搜索

[10613] 2016-10-17_授权登录的安全短板——[移动APP安全揭秘]第二期

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-10-17_授权登录的安全短板——[移动APP安全揭秘]第二期 授 权 登 录 的 安 全 短 板 — — [ 移 动   A P P   安 全 揭 秘 ] 第 二 期 F r e e B u f   2 0 1 6 - 1 0 - 1 7 以 下 文 章 来 源 于 腾 讯 云 安 全   ， 作 者 安 小 妹 前 情 提 要 前 情 提 要 上 期 关 键 词 回 顾 ： 上 期 关 键 词 回 顾 ： 网 民 吐 槽 的 场 景 、 障 眼 法 的 病 毒 、 给 他 人 做 嫁 衣 的 开 发 团 队 、 见 招 拆 招 的 乐 固 上 期 阅 读 链 接 ： 上 期 阅 读 链 接 ： [ 移 动 移 动   A P P   安 全 揭 秘 安 全 揭 秘 ] 第 一 期 第 一 期 — — 泛 滥 的 盗 版 泛 滥 的 盗 版 往 事 再 现 往 事 再 现 两 年 前 新 加 坡 南 洋 理 工 大 学 一 位 名 叫   W a n g   J i n g   的 博 士 生 ， 发 现 了   O A u t h   和   O p e n I D   开 源 登 录 工 具 的 “ 隐 蔽 重 定 向 ” 漏 洞 ( C o v e r t   R e d i r e c t ) ， 博 足 了 全 世 界 眼 球 ， 也 被 一 些 安 全 研 究 人 员 研 究 出 了 各 种 猥 琐 利 用 的 方 式 （ 参 看 知 乎 专 栏 ： 优 主 张 ， O A u t h   相 关 文 章 ） ， 能 随 意 进 出 各 大 社 交 网 站 的 用 户 主 页 ， 当 时 不 少 媒 体 以 为 是   O A u t h   这 个 协 议 的 问 题 ， 而 实 际   O A u t h   这 个 协 议 本 身 是 没 有 问 题 的 ， 之 所 以 存 在 问 题 是 因 为 各 个 厂 商 没 有 严 格 参 照 官 方 文 档 ， 只 实 现 了 简 版 。 本 期 精 彩 本 期 精 彩 而 而   O A u t h 2 . 0   协 议 是 目 前 被 第 三 方 登 录 服 务 商 广 泛 采 用 的 一 个 用 于 第 三 方 授 权 的 协 议 ， 有 了 上 述 的 往 年 经 验 ， 第 三 方 服 务 商 在 提 供 第 三 方 登 协 议 是 目 前 被 第 三 方 登 录 服 务 商 广 泛 采 用 的 一 个 用 于 第 三 方 授 权 的 协 议 ， 有 了 上 述 的 往 年 经 验 ， 第 三 方 服 务 商 在 提 供 第 三 方 登 录 服 务 时 ， 也 大 多 考 虑 到 了 可 能 存 在 的 攻 击 面 ， 因 此 更 多 的 攻 击 点 在 录 服 务 时 ， 也 大 多 考 虑 到 了 可 能 存 在 的 攻 击 面 ， 因 此 更 多 的 攻 击 点 在   A P P   自 身 。 自 身 。 继 上 期 移 动 继 上 期 移 动   A P P   行 业 安 全 概 况 介 绍 后 ， 本 期 我 们 跟 大 家 重 点 讲 讲 行 业 安 全 概 况 介 绍 后 ， 本 期 我 们 跟 大 家 重 点 讲 讲   A P P   中 不 安 全 的 第 三 方 登 录 实 现 方 式 ， 如 何 发 现 、 如 何 避 免 中 不 安 全 的 第 三 方 登 录 实 现 方 式 ， 如 何 发 现 、 如 何 避 免   A p p s e c r e t   泄 泄 露 （ 类 似 于 授 权 密 钥 ） 露 （ 类 似 于 授 权 密 钥 ）   等 ， 从 而 避 免 用 户 信 息 泄 露 ， 以 及 又 将 如 何 修 复 。 等 ， 从 而 避 免 用 户 信 息 泄 露 ， 以 及 又 将 如 何 修 复 。 受 开 发 者 欢 迎 的 第 三 方 登 录 是 什 么 ？ 受 开 发 者 欢 迎 的 第 三 方 登 录 是 什 么 ？ 腾 讯 云 安 全 腾 讯 云 安 全   . 腾 讯 云 安 全 公 众 号
