搜索

[15435] 2020-05-30_篡改JWT实现账户劫持

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-30_篡改JWT实现账户劫持 篡 改 J W T 实 现 账 户 劫 持 c l o u d s   F r e e B u f   2 0 2 0 - 0 5 - 3 0 今 天 分 享 的 这 篇 今 天 分 享 的 这 篇 W r i t e u p 是 关 于 是 关 于 J S O N   W e b   T o k e n s   ( J W T ) 的 ， 其 利 用 点 是 可 以 绕 过 用 户 邮 件 验 证 码 确 认 ， 实 现 的 ， 其 利 用 点 是 可 以 绕 过 用 户 邮 件 验 证 码 确 认 ， 实 现 密 码 重 置 从 而 达 到 账 户 劫 持 目 的 。 密 码 重 置 从 而 达 到 账 户 劫 持 目 的 。 J S O N   W e b   T o k e n ， ， J W T J S O N   W e b   T o k e n   ( J W T )   是 基 于 R F C   7 5 1 9 标 准 定 义 的 ， 以 J S O N 形 式 在 网 络 应 用 间 安 全 传 递 信 息 的 一 种 紧 凑 而 独 立 的 方 法 ， 尤 其 适 用 于 分 布 式 站 点 的 单 点 登 录 （ S S O ） 场 景 。 J W T 携 带 的 属 性 信 息 通 过 H M A C 算 法 的 电 子 签 名 方 式 被 用 来 在 客 户 端 和 服 务 端 之 间 进 行 身 份 验 证 ， 其 默 认 的 签 名 算 法 为 H M A C   S H A 2 5 6 。 J W T 的 结 构 J W T 主 要 由 三 个 部 分 组 成 ， 各 部 分 之 间 为 . 分 开 ， 它 们 分 别 是 ： H e a d e r （ 头 部 ） P a y l o a d （ 负 载 ） S i g n a t u r e （ 签 名 ） 样 式 为 ： x x x x x . y y y y y . z z z z z 无 需 无 需 t o k e n 进 行 邮 件 地 址 验 证 进 行 邮 件 地 址 验 证 我 发 现 的 漏 洞 是 这 样 的 。 通 过 利 用 目 标 系 统 的 邀 请 功 能 并 修 改 其 中 携 带 的 J W T   t o k e n 信 息 ， 无 需 点 击 确 认 链 接 ， 即 可 实 现 对 用 户 邮 件 地 址 和 身 份 的 验 证 。 假 设 我 有 一 个 邮 箱 地 址 是 a t t a c k e r @ a t t a c k e r . c o m ， 然 后 我 在 目 标 网 站 的 邀 请 功 能 中 发 起 对 该 邮 箱 地 址 的 一 个 邀 请 操 作 ， 接 下 来 ， 我 登 录 该 邮 箱 a t t a c k e r @ a t t a c k e r . c o m 后 ， 会 在 收 件 箱 中 收 到 一 个 U R L 形 式 携 带 J W T 的 确 认 链 接 。 该 过 程 在 B u r p 中 的 响 应 如 下 ：
我 在 收 件 箱 中 收 到 的 U R L 形 式 携 带 J W T 的 确 认 链 接 如 下 ： 链 接 后 即 是 一 串 J W T   t o k e n ， 通 过 网 站 h t t p s : / / j w t . i o / ， 解 码 该 J W T   t o k e n 后 的 结 果 如 下 ： 到 此 ， 我 第 一 时 间 想 到 的 就 是 尝 试 用 上 述 邀 请 功 能 邀 请 目 标 网 站 管 理 员 的 对 应 邮 箱 a d m i n @ c o m p a n y . c o m ， 操 作 之 后 ， B u r p 中 的 响 应 消 息 如 下 ： 然 后 ， 在 收 件 箱 中 同 样 也 收 到 了 一 个 携 带 J W T 的 U R L 链 接 ， 通 过 J W T 编 码 解 码 操 作 ， 我 尝 试 把 其 中 我 自 己 邀 请 人 的 a t t a c k e r @ a t t a c k e r . c o m 更 改 为 a d m i n @ c o m p a n y . c o m ， 把 其 中 的 i d 也 更 改 为 a d m i n 的 I D ， 并 把 其 时 间 戳 （ t i m e s t a m p ） 即 “ c r e a t e d   d a t e ” : ” x x x x x x x x ” 也 做 了 相 应 修 改 ， 然 后 再 次 通 过 编 码 生 成 新 的 J W T 。 利 用 该 J W T 我 就 可 以 来 确 认 用 户 身 份 ， 并 重 置 与 邮 箱 a d m i n @ c o m p a n y . c o m 对 应 的 公 司 管 理 员 用 户 密 码 。 因 此 ， 后 续 可 以 利 用 该 J W T 的 延 伸 凭 据 信 息 ， 去 登 录 目 标 网 站 公 司 如 业 务 支 持 等 不 同 业 务 端 的 S S O 接 口 。 重 置 其 他 用 户 密 码 重 置 其 他 用 户 密 码 该 方 法 由 于 需 要 知 道 对 方 受 害 者 用 户 的 I D 号 信 息 ， 因 此 并 不 适 用 于 任 意 用 户 ， 利 用 方 式 还 是 存 在 一 定 难 度 ， 但 至 少 我
可 以 通 过 注 册 两 个 用 户 的 方 式 来 验 证 漏 洞 。 就 比 如 用 其 它 邮 箱 注 册 了 一 个 测 试 用 户 （ 假 设 为 V i c t i m ） ， 从 账 户 信 息 中 可 以 看 到 其 用 户 i d 为 ： j y A z V 7 K h T ， 然 后 我 用 之 前 我 的 a t t a c k e r @ a t t a c k e r . c o m 发 起 密 码 重 置 请 求 ， 然 后 从 我 的 邮 箱 a t t a c k e r @ a t t a c k e r . c o m 中 收 到 一 个 携 带 J W T 的 重 置 链 接 ， 如 下 ： 把 该 J W T 放 到 h t t p s : / / j w t . i o / 的 J W T 解 码 工 具 中 解 密 ， 在 右 边 D e c o d e 区 域 得 出 具 体 的 J W T 三 部 分 内 容 ， 接 着 ， 把 其 中 的 i d 更 改 为 V i c t i m 账 户 的 i d ： j y A z V 7 K h T 。 这 样 就 生 成 了 V i c t i m 账 户 的 密 码 重 置 J W T 了 ， 把 它 放 入 上 述 U R L 确 认 链 接 之 后 ， 就 能 更 改 V i c t i m 账 户 密 码 了 ！ 漏 洞 原 因 漏 洞 原 因 目 标 网 站 在 客 户 端 进 行 J W T 的 生 成 ， 这 样 一 来 ， 就 可 导 致 J W T 可 被 客 户 端 篡 改 的 风 险 ， 安 全 的 方 式 是 把 J W T 放 到 服 务 端 生 成 。 技 术 参 考 技 术 参 考 h t t p s : / / j w t . i o / i n t r o d u c t i o n / h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 6 3 8 6 3 5 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i t y b r e a c h e d ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理