OAuth2 सुरक्षा और फेसबुक कनेक्ट कमजोरियाँ

यह मेरे आश्चर्यजनक पहले लेख की अगली कड़ी है ।

मुझे यकीन है कि हर वेब डेवलपर फेसबुक कनेक्शन या VKontakte लॉगिन या प्रमाणीकरण ट्विटर के माध्यम से आया है। यह सब अनिवार्य रूप से OAuth1 / 2 पर आधारित है।

मेरी राय है कि हम सभी ने गलत रास्ते पर कदम रखा। OAuth नरक का मार्ग है (वैसे, एरण हैमर वर्तमान में oauth - oz की जगह पर काम कर रहा है)।

इस अनुच्छेद में, मैं हमले के मॉडल में गोता नहीं लगाऊंगा, लेकिन विशिष्ट कमजोरियों को फिर से बताऊंगा जिन्हें आप अभी उपयोग करना शुरू कर सकते हैं।

लॉगिन पर CSRF

किसी भी अन्य स्थिति में, मैं कहूंगा कि सीएसआरएफ इस तरह के एक तुच्छ, यद्यपि राज्य-परिवर्तन, फ़ंक्शन बेकार है। लेकिन जैसे ही यह रीडायरेक्ट पर निर्मित प्रोटोकॉल की बात आती है ... तथ्य यह है कि 99 प्रतिशत मामलों में साइट <= फेसबुक कनेक्शन प्रक्रिया को जीईटी / उपयोगकर्ता / कनेक्ट / फेसबुक डाउनलोड करके शुरू किया जा सकता है और वे स्वयं प्रक्रिया शुरू कर सकते हैं, उपयोगकर्ता इंटरैक्शन के बिना।
विचार आपके खाते में फेसबुक उपयोगकर्ता (प्रदाता) में लॉग इन करने के लिए है, कनेक्शन के लिए इस अंतिम बिंदु को डाउनलोड करें, जो ग्राहक पर पीड़ित के खाते में स्वचालित रूप से हमलावर खाते को कनेक्ट करेगा, और फिर पीड़ित के खाते में स्वयं लॉग इन करेगा।
फेसबुक केवल एक रेफरल चेक के माध्यम से सुरक्षित है:




यह केवल उच्च स्तर पर मोस्ट कॉमन मिस्टेक (स्टेट चेक नहीं) का एक नया अवतार है। हम अपने कॉलबैक को अपने कोड के साथ नहीं फेंकते हैं, लेकिन फेसबुक को मजबूर लॉग-इन के माध्यम से आपके खाते से कोड वापस करने के लिए मजबूर करते हैं। FB ने इसे ठीक करने से इनकार कर दिया, क्योंकि यह fb के लिए विभिन्न मौजूदा प्लगइन्स के साथ संगतता को तोड़ता है। VK.com भी असुरक्षित है (इन लोगों को रिपोर्ट करने के लिए कहीं नहीं है, किसी प्रकार की जगह। यहां तक ​​कि एक बाउबल शॉप में सुरक्षा के लिए अधिक गंभीर दृष्टिकोण है)। इस बग का उपयोग किसी भी साइट पर omniauth, django-social-Ord, php-sdk इत्यादि के साथ किया जा सकता है। Bugfix - आपको पते लोड करते समय / कनेक्ट करते समय सीएसआरएफ टोकन की जांच करने की आवश्यकता होती है।

मैं यहां तक ​​कहूंगा कि लॉगरहेड का विचार OAuth पर एक छाया डालता है - यहां तक ​​कि कुकी मजबूर करने से आप पीड़ित की कुकीज़ को पूरी तरह से बदल सकते हैं और किसी भी प्रदाता पर लॉग इन कर सकते हैं। यह एक वैचारिक त्रुटि है जिसे किसी भी तरह से ठीक नहीं किया जा सकता है।

signed_request

CP, client_secret का उपयोग करके एक हस्ताक्षरित अनुरोध है और इसे बनाया गया है ... यह स्पष्ट नहीं है कि क्यों। तथ्य यह है कि यह अनिवार्य रूप से समान कोड-प्रवाह है, केवल कोड # खंड में प्रेषित होता है और इसे रीडायरेक्ट_यूरी = "" के लिए जारी किया जाता है। इसलिए यदि आप एक 302 रीडायरेक्ट के माध्यम से साइन इन कर रहे हैं, तो आप इसे ग्राहक की साइट पर सीपी के मालिक के रूप में लॉग इन करने के लिए उपयोग कर सकते हैं (बस कुकी fbsr_CLIENT_ID = SR) डालें।

