搜索

[8013] 2014-05-07_针对近期“博全球眼球的OAuth漏洞”的分析与防范建议

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-17
2014-05-07_针对近期“博全球眼球的OAuth漏洞”的分析与防范建议 针 对 近 期 “ 博 全 球 眼 球 的 O A u t h 漏 洞 ” 的 分 析 与 防 范 建 议 f o o y i n g   F r e e B u f   2 0 1 4 - 0 5 - 0 7 据 据 C n e t 报 道 报 道 ， 新 加 坡 南 洋 理 工 大 学 一 位 名 叫 ， 新 加 坡 南 洋 理 工 大 学 一 位 名 叫 W a n g   J i n g 的 博 士 生 ， 发 现 了 的 博 士 生 ， 发 现 了 O A u t h 和 和 O p e n I D 开 源 登 录 工 具 的 开 源 登 录 工 具 的 “ 隐 蔽 重 定 向 隐 蔽 重 定 向 ” 漏 洞 漏 洞 ( C o v e r t   R e d i r e c t ) 。 。 首 先 需 要 明 确 的 一 点 是 ， 漏 洞 不 是 出 现 在 O A u t h   这 个 协 议 本 身 ， 这 个 协 议 本 身 是 没 有 问 题 的 ， 之 所 以 存 在 问 题 是 因 为 各 个 厂 商 没 有 严 格 参 照 官 方 文 档 ， 只 是 实 现 了 简 版 。   问 题 的 原 因 在 于 O A u t h 的 提 供 方 提 供 O A u t h 授 权 过 程 中 没 有 对 回 调 的 U R L 进 行 校 验 ， 从 而 导 致 可 以 被 赋 值 为 非 原 定 的 回 调 U R L ， 就 可 以 导 致 跳 转 、 X S S 等 问 题 ， 甚 至 在 对 回 调 U R L 进 行 了 校 验 的 情 况 可 以 被 绕 过 ， 具 体 将 在 附 件 中 的 p a p e r 中 阐 述 。 微 博 安 全 团 队 4   月 中 旬 已 经 率 先 发 现 该 问 题 ， 并 联 合 业 务 部 门 进 行 威 胁 的 评 估 和 落 地 修 复 方 案 的 敲 定 ， 截 止 今 天 中 午 前 ， 回 调 U R L 校 验 和 校 验 绕 过 漏 洞 在 开 放 平 台 已 经 修 复 上 线 。 来 看 看 来 自 知 道 创 宇 安 全 研 究 团 队 F o o y i n g 与 E r e v u s 同 学 执 笔 的 p a p e r 吧 ， 针 对 近 期 “ 博 全 球 眼 球 的 O A u t h 漏 洞 ” 的 分 析 与 防 范 建 议   。 鸣 谢 来 自 微 博 安 全 团 队 同 学 的 帮 助 。 1 . O A u t h 介 绍 介 绍 1 . 1 . O A u t h 简 介 简 介 来 自 O A u t h 的 官 网 解 释 ： A n   o p e n   p r o t o c o l   t o   a l l o w   s e c u r e   a u t h o r i z a t i o n   i n   a   s i m p l e   a n d   s t a n d a r d   m e t h o d   f r o m   w e b ，   m o b i l e   a n d   d e s k t o p   a p p l i c a t i o n s . O A u t h   i s   a   s i m p l e   w a y   t o   p u b l i s h   a n d   i n t e r a c t   w i t h   p r o t e c t e d   d a t a .   I t ' s   a l s o   a   s a f e r   a n d   m o r e   s e c u r e   w a y   f o r   p e o p l e   t o   g i v e   y o u   a c c e s s .   W e ' v e   k e p t   i t   s i m p l e   t o   s a v e   y o u   t i m e . 