Trainning
  • WEEK 2
    • Tìm hiểu các thành phần hệ điều hành
    • TryHackMe| Abusing Windows Internals
  • WEEK 3
    • Một số phương thức Persistence
    • Các Phương thức tấn công Process nâng cao
    • Implement tấn công
  • week 4
    • Linux
      • Basic Concept Linux
      • Symlink
      • Linux Persistence
      • Notes
    • PROCESS LIST
    • Network
      • OSI MODEL(OPEN SYSTEMS INTERCONNECTION MODEL)
      • Các giao thức phổ biến trong môi trường enterprise
        • SMB - Server Message Block
        • LDAP - Lightweight Directory Access Protocol
          • LDAP Injection
        • SSH - Secure Shell
        • RDP - Remote Desktop Protocol
        • ICMP - Internet Control Message Protocol
        • DNS - Domain Name System
        • DHCP - Dynamic Host Configuration Protocol
        • HTTP/HTTPS
  • WEEK 5
    • Các dạng tấn công trong network phổ biến (SYNC Flood, MAC flood,...)
    • Reconnaissance
    • Active Directory
      • Group Policy
    • NTLM vs Kerberos
      • Spoofing LLMNR, NBT-NS, mDNS/DNS and WPAD and Relay Attacks
      • Path The Hash
      • ASREPRoast
        • Demo
      • Kerberoasting
        • Demo
      • Silver Ticket
        • Demo
      • Golden Ticket
        • Demo
      • Tóm tắt
    • Stealing Windows Credentials
      • Mimikatz
      • Custom SSP
    • LLMNR Poisoning, NTLM Replay
  • WEEK 6 + 7
    • DOM-based vulnerabilities
      • DOM-based open redirection
    • SQL Injection
      • Lab: Retrieving hidden data
      • Lab: Subvering application logic
      • SQL injection UNION attacks
        • Lab: SQL injection UNION attack, determining the number of columns returned by the query
        • Lab: SQL injection UNION attack, finding a column containing text
        • Lab: SQL injection UNION attack, retrieving data from other tables
        • Lab: SQL injection UNION attack, retrieving multiple values in a single column
      • Blind SQL Injection
        • Lab: Blind SQL injection with conditional responses
        • Lab: Blind SQL injection with conditional errors
        • Lab: Visible error-based SQL injection
        • Lab: Blind SQL injection with time delays
        • Lab: Blind SQL injection with time delays and information retrieval
        • Lab: Blind SQL injection with out-of-band interaction
        • Lab: Blind SQL injection with out-of-band data exfiltration
      • Examining the database
        • Lab: SQL injection attack, querying the database type and version on Oracle
        • Lab: SQL injection attack, querying the database type and version on MySQL and Microsoft
        • Lab: SQL injection attack, listing the database contents on non-Oracle databases
        • Lab: SQL injection attack, listing the database contents on Oracle
      • Che dấu cuộc tấn công bằng Encode
        • Lab: SQL injection with filter bypass via XML encoding
    • Authentication
      • Lỗ hổng trong đăng nhập bằng mật khẩu
        • Lab: Username enumeration via different responses
        • Lab: Username enumeration via subtly different responses
        • Lab: Username enumeration via response timing
        • Lab: Broken brute-force protection, IP block
        • Lab: Username enumeration via account lock
        • Lab: Broken brute-force protection, multiple credentials per request
      • Lỗ hổng trong xác thực đa nhân tố
        • Lab: 2FA simple bypass
        • Lab: 2FA broken logic
        • Lab: 2FA bypass using a brute-force attack
      • Các lỗ hổng trong cơ chế xác thực khác
        • Lab: Brute-forcing a stay-logged-in cookie
        • Lab: Offline password cracking
        • Lab: Password reset broken logic
        • Lab: Password brute-force via password change
        • Lab: Password brute-force via password change
      • Lỗ hổng xác thực OAuth 2.0
        • Lab: Authentication bypass via OAuth implicit flow
        • Lab: Authentication bypass via OAuth implicit flow
        • Lab: Forced OAuth profile linking
        • Lab: OAuth account hijacking via redirect_uri
        • Lab: Stealing OAuth access tokens via an open redirect
        • Lab: Stealing OAuth access tokens via a proxy page
        • Lab: SSRF via OpenID dynamic client registration
    • Access Control
      • Lab: Unprotected admin functionality
      • Lab: Unprotected admin functionality with unpredictable URL
      • Lab: User role controlled by request parameter
      • Lab: User role can be modified in user profile
      • Lab: URL-based access control can be circumvented
      • Lab: Method-based access control can be circumvented
      • Lab: User ID controlled by request parameter
      • Lab: User ID controlled by request parameter, with unpredictable user IDs
      • Lab: User ID controlled by request parameter with data leakage in redirect
      • Lab: Insecure direct object references
      • Lab: Multi-step process with no access control on one step
      • Lab: Referer-based access control
    • Path Traversal
      • Lab: File path traversal, simple case
      • Lab: File path traversal, traversal sequences blocked with absolute path bypass
      • Lab: File path traversal, traversal sequences stripped non-recursively
      • Lab: File path traversal, traversal sequences stripped with superfluous URL-decode
      • Lab: File path traversal, validation of start of path
      • Lab: File path traversal, validation of file extension with null byte bypass
    • Command Injection
      • Lab: OS command injection, simple case
      • Lab: Blind OS command injection with time delays
      • Lab: Blind OS command injection with output redirection
      • Lab: Blind OS command injection with out-of-band interaction
      • Lab: Blind OS command injection with out-of-band data exfiltration
    • File uploads
    • Server-side request forgery (SSRF)
    • Cross-site scripting
      • Reflected XSS
      • Stored XSS
      • DOM-based XSS
      • Cross-site scripting contexts
    • Cross-site request forgery (CSRF)
      • Bypassing CSRF token validation
      • Bypass SameSite cookie restrictions
      • Page 2
    • Insecure deserializaton
    • Burp Suite
    • Tóm tắt
  • Week 8
    • Rà soát mã độc
Powered by GitBook
On this page
  • Mô tả
  • Phân tích
  • Giải pháp
  1. WEEK 6 + 7
  2. Authentication
  3. Lỗ hổng xác thực OAuth 2.0