सरल शब्दों में, यदि साइट में फेसबुक जेएस एसडीके है और आपको एक ओपन रीडायरेक्ट (डोमेन या सबडोमेन पर) मिला है - तो आप पीड़ित के एसआर के विलय के माध्यम से किसी भी खाते को चुरा सकते हैं। और यह फिर से तय नहीं किया जाएगा।

OAuth1 पेपैल प्रतिबद्धता

एक और WontFix। पेपाल में, एक्सप्रेस चेकआउट फ्लो चलाने से पहले, आपको अपने सभी मापदंडों को भेजकर request_token प्राप्त करना होगा और फिर paypal अपलोड करना होगा? टोकन = request_token। तथ्य यह है कि आप अपने लिए इस टोकन को जारी कर सकते हैं, पीड़ित के ब्राउज़र पर इस URL को फ़िशिंग करके उसे इस टोकन के लिए भुगतान करने के लिए मना लेंगे (भुगतान वास्तव में क्लाइंट के पास जाएगा), आप कॉलबैक से स्वयं जा सकते हैं? टोकन = टोकन और आपके द्वारा भुगतान किए गए सभी पैसे प्राप्त कर सकते हैं पीड़ित पहले से ही अपने खाते में है। मैंने नामचर्चा पर यह परीक्षण किया।

यह OAuth1 में सत्र निर्धारण की एक पूर्ण प्रति है। जब यह सभी प्रदाताओं द्वारा खोला गया था तो पैच का कनेक्शन बंद हो गया। हमारे मामले में, पेपैल ने अपना कान भी नहीं हिलाया। वे फिर से कमजोर होते हैं, वे नहीं, बल्कि ग्राहक साइटें।

निष्कर्ष

मैं अत्यधिक सामाजिक नेटवर्क के माध्यम से लॉगिन का उपयोग नहीं करने की सलाह देता हूं। यदि आपको इसे लागू करने के लिए मजबूर किया जाता है, तो अधिकतम चेक लिखने और अपनी क्लाइंट सेटिंग में स्थैतिक कॉलबैक सेट करने का प्रयास करें (हमले की सतह को कम करना - कठोर करना)। ऊपर दिए गए बग के साथ, मुझे साउंडक्लाउड, फोरस्क्वेयर, सॉन्गिक, एयरबीएनबी और एक दर्जन से अधिक स्टार्टअप के साथ सामाजिक लॉगिन के साथ एक खाते को अपहरण करने के लिए शोषण मिला।

पीएस इन यांडेक्स बाउंटी ने लिखा कि कैसे वे खाते चुराते हैं, लेकिन वे बहुत रुचि नहीं रखते हैं इसलिए मैं यहां नकल करता हूं:

1) फेसबुक पर सत्र को ठीक करें

2) यैंडेक्स में यूआरएल को कॉल करें
social.yandex.ru/broker/start?retpath=https%3A%2F%2Fsocial.yandex.ru%2Fhtml%2Fcloser%2Fpromo_closer.html%23ddom%3D&consumer=social&popupName=social_popup&application=&action_if_anonymous=ignore&result_location=fragment&provider=fb&display=popup

3) यह स्वचालित रूप से हमलावर fb को पासपोर्ट से जोड़ता है, लेकिन सौभाग्य से (मेरे खेद के लिए) इसके माध्यम से स्थिति की पुष्टि करना अभी भी आवश्यक है। थोड़ा सा सोशल इंजीनियरिंग, जहाज
passport.yandex.ru/passport?mode=authentication&retpath=https%3A%2F%2Fsocial.yandex.ru%2Fupdate%3Fprofile_id%3D23177612%26allow_auth%3D1
जैसा कि आप देखते हैं कि फेसबुक या खातों के बारे में कोई शब्द नहीं है, इसके लिए बस एक पासवर्ड दर्ज करने की आवश्यकता होती है, जिसे उपयोगकर्ता ख़ुशी-ख़ुशी कर लेगा (साइड-बग। शायद यह समझने लायक है कि वे पासवर्ड क्यों पूछते हैं, लेकिन आप कभी नहीं जानते)

4) अब आप एक हमलावर एफबी के माध्यम से सीधे यैंडेक्स के माध्यम से लॉग इन कर सकते हैं, फेसबुक कनेक्ट कर सकते हैं, मेल और कुकीज़ चोरी कर सकते हैं - सही अपराध
मूल पद अंग्रेजी में।