大 概 的 意 思 是 O A u t h 是 一 种 开 放 的 协 议 ， 为 桌 面 程 序 或 者 基 于 B S 的 W e b 应 用 提 供 了 一 种 简 单 的 ， 标 准 的 方 式 去 访 问 需 要 用 户 授 权 的 A P I 服 务 。 O A u t h 是 一 个 发 布 并 与 受 保 护 数 据 交 互 的 简 单 方 法 。 这 也 是 一 个 更 安 全 的 访 问 方 式 。 我 们 已 经 保 持 它 的 简 单 来 节 约 您 的 时 间 。 简 单 的 说 ， O A u t h 就 是 第 三 方 的 应 用 可 以 通 过 你 的 授 权 而 不 用 知 道 你 的 帐 号 密 码 能 够 访 问 你 在 某 网 站 的 你 自 己 的 数 据 或 功 能 。 像 w e i b o 、 Q Q 、 淘 宝 等 网 站 都 提 供 了 O A u t h 服 务 ， 提 供 O A u t h 服 务 的 网 站 一 般 都 有 很 多 开 放 的 A P I ， 第 三 方 应 用 会 调 用 这 些 A P I 来 开 发 他 们 的 应 用 以 让 用 户 拥 有 更 多 的 功 能 ， 但 是 ， 当 用 户 在 使 用 这 些 第 三 方 应 用 的 时 候 ， 这 些 第 三 方 的 应 用 会 来 访 问 用 户 的 帐 户 内 的 功 能 和 数 据 ， 所 以 ， 当 第 三 应 用 要 干 这 些 事 的 时 候 ， 我 们 不 能 让 第 三 方 应 用 弹 出 一 个 对 话 框 来 问 用 户 要 他 的 帐 号 密 码 ， 不 然 第 三 方 的 应 用 就 把 用 户 的 密 码 给 获 取 了 ， 所 以 ， O A u t h 协 议 会 跳 转 到 一 个 页 面 ， 让 用 户 授 权 给 这 个 第 三 方 应 用 以 某 些 权 限 ， 然 后 ， 这 个 权 限 授 权 的 记 录 保 存 在 提 供 O A u t h 服 务 的 网 站 上 ，   并 向 第 三 方 应 用 返 回 一 个 授 权 t o k e n ， 于 是 第 三 方 的 应 用 通 过 这 个 t o k e n 来 操 作 某 用 户 帐 号 的 功 能 和 数 据 时 ， 就 畅 通 无 阻 了 。 这 其 实 是 一 个 授 权 操 作 的 过 程 ， 用 户 注 册 帐 号 的 网 站 （ 如 微 博 等 ） 提 供 O A u t h 服 务 ， 第 三 方 服 务 想 调 用 用 户 对 应 帐 号 的 相 关 信 息 做 帐 号 相 关 的 操 作 ， 就 会 请 求 O A u t h 提 供 方 的 授 权 ， 当 O A u t h 提 供 方 询 问 用 户 并 得 到 授 权 ， 就 会 给 予 第 三 方 服 务 一 些 权 限 做 相 对 应 的 操 作 。 1 . 2 . O A u t h   2 . 0 O A u t h 分 为 O A u t h 以 及 O A u t h   2 . 0 。 O A u t h   C o r e   1 . 0   版 本 发 布 于 2 0 0 7 年 1 2 月 4 日 ， 由 于 存 在 可 被 会 话 定 向 攻 击 ( s e s s i o n   f i x a t i o n   a t t a c k ) 的 缘 故 ， 2 0 0 9 年 6 月 2 4 日 发 布 了 O A u t h   C o r e   1 . 0   R e v i s i o n   A   版 本 。 最 终 在 2 0 1 0 年 4 月 ， O A u t h 成 为 了 R F C 标 准 ：   R F C   5 8 4 9 :   T h e   O A u t h   1 . 0   P r o t o c o l 。 O A u t h   2 . 0 的 草 案 是 在 2 0 1 0 年 5 月 初 在 I E T F 发 布 的 。 O A u t h   2 . 0 是 O A u t h 协 议 的 下 一 版 本 ， 但 不 向 后 兼 容 O A u t h   1 . 0 。   O A u t h   2 . 0 关 注 客 户 端 开 发 者 的 简 易 性 ， 同 时 为 W e b 应 用 ， 桌 面 应 用 和 手 机 ， 和 起 居 室 设 备 提 供 专 门 的 认 证 流 程 。 