使 用 不 正 确 。 首 先 首 先 1 、 了 解 您 要 使 用 的 内 容 ： 考 虑 您 是 否 需 要 J W S 或 J W E ， 选 择 合 适 的 算 法 ， 了 解 它 们 的 用 途 （ 至 少 在 一 般 级 别 上 ， 例 如 H M A C ， 公 钥 ， 私 钥 ） 。 找 出 究 竟 能 提 供 所 选 择 的 J W T 库 的 内 容 。 也 许 可 以 使 用 一 种 现 成 的 ， 更 直 接 的 机 制 ？ 密 钥 密 钥 2 、 使 用 适 当 的 复 杂 对 称 / 非 对 称 密 钥 。 3 、 编 写 一 个 方 案 以 防 万 一 密 钥 泄 露 （ 泄 露 ） 。 4 、 将 密 钥 放 在 安 全 的 地 方 （ 例 如 ， 不 要 在 源 代 码 中 永 久 性 地 对 其 进 行 硬 编 码 ） 。 5 、 理 想 情 况 下 ， 不 允 许 发 送 方 设 置 任 意 签 名 算 法 （ 最 好 在 服 务 器 端 强 制 使 用 特 定 的 签 名 算 法 ） 。 签 名 签 名 6 、 检 查 您 的 实 现 是 否 不 接 受 无 签 名 算 法 。
7 、 检 查 您 的 实 现 是 否 不 接 受 空 签 名 （ 即 未 选 中 签 名 ） 。 8 、 如 果 您 使 用 J W E ， 请 检 查 您 是 否 在 使 用 安 全 算 法 以 及 这 些 算 法 的 安 全 实 现 。 9 、 区 分 v e r i f y （ ） 和 d e c o d e （ ） 。 换 句 话 说 ， 请 检 查 您 是 否 确 定 要 验 证 签 名 。 通 用 规 则 通 用 规 则 1 0 、 检 查 在 一 个 地 方 生 成 的 令 牌 是 否 不 能 在 另 一 个 地 方 使 用 以 获 取 未 经 授 权 的 访 问 。 1 1 、 检 查 调 试 模 式 是 否 已 关 闭 ， 并 且 不 能 通 过 简 单 的 技 巧 将 其 激 活 （ 例 如 ？ d e b u g   =   t r u e ） 。 1 2 、 避 免 在 U R L 中 发 送 令 牌 （ 这 可 能 会 泄 漏 敏 感 数 据 – 例 如 ， 然 后 将 此 类 令 牌 写 入 W e b 服 务 器 日 志 ） 。 P a y l o a d 1 3 、 检 查 是 否 在 J W S 有 效 负 载 中 放 置 了 机 密 信 息 （ 不 推 荐 ） 。 1 4 、 确 保 您 免 受 重 放 攻 击 （ 重 新 发 送 令 牌 ） 。 1 5 、 确 保 令 牌 具 有 足 够 短 的 有 效 期 （ 例 如 ， 通 过 使 用 “   e x p ” 声 明 ） 。 1 6 、 确 保 已 实 际 检 查 “   e x p ” 。 考 虑 是 否 需 要 使 特 定 令 牌 无 效 （ 标 准 没 有 为 此 提 供 工 具 ， 但 是 有 几 种 方 法 可 以 实 现 这 种 类 型 的 机 制 ） 库 1 7 、 仔 细 阅 读 库 的 文 件 。 1 8 、 检 查 您 使 用 的 库 中 的 漏 洞 （ 例 如 ， 在 服 务 ： c v e d e t a i l s . c o m 或 项 目 网 站 上 ） 。 1 9 、 检 查 您 以 前 的 项 目 是 否 不 使 用 易 受 攻 击 的 库 ； 检 查 您 是 否 正 在 监 视 库 中 的 新 错 误 （ 例 如 ， 在 实 施 一 个 月 后 ， 它 们 可 能 会 出 现 ） 。 2 0 、 跟 踪 支 持 J W T 的 库 中 的 新 漏 洞 。 也 许 将 来 ， 有 人 会 在 另 一 个 项 目 中 发 现 一 个 漏 洞 ， 该 漏 洞 在 您 正 在 使 用 的 库 中 以 相 同 的 形 式 存 在 。 0 x 0 4   J W T 的 替 代 的 替 代 h t t p s : / / p a s e t o . i o / P a s e t o 是 您 对 J O S E （ J W T ， J W E ， J W S ） 所 钟 爱 的 一 切 ， 而 没 有 困 扰 J O S E 标 准 的 许 多 设 计 缺 陷 。 简 而 言 之 ， P A S E T O 将 成 为 J W T 的 安 全 版 本 。 它 真 的 能 兑 现 诺 言 吗 ？ 目 前 ， 真 的 很 难 说 – 这 是 一 个 非 常 年 轻 的 项 目 ， 尚 处 于 开 发 阶 段 。 