现 在 市 面 上 越 来 越 多 的   A P P   或 者   W e b   应 用 都 提 供 了 第 三 方 登 录 的 功 能 ， 如 通 过 微 博 、 微 信 、 Q Q   登 录 等 ， 用 户 只 需 要 在 对 应 的   A P P   上 选 择 授 权 就 可 以 一 键 登 录 。 比 起 传 统 的 账 号 密 码 注 册 登 录 流 程 ， 第 三 方 登 录 减 少 了 很 多 繁 琐 的 操 作 和 流 程 ， 降 低 了 注 册 和 登 录 门 槛 ， 并 且 更 有 安 全 保 障 ， 所 以 也 很 受 开 发 者 的 欢 迎 。 然 而 即 使 第 三 方 登 录 安 全 性 已 有 保 障 ， 但 正 如 木 桶 理 论 所 说 ， 决 定 产 品 安 全 性 的 往 往 是 一 些 然 而 即 使 第 三 方 登 录 安 全 性 已 有 保 障 ， 但 正 如 木 桶 理 论 所 说 ， 决 定 产 品 安 全 性 的 往 往 是 一 些 “ 短 板 短 板 ” ， 如 开 发 者 对 授 权 流 程 的 错 误 理 解 ， 不 正 ， 如 开 发 者 对 授 权 流 程 的 错 误 理 解 ， 不 正 确 的 实 现 方 式 等 。 确 的 实 现 方 式 等 。   完 整 的 第 三 方 登 录 流 程 与 完 整 的 第 三 方 登 录 流 程 与             所 使 用 的 所 使 用 的   O A u t h   2 . 0   协 议 协 议         O A u t h 2 . 0   协 议 是 目 前 广 泛 被 采 用 的 一 个 用 于 第 三 方 授 权 的 协 议 ， 具 体 的 协 议   R F C   文 档 可 参 看 h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 6 7 4 9   比 起 曾 经 的   O A u t h 1 . 0 a   协 议 ， O A u t h 2 . 0   更 加 简 单 清 晰 ， 同 时 加 密 方 式 依 赖 h t t p s 的 可 信 传 输 而 非   O A u t h 1 . 0 a   的   T o k e n   签 名 加 密 ， 同 时 提 供 了 多 个 途 径 如 授 权 码 、 刷 新 令 牌 等 去 获 取 访 问   T o k e n   令 牌 ， 适 用 场 景 更 广 。 因 此 国 内 的 第 三 方 登 录 服 务 商 也 大 多 使 用 或 参 考 了   O A u t h 2 . 0   协 议 的 实 现 方 式 。 例 如 某 知 名 社 交   A P P   的 授 权 流 程 ： 由 上 图 可 以 看 到 一 次 完 整 的 第 三 方 登 录 流 程 涉 及 到 了 三 方 ： 用 户 ， 第 三 方 登 录 服 务 提 供 者 用 户 ， 第 三 方 登 录 服 务 提 供 者 ( 如 微 博 、 微 信 、 如 微 博 、 微 信 、 Q Q 等 等 ) ， ， A P P   应 用 自 身 应 用 自 身 。 任 何 一 方 如 果 出 现 了 安 全 薄 弱 点 ， 则 会 击 溃 整 个 安 全 认 证 体 系 。 实 际 上   O A u t h 2 . 0   协 议 在 设 计 时 已 经 考 虑 到 了 可 能 存 在 的 攻 击 面 ， 并 且 也 提 供 了 相 应 的 应 对 建 议 h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 6 8 1 9 第 三 方 服 务 商 在 提 供 第 三 方 登 录 服 务 时 ， 也 大 多 考 虑 到 了 这 些 存 在 的 风 险 ， 因 此 更 多 的 攻 击 点 在   A P P   自 身 。 