规 范 还 在 I E T F   O A u t h 工 作 组 的 开 发 中 ， 按 照 E r a n   H a m m e r - L a h a v 的 说 法 ， O A u t h 于 2 0 1 0 年 末 完 成 。 O A u t h   2 . 0 授 权 框 架 允 许 第 三 方 应 用 程 序 获 得 指 定 H T T P 服 务 的 有 限 的 访 问 权 限 。 1 . 3 . 授 权 交 互 流 程 O A u t h 的 授 权 有 四 种 方 式 ， 主 流 采 用 两 种 方 式 ， 分 别 是 A u t h o r i z a t i o n   C o d e （ r e s p o n s e _ t y p e = c o d e ） 与 I m p l i c i t （ r e s p o n s e _ t y p e = t o k e n ） 。 A u t h o r i z a t i o n   C o d e 方 式 授 权 交 互 ： 与 I m p l i c i t 方 式 授 权 交 互 ：
2 . O A u t h 与 与 O p e n I D 登 录 工 具 漏 洞 登 录 工 具 漏 洞 2 . 1 . 漏 洞 发 现 与 报 道 漏 洞 发 现 与 报 道 据 C n e t 报 道 ， 新 加 坡 南 洋 理 工 大 学 一 位 名 叫 W a n g   J i n g 的 博 士 生 ， 发 现 了 O A u t h 和 O p e n I D 开 源 登 录 工 具 的 “ 隐 蔽 重 定 向 ” 漏 洞 ( C o v e r t   R e d i r e c t ) 。 这 可 导 致 攻 击 者 创 建 一 个 使 用 真 实 站 点 地 址 的 弹 出 式 登 录 窗 口 — — 而 不 是 使 用 一 个 假 的 域 名 — — 以 引 诱 上 网 者 输 入 他 们 的 个 人 信 息 。 鉴 于 O A u t h 和 O p e n I D 被 广 泛 用 于 各 大 公 司 — — 如 微 软 、 F a c e b o o k 、 G o o g l e 、 以 及 L i n k e d I n — — W a n g 表 示 他 已 经 向 这 些 公 司 已 经 了 汇 报 。 W a n g 声 称 ， 微 软 已 经 给 出 了 答 复 ， 调 查 并 证 实 该 问 题 出 在 第 三 方 系 统 ， 而 不 是 该 公 司 的 自 有 站 点 。 F a c e b o o k 也 表 示 ， “ 短 期 内 仍 无 法 完 成 完 成 这 两 个 问 题 的 修 复 工 作 ， 只 得 迫 使 每 个 应 用 程 序 平 台 采 用 白 名 单 ” 。 至 于 G o o g l e ， 预 计 该 公 司 会 追 踪 O p e n I D 的 问 题 ； 而 L i n k e d I n 则 声 称 它 将 很 快 在 博 客 中 说 明 这 一 问 题 。 该 中 文 版 来 自 ： h t t p : / / d i g i . 1 6 3 . c o m / 1 4 / 0 5 0 3 / 0 8 / 9 R A C J B K 9 0 0 1 6 2 O U T . h t m l ， 原 英 文 版 ： h t t p : / / w w w . c n e t . c o m / n e w s / s e r i o u s - s e c u r i t y - f l a w - i n - o a u t h - a n d - o p e n i d - d i s c o v e r e d / 2 . 2 .   漏 洞 说 明 漏 洞 说 明 首 先 需 要 明 确 的 一 点 是 ， 漏 洞 不 是 出 现 在 O A u t h 这 个 协 议 本 身 ， 这 个 协 议 本 身 是 没 有 问 题 的 ， 之 所 以 存 在 问 题 是 因 为 各 个 厂 商 没 有 严 格 参 照 官 方 文 档 ， 只 是 实 现 了 简 版 。 问 题 的 原 因 在 于 O A u t h 的 提 供 方 提 供 O A u t h 授 权 过 程 中 没 有 对 回 调 的 U R L 进 行 校 验 ， 从 而 导 致 可 以 被 赋 值 为 非 原 定 的 回 调 U R L ， 甚 至 在 对 回 调 U R L 进 行 了 校 验 的 情 况 可 以 被 绕 过 。 