Lab: Forced OAuth profile linking

PreviousLab: Authentication bypass via OAuth implicit flowNextLab: OAuth account hijacking via redirect_uri

Last updated 8 months ago

Mô tả

Phòng thí nghiệm này cung cấp cho bạn tùy chọn đính kèm hồ sơ mạng xã hội vào tài khoản của bạn để bạn có thể đăng nhập qua thay vì sử dụng tên người dùng và mật khẩu thông thường. Do luồng OAuth được client application triển khai không an toàn, kẻ tấn công có thể thao túng chức năng này để truy cập vào tài khoản của người dùng khác.

Người dùng quản trị sẽ mở bất cứ thứ gì bạn gửi từ exloit server và họ luôn có phiên hoạt động trên trang web blog.

Bạn có thể đăng nhập vào tài khoản của mình bằng thông tin đăng nhập sau:

  • Blog website account: wiener:peter

  • Social media profile: peter.wiener:hotdog

Mục tiêu: Tấn công CSRF để đính kèm Social media profile của bạn vào tài khoản người dùng quản trị trên trang web blog, sau đó truy cập bảng điều khiển quản trị và xóa carlos.

Phân tích

Đăng nhập bằng tài khoản trang web. Để ý thấy trong /my-account có tùy chọn Attach a social profile

Khi nhấp vào chức năng này, người dùng được chuyển hướng đến trang web mạng xã hội, nơi phải đăng nhập bằng thông tin xác thực mạng xã hội của mình để hoàn tất luông OAuth. Sau đó, sẽ được chuyển hướng trở lại trang web blog.

Đăng xuất và đăng nhập với tùy chọn Login with social media. Ta được đăng nhập ngay lập tức thông qua tài khoản phương tiện truyền thông xã hội mới được liên kết.

Quan sát lại HTTP trong Burp. Trong GET /auth?client_id[...] request, ta thấy redirect_uri với chực năng gửi authorization code /oauth-linking

Quan trọng là request này không bao gồm tham số state để chống lại cuộc tấn công CSRF

Giải pháp

Dùng tính năng Attach a social profile một lần nữa và chặn bắt request GET /oauth-linking?code=[...] trong Burp Proxy. Nhấp chuột phải vào yêu cầu này và chọn "Copy URL". Đông thời drop request này để đảm bảo code không được sử dụng và còn hợp lệ để tấn công CSRF

Trên exploit server, tạo một iframetrong đó thuộc tính src trỏ đến URL vừa sao chép

Gửi exploit cho nạn nhân

Khi trình duyệt của họ tải iframe, nó sẽ hoàn tất luồng OAuth bằng cách sử dụng Social media profile, đính kèm nó vào tài khoản quản trị trên trang web blog.

Đăng nhập lại bằng "Log in with social media" . Quan sát trong /my-account và thấy rằng ta đã đăng nhập với tư cách administrator

Đi đến Admin panel và xóa tài khoản carlos

OAuth