接 下 来 本 文 介 绍 一 种   A P P 常 见 的 漏 洞 ： A p p s e c r e t 、 A c c e s s _ T o k e n   泄 露 。 A P P   用 户 信 息 泄 露 的 根 源 之 一 用 户 信 息 泄 露 的 根 源 之 一             A p p s e c r e t 、 、 A c c e s s _ T o k e n   泄 露 泄 露         开 发 者 在 类 似 微 博 应 用 开 发 平 台 、 微 信 开 放 平 台 注 册 应 用 后 ， 平 台 一 般 会 给 开 发 者 颁 发   A p p i d 、 A p p s e c r e t   这 两 个 字 段 ， 这 个 是 应 用 的 唯 一 标 示 ， 使 用 这 两 个 字 段 的 目 的 主 要 是 确 保 应 用 是 开 发 者 本 人 在 使 用 。 同 时 这 种 第 三 方 开 放 平 台 还 会 开 放 给 开 发 者 不 同 的   A P I   接 口 ， 可 以 进 行 一 些 授 权 的 操 作 行 为 ， 如 发 微 博 、 加 关 注 、 微 信 关 注 者 管 理 、 推 送 公 共 号 消 息 等 ， 这 些 都 需 要 开 发 者 在 访 问 请 求   A P I   时 ， 带 上   A p p i d 、 A p p s e c r e t   或 者   A c c e s s _ T o k e n   字 段 。
△ △   获 取 获 取   A c c e s s _ T o k e n △ △   获 取 关 注 用 户 信 息 获 取 关 注 用 户 信 息 所 以 如 果 这 两 个 字 段 任 意 一 个 泄 漏 、 那 么 就 会 泄 漏 很 多 用 户 相 关 信 息 、 并 且 可 进 行 敏 感 操 作 。 所 以 如 果 这 两 个 字 段 任 意 一 个 泄 漏 、 那 么 就 会 泄 漏 很 多 用 户 相 关 信 息 、 并 且 可 进 行 敏 感 操 作 。   既 然   A p p i d 、 A p p s e c r e t   如 此 重 要 ， 想 必 开 发 者 们 应 该 相 当 重 视 其 保 密 性 吧 ， 实 则 不 然 ， 由 于 用 户 登 录 授 权 时 需 要 使 用 到   A p p i d 、 A p p s e c r e t ， 很 多 第 三 方   A P P   开 发 者 为 了 使 用 方 便 ， 会 将 这 两 个 字 段 写 死 在 代 码 里 面 ， 在 用 户 授 权 之 后 ， 则 在   A P P   本 地 将   C o d e 、 S e c r e t   等 字 段 拼 接 并 请 求 第 三 方 登 录 后 台 。 这 种 常 见 的 错 误 实 现 方 式 如 下 图 ： 错 误 实 例 代 码 p r i v a t e   S t r i n g   u r l   =   " h t t p s : / / a p i . w e i x i n . q q . c o m / s n s / o a u t h 2 / a c c e s s _ t o k e n ? " ; p r i v a t e   W x E n t i t y   w x ; t h i s . c o d e   =   ( ( S e n d A u t h . R e s p ) p a r a m B a s e R e s p ) . c o d e ; t h i s . w x = ( ( U s e r I n f o S e r v i c e ) S e r v i c e F a c t o r y . g e t S e r v i c e ( " u s e r I n f o S e r v i c e " ) ) . g e t T o k e n ( t h i s . u r l , " w x b d 8 x x x x x x x x x x x " , " 