利 用 这 种 U R L 跳 转 或 X S S 漏 洞 ， 可 以 获 取 到 相 关 授 权 t o k e n ， 危 害 到 目 标 用 户 的 账 号 权 限 。 具 体 将 在 下 文 进 行 分 析 。 微 博 安 全 团 队 4 月 中 旬 已 经 率 先 发 现 该 问 题 ， 并 联 合 业 务 部 门 进 行 威 胁 的 评 估 和 落 地 修 复 方 案 的 敲 定 ， 截 止 今 天 中 午 前 ， 回 调 U R L 校 验 和 校 验 绕 过 漏 洞 在 开 放 平 台 已 经 修 复 上 线 。 3 .   漏 洞 成 因 、 利 用 及 危 害 漏 洞 成 因 、 利 用 及 危 害 3 . 1 . 漏 洞 利 用 部 分 O A u t h   2 . 0 提 供 未 对 回 调 U R L 进 行 校 验 甚 至 校 验 可 以 被 绕 过 的 情 况 下 ， 黑 客 可 以 通 过 构 造 钓 鱼 页 面 ， 用 户 在 访 问 了 黑 客 构 造 的 页 面 之 后 ， 可 以 被 获 取 O A u t h 授 权 中 最 终 返 回 的 t o k e n ， 通 过 t o k e n 可 以 实 现 登 陆 该 用 户 的 第 三 方 应 用 或 者 是 调 用 O A u t h 提 供 的 A P I 进 行 相 关 操 作 ， 包 括 获 取 在 O A u t h 提 供 方 注 册 的 相 关 资 料 等 。 3 . 1 . 1 .   回 调 回 调 U R L 未 校 验 未 校 验 如 果 回 调 U R L 没 有 进 行 校 验 ， 则 黑 客 可 以 直 接 修 改 回 调 的 U R L 为 指 定 的 任 意 U R L ， 即 可 以 实 现 跳 转 甚 至 是 X S S 。 如 ： h t t p : / / p a s s p o r t . x x x x . c n / o a u t h 2 / a u t h o r i z e ? r e s p o n s e _ t y p e = c o d e & r e d i r e c t _ u r i = h t t p : / / w w w . b a i d u . c o m & c l i e n t _ i d = 1 0 0 0 0 & t h e m e = c o r e m a i l 3 . 1 . 2 .   回 调 校 验 绕 过 回 调 校 验 绕 过 部 分 O A u t h 提 供 方 在 进 行 的 回 调 U R L 校 验 后 存 在 被 绕 过 的 情 况 。
如 ： h t t p s : / / a p i . x x x . c o m / o a u t h 2 / a u t h o r i z e ? r e d i r e c t _ u r i = h t t p % 3 A % 2 F % 2 F w w w . k n o w n s e c . o m . w w w . z h i h u . c o m % 2 F o a u t h % 2 F a u t h % 2 F r e q u e s t _ t o k e n % 3 F n e x t % 3 D % 2 5 2 F o a u t h % 2 5 2 F a c c o u n t _ c a l l b a c k & r e s p o n s e _ t y p e = c o d e & c l i e n t _ i d = 3 0 6 3 8 未 进 行 绕 过 修 改 回 调 U R L 提 示 校 验 失 败 3 . 1 . 3 .   利 用 第 三 方 应 用 漏 洞 利 用 第 三 方 应 用 漏 洞 这 其 实 也 属 于 校 验 不 完 整 的 而 绕 过 的 一 种 情 况 ， 因 为 O A u t h 提 供 方 只 对 回 调 U R L 的 根 域 等 进 行 了 校 验 ， 当 回 调 的 U R L 根 域 确 实 是 原 正 常 回 调 U R L 的 根 域 ， 但 实 际 是 该 域 下 的 一 个 存 在 U R L 跳 转 漏 洞 的 U R L ， 就 可 以 构 造 跳 转 到 钓 鱼 页 面 ， 就 可 以 绕 过 回 调 U R L 的 校 验 了 。 