记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

PwnAuth——一个可以揭露OAuth滥用的利器

一、简介鱼叉式网络钓鱼攻击被视为企业最大的网络威胁之一。只需要一名员工输入自己的凭证或运行一些恶意软件,整个企业都会受到威胁。因此,公司投入大量资源来防止凭证收集和有效载荷驱动的社会工程攻击。然而,对于非传统但却同样危险的社会工程——OAuth滥用却没有给予足够重视。在OAuth滥用攻击中,受害者授权第三方应用程序访问其帐户。一旦获得授权,应用程序不需要凭证就可以访问用户的数据,并绕过可能存在的任何双因素身份验证。今天,我发布了PwnAuth,这是一个让组织和渗透测试人员测试其检测和响应OAuth滥用社会工程活动能力的平台。在发布该工具时,我们希望提高对这种威胁的认识,提高安全社区检测它的能力,并为防御者提供对策。转到
发布时间:2018-05-26 12:20 | 阅读:78121 | 评论:0 | 标签:Web安全 OAuth

API安全评估,你需要这样一份核查清单

本清单不仅适用于安全评估人员,也适用于API设计、测试和发布过程中的相关人员参考。 认证 不要使用basic Auth(基本身份认证),使用standard auth(标准身份认证),比如JWT,OAuth; 在身份认证、令牌生成、密码存储方面,不要重造轮子,使用标准的规范和方式; JWT (JSON Web Token) 使用随机的、复杂的密钥(JWT Secret)以抵抗对令牌的暴力破解攻击; 不要从JWT的Payload部分提取算法信息,确保算法在后台(HS256 或 RS256); 限制Token的过期时间(TTL, RTTL),越短越好; 不要在JWT的Payload部分存储敏感信息,它很容易被解码(使用了base64编码); 尽可能的使用HTTPS; OAuth 始终验证服务器端redi
发布时间:2017-07-11 07:35 | 阅读:105577 | 评论:0 | 标签:技术控 API OAuth 安全评估

案例分析:利用OAuth实施钓鱼

OAuth百科 OAUTH(Open Authorization)协议为用户资源的授权提供了一个安全的、开放而又简易的标准。同时,任何第三方都可以使用OAUTH认证服务,任何服务提供商都可以实现自身的OAUTH认证服务,因而OAUTH是开放的。业界提供了OAUTH的多种实现如PHP、JavaScript,Java,Ruby等各种语言开发包,大大节约了程序员的时间,因而OAUTH是简易的。互联网很多服务如Open API,很多大公司如Google,Yahoo,Microsoft等都提供了OAUTH认证服务,这些都足以说明OAUTH标准逐渐成为开放资源授权的标准。 OAuth授权有如下几个阶段,如图: 第一步:申请授权 在这一步,网站向IDP发起授权请求。比如说你想要从Office365获取用户的某些权限
发布时间:2016-12-04 20:15 | 阅读:162566 | 评论:0 | 标签:WEB安全 OAuth 网络钓鱼

移动APP安全揭秘之第二期:授权登录的安全短板

前情提要上期关键词回顾:网民吐槽的场景、障眼法的病毒、给他人做嫁衣的开发团队、见招拆招的乐固上期阅读链接:[移动 APP 安全揭秘]第一期——泛滥的盗版​前言往事再现两年前新加坡南洋理工大学一位名叫 Wang Jing 的博士生,发现了 OAuth 和 OpenID 开源登录工具的“隐蔽重定向”漏洞(Covert Redirect),博足了全世界眼球,也被一些安全研究人员研究出了各种猥琐利用的方式(参看知乎专栏:优主张,OAuth 相关文章),能随意进出各大社交网站的用户主页,当时不少媒体以为是 OAuth 这个协议的问题,而实际 OAuth 这个协议本身是没有问题的,之所以存在问题是因为各个厂商没有严格参照官方文档,只实现了简版。本期精彩而 OAuth2.0 协议是目
发布时间:2016-10-17 13:45 | 阅读:106144 | 评论:0 | 标签:终端安全 OAuth OpenID 授权登录 移动APP安全 移动

Microsoft OAuth接口XSS,影响用户账号安全

有一天,当我在浏览Twitter上的信息时,我发现了一篇非常有趣的文章,Wesley Wineberg在微软OAuth 认证接口发现的一个CSRF漏洞。这篇文章让我好奇的同时也激起了我能在这个地方再找到一个漏洞的信心(作者谜一样的自信),因此我打算深入分析一下这个认证接口。首先,要在我们的测试app上使用OAuth认证,我们需要先注册一个app。经过搜索,我发现了一个链接,点击后会来到”微软开发者中心”,我发现在这里注册app的话会要求我填写“应用名”和“语言”。任何允许用户输入的地方都有可能是触发xss的入口点,所以我插入了xss攻击向量:’”></script><img src=x onerror=prompt(1)>。很不幸的是
发布时间:2016-03-09 09:15 | 阅读:108517 | 评论:0 | 标签:WEB安全 OAuth xss 微软

针对近期“博全球眼球OAuth漏洞”的分析与防范建议

  据Cnet报道,新加坡南洋理工大学一位名叫Wang Jing的博士生,发现了OAuth和OpenID开源登录工具的“隐蔽重定向”漏洞(Covert Redirect)。 首先需要明确的一点是,漏洞不是出现在OAuth 这个协议本身,这个协议本身是没有问题的,之所以存在问题是因为各个厂商没有严格参照官方文档,只是实现了简版。 问题的原因在于OAuth的提供方提供OAuth授权过程中没有对回调的URL进行校验,从而导致可以被赋值为非原定的回调URL,就可以导致跳转、XSS等问题,甚至在对回调URL进行了校验的情况可以被绕过,具体将在附件中的paper中阐述。 微博安全团队4 月中旬已经率先发现该问题,并联合业务部门进行威胁的评估和落地修复方案的敲定,截止今天中午前,回调URL校验和校验绕过漏洞在开放
发布时间:2014-05-06 12:55 | 阅读:217956 | 评论:0 | 标签:技术分享 oauth openid vulner 漏洞

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云

本页关键词