8 b f e d 4 e 8 1 b e 1 1 3 e x x x x x x x x x x x x x x x x " , t h i s . c o d e ,   " a u t h o r i z a t i o n _ c o d e " ) ; 这 种 实 现 方 式 将 这 种 实 现 方 式 将   A p p i d 、 、 A p p s e c r e t   写 死 在 写 死 在   A P P   的 代 码 之 中 ， 如 果 应 用 被 黑 客 给 反 编 译 破 解 之 后 的 代 码 之 中 ， 如 果 应 用 被 黑 客 给 反 编 译 破 解 之 后   ( 反 破 解 可 用 乐 固 加 固 反 破 解 可 用 乐 固 加 固 ) ， 那 么 ， 那 么   A p p i d 、 、 A p p s e c r e t   就 会 被 黑 客 窃 取 。 从 而 可 以 伪 装 应 用 进 行 敏 感 操 作 、 给 第 三 方 开 发 者 带 来 经 济 和 口 碑 上 的 损 失 。 就 会 被 黑 客 窃 取 。 从 而 可 以 伪 装 应 用 进 行 敏 感 操 作 、 给 第 三 方 开 发 者 带 来 经 济 和 口 碑 上 的 损 失 。 同 时 ， 如 同 时 ， 如   A P P 将 用 户 授 权 后 将 用 户 授 权 后   A c c e s s _ T o k e n   进 行 本 地 存 储 的 话 ， 也 会 被 黑 客 窃 取 。 这 些 都 是 不 安 全 的 方 式 。 进 行 本 地 存 储 的 话 ， 也 会 被 黑 客 窃 取 。 这 些 都 是 不 安 全 的 方 式 。 乐 固 对 某 社 交 乐 固 对 某 社 交   A P P   漏 洞 扫 描 实 况 漏 洞 扫 描 实 况
针 对   A P P   开 发 者 的 这 种 不 安 全 的 实 现 方 式 ， 乐 固 漏 洞 扫 描 提 供 了 自 动 化 扫 描 的 能 力 ， 能 够 检 查 出 是 否 有 不 安 全 的 实 现 方 式 ， 是 否 采 取 了 不 安 全 的 存 储 等 漏 洞 风 险 、 能 够 智 能 有 效 地 挖 掘 出 应 用 的 安 全 漏 洞 。 P S ： ： 在 授 权 情 况 下 进 行 的 扫 描 △ △   扫 描 实 况 扫 描 实 况 △ △   报 告 示 例 报 告 示 例 建 议 修 复 方 式 建 议 修 复 方 式 建 议 A p p s e c r e t 、 用 户 数 据 （ 如   A c c e s s _ T o k e n ） 放 在   A P P   云 端 服 务 器 ， 由 云 端 中 转 接 口 调 用 请 求 。 可 以 通 过 以 下 这 种 方 式 进 行 实 现 ：
△ △   建 议 修 复 的 实 现 方 式 建 议 修 复 的 实 现 方 式 H e y   g u y s ， 本 期 授 权 登 录 里 的 这 些 漏 洞 风 险 你 了 解 了 吗 ？ 在 移 动   A P P   安 全 方 面 ， 网 民 与 开 发 者 们 还 将 遇 到 怎 样 的 问 题 ？ 看 到 这 里 的 你 又 遇 到 过 什 么 问 题 ？ 欢 迎 留 言 给 安 小 妹 ， 我 们 一 起 与 腾 讯 移 动 安 全 专 家 探 讨 。 乐 固 系 列 第 二 次 与 大 家 见 面 ， 对 我 们 「 移 动   A P P   安 全 揭 秘 第 二 期 」 满 意 度 如 何 ？ 下 期 期 待 什 么 样 的 内 容 ？ 安 小 妹 耐 心 听 你 说 。 想 知 道 「 乐 固 」 「 乐 固 」 更 多 服 务 ， 戳 阅 读 原 文 阅 读 原 文 了 解 这 是 第 一 次 见 我 吗 ？ 是 就 长 按 下 方 二 维 码 识 别 关 注 我 吧 是 就 长 按 下 方 二 维 码 识 别 关 注 我 吧 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理