如 ： h t t p s : / / a p i . x x x . c o m / o a u t h 2 / a u t h o r i z e ? c l i e n t _ i d = 2 0 4 6 4 9 & r e s p o n s e _ t y p e = t o k e n & r e d i r e c t _ u r i = h t t p % 3 A % 2 f % 2 f p a s s p o r t . x x x x . c o m % 2 f u s e r % 2 f c r o s s d o m a i n % 3 F a c t % 3 D l o g o u t % 2 6 r e t u r n _ u r l % 3 D h t t p % 3 A % 2 f % 2 f w w w . k n o w n s e c . c o m 3 . 1 . 4 .   授 权 验 证 参 数 的 不 正 确 使 用 授 权 验 证 参 数 的 不 正 确 使 用 部 分 第 三 方 应 用 在 授 权 过 程 中 采 用 如 s t a t e 里 包 含 a c c e s s   t o k e n 接 收 的 回 调 U R L ， 但 是 因 为 O A u t h 提 供 方 只 对 回 调 U R L ， 即 参 数 r e d i r e c t _ u r i 的 值 进 行 校 验 ， 就 可 以 导 致 黑 客 可 以 随 意 构 造 回 调 的 U R L ， 就 导 致 问 题 的 出 现 。 3 . 1 . 5 .   绕 过 方 式 绕 过 方 式 1 )   r e d i r e c t _ u r i = h t t p % 3 A % 2 F % 2 F w w w . a . c o m ? w w w . b . c o m 2 )   r e d i r e c t _ u r i = h t t p % 3 A % 2 F % 2 F w w w . a . c o m . w w w . b . c o m 3 )   r e d i r e c t _ u r i = h t t p % 3 A % 2 F % 2 F w w w . a . c o m : @ w w w . b . c o m 其 中 w w w . a . c o m 为 钓 鱼 或 者 接 收 t o k e n 的 页 面 ， w w w . b . c o m 为 实 际 回 调 的 U R L 3 . 2 .   漏 洞 危 害 漏 洞 危 害 3 . 2 . 1 .   U R L 跳 转 跳 转 黑 客 可 以 利 用 该 问 题 构 造 相 关 的 钓 鱼 页 面 ， 诱 使 用 户 访 问 从 而 造 成 用 户 的 帐 号 被 窃 取 等 相 关 损 失 等 。 3 . 2 . 2 .   A P I 调 用 调 用
因 为 黑 客 可 以 通 过 给 问 题 获 取 到 用 户 的 相 关 授 权 t o k e n ， 可 以 通 过 t o k e n 调 用 O A u t h 提 供 方 的 相 关 A P I 方 法 进 行 相 关 的 操 作 ， 包 括 获 取 用 户 资 料 、 发 表 微 博 等 等 （ 如 腾 讯 A P I 调 用 可 以 参 考 h t t p : / / w i k i . o p e n . q q . c o m / w i k i / A P I % E 5 % 8 8 % 9 7 % E 8 % A 1 % A 8 ） 3 . 2 . 3 .   C S R F 利 用 C S R F 技 巧 进 行 隐 蔽 攻 击 ， 可 以 获 取 到 用 户 的 t o k e n ， 然 后 使 用 t o k e n 调 用 相 应 开 放 平 台 的 A P I 接 口 ， 登 陆 第 三 方 应 用 并 对 用 户 的 账 户 进 行 相 关 操 作 。 这 意 味 着 黑 客 可 以 通 过 该 问 题 构 造 对 用 户 进 行 钓 鱼 甚 至 是 获 取 用 户 的 注 册 资 料 、 登 陆 用 户 帐 号 进 行 相 关 操 作 等 4 .   