在 h t t p s : / / p a r a g o n i e . c o m / b l o g 和 h t t p s : / / d e v e l o p e r . o k t a . c o m / b l o g / 2 0 1 9 / 1 0 / 1 7 / a - t h o r o u g h - i n t r o d u c t i o n - t o - p a s e t o 可 以 找 到 更 多 信 息 。 0 x 0 5   一 些 有 用 的 资 源 一 些 有 用 的 资 源 1 .   J S O N   W e b 令 牌 最 佳 实 践 ： h t t p s : / / t o o l s . i e t f . o r g / h t m l / d r a f t - i e t f - o a u t h - j w t - b c p - 0 4 2 .   J W T 手 册 ： h t t p s : / / a u t h 0 . c o m / r e s o u r c e s / e b o o k s / j w t - h a n d b o o k 3 . 讨 论 J W T 的 漏 洞 ： h t t p s : / / l o b s t e . r s / s / r 4 l v 7 6 / j w t _ i s _ b a d _ s t a n d a r d _ e v e r y o n e _ s h o u l d _ a v o i d h t t p s : / / m e d i u m . c o m / s w l h / h a c k i n g - j s o n - w e b - t o k e n s - j w t s - 9 1 2 2 e f e 9 1 e 4 a 4 .   J a v a   J W T 速 查 表 （ O W A S P ） 。 h t t p s : / / w w w . o w a s p . o r g / i n d e x . p h p / J S O N W e b _ T o k e n ( J W T ) _ C h e a t _ S h e e t _ f o r _ J a v a 5 . 关 于 如 何 更 安 全 地 使 用 J W T 的 一 些 想 法 ： h t t p s : / / d e v . t o / n e i l m a d d e n / 7 - b e s t - p r a c t i c e s - f o r - j s o n - w e b - t o k e n s 6 . 一 组 反 对 使 用 J W T 创 建 会 话 的 参 数 ： h t t p : / / c r y t o . n e t / ~ j o e p i e 9 1 / b l o g / 2 0 1 6 / 0 6 / 1 3 / s t o p - u s i n g - j w t - f o r - s e s s i o n s / 7 .   J W T 与 会 话 I D 的 比 较 以 及 有 关 相 关 安 全 功 能 的 建 议 ： h t t p : / / b y . j t l . x y z / 2 0 1 6 / 0 6 / t h e - u n s p o k e n - v u l n e r a b i l i t y - o f - j w t s . h t m l 0 x 0 6   R e f e r e n c e s h t t p : / / b l o g . r a n g e f o r c e . c o m / t u t o r i a l / 2 0 1 9 / 0 5 / 2 9 / B r e a k i n g - J W T s / h t t p s : / / r e s e a r c h . s e c u r i t u m . c o m / j w t - j s o n - w e b - t o k e n - s e c u r i t y / h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 5 1 9 h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 4 2 5 0 6 9 0 5 / a r t i c l e / d e t a i l s / 8 2 0 5 3 8 8 8 * 本 文 作 者 ： 本 文 作 者 ： 不 瘦 二 十 斤 不 改 名 ， 转 载 请 注 明 来 自 不 瘦 二 十 斤 不 改 名 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理