漏 洞 影 响 通 过 对 国 内 部 分 提 供 O A u t h   2 . 0 的 网 站 进 行 测 试 和 调 查 ， 发 现 均 不 同 程 度 的 存 在 以 上 的 问 题 。 从 测 试 结 果 可 以 看 出 ， 除 了 百 度 绕 过 未 进 行 测 试 外 ， 其 他 都 存 在 问 题 ， 而 且 好 几 个 甚 至 对 回 调 U R L 都 没 有 进 行 校 验 ， 而 对 回 调 U R L 进 行 校 验 了 的 又 可 以 被 绕 过 。 5 .   漏 洞 防 范 漏 洞 防 范 5 . 1 .   O A u t h 提 供 方 提 供 方 1 )   对 r e d i r e c t _ u r i 进 行 全 路 径 验 证 ， 避 免 U R L 跳 转 情 况 2 )   参 数 s t a t e 即 用 即 毁 3 )   首 次 授 权 ， 强 制 验 证 4 )   获 取 a c c e s s _ t o k e n ， 验 证 A p p   s e c r e t 5 )   回 调 U R L 进 行 跳 转 校 验 等 6 )   加 强 r e d i r e c t _ u r i 验 证 ， 避 免 绕 过 5 . 2 .   普 通 用 户 普 通 用 户 对 于 普 通 用 户 来 说 ， 其 实 没 有 什 么 好 恐 慌 的 ， 这 次 问 题 的 利 用 的 前 提 是 对 构 造 U R L 的 访 问 ， 所 以 主 要 是 针 对 U R L 提 高 警 惕 和 识 别 ， 需 要 注 意 以 下 几 点 ： 1 )   只 授 权 给 可 信 的 第 三 方 应 用 2 )   不 要 访 问 不 明 来 路 的 链 接 ， 正 常 的 应 用 授 权 应 该 是 通 过 页 面 中 的 登 陆 按 钮 等 方 式 进 行 的 。 P D F 版 下 载 地 址 ： h t t p : / / b l o g . k n o w n s e c . c o m / w p - c o n t e n t / u p l o a d s / 2 0 1 4 / 0 5 / % E 9 % 9 2 % 8 8 % E 5 % A F % B 9 % E 8 % B F % 9 1 % E 6 % 9 C % 9 F % E 2 % 8 0 % 9 C % E 5 % 8 D % 9 A % E 5 % 8 5 % A 8 % E 7 % 9 0 % 8 3 % E 7 % 9 C % B C % E 7 % 9 0 % 8 3 O A u t h % E 6 % B C % 8 F % E 6 % B 4 % 9 E % E 2 % 8 0 % 9 D % E 7 % 9 A % 8 4 % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 % E 4 % B 8 % 8 E % E 9 % 9 8 % B 2 % E 8 % 8 C % 8 3 % E 5 % B B % B A % E 8 % A E % A E . p d f
附 录 h t t p : / / w w w . c n e t . c o m / n e w s / s e r i o u s - s e c u r i t y - f l a w - i n - o a u t h - a n d - o p e n i d - d i s c o v e r e d / h t t p : / / h o m a k o v . b l o g s p o t . c o m / 2 0 1 4 / 0 5 / c o v e r t - r e d i r e c t - f a q . h t m l h t t p : / / d a n n y t h o r p e . c o m / 2 0 1 4 / 0 5 / 0 2 / t e c h - a n a l y s i s - o f - s e r i o u s - s e c u r i t y - f l a w - i n - o a u t h - o p e n i d - d i s c o v e r e d / 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理