PwnAuth——一个可以揭露OAuth滥用的利器-阿里云开发者社区

开发者社区> 尚国> 正文

PwnAuth——一个可以揭露OAuth滥用的利器

简介: 一、简介 鱼叉式网络钓鱼攻击被视为企业最大的网络威胁之一。只需要一名员工输入自己的凭证或运行一些恶意软件,整个企业都会受到威胁。因此,公司投入大量资源来防止凭证收集和有效载荷驱动的社会工程攻击。然而,对于非传统但却同样危险的社会工程——OAuth滥用却没有给予足够重视。
+关注继续查看

一、简介

鱼叉式网络钓鱼攻击被视为企业最大的网络威胁之一。只需要一名员工输入自己的凭证或运行一些恶意软件,整个企业都会受到威胁。因此,公司投入大量资源来防止凭证收集和有效载荷驱动的社会工程攻击。然而,对于非传统但却同样危险的社会工程——OAuth滥用却没有给予足够重视。在OAuth滥用攻击中,受害者授权第三方应用程序访问其帐户。一旦获得授权,应用程序不需要凭证就可以访问用户的数据,并绕过可能存在的任何双因素身份验证。

今天,我发布了PwnAuth,这是一个让组织和渗透测试人员测试其检测和响应OAuth滥用社会工程活动能力的平台。在发布该工具时,我们希望提高对这种威胁的认识,提高安全社区检测它的能力,并为防御者提供对策。

转到我们的GitHub开始使用PwnAuth

二、何为OAuth

OAuth 2.0被描述为“一种开放的协议,允许从Web、移动和桌面应用程序以简单标准的方法进行安全授权……”它已成为诸如亚马逊,Google,Facebook和微软等主要互联网公司的事实协议,使用它来方便第三方应用程序访问用户数据。访问Microsoft OneDrive轻松进行文件共享的应用程序就是一个利用OAuth的应用程序示例。

我们以访问OneDrive的应用程序为例,在OAuth授权流程中定义一些角色:

应用程序——客户端

请求访问的第三方应用程序。在本例中,访问OneDrive文件的应用程序是“客户端”。

API——资源

客户端希望访问的目标应用程序。在本例中,Microsoft OneDrive API 终端是资源。

资源拥有者

允许访问其部分帐户的人员。在本例中,就是你。

授权服务器

授权服务器提供资源所有者用来同意或拒绝的接口。服务器可以与API资源相同,或者是另一个不同的组件。在本例中,Microsoft登录门户是“授权服务器”。

范围

范围定义为第三方应用程序请求的访问类型。大多数API资源将定义应用程序可以请求的一组范围。这与Android手机应用程序在安装时请求的权限类似。在本例中,应用程序可能会请求访问OneDrive文件和用户配置文件。

OAuth 2.0提供了几种不同的授权“权限类型”,以适应用户及与之交互的不同应用程序。为了本文的目的,我们对“授权代码”权限类型感兴趣,该权限类型由实现OAuth的Web应用程序使用。以下是授权流程示例:

1.创建一个“同意”链接,以应用程序的标识和请求的作用域为参数,指示资源所有者访问授权服务器。

https://login.microsoftonline.com/auth
?response_type=code
&client_id=123456789
&redirect_uri=https%3A%2F%2Fexample-app.com%2Fcallback
&scope=mail.read+offline_access

2.资源所有者将收到授权提示,说明应用程序名称和请求的范围。资源所有者可以选择同意或拒绝此授权请求。

3.同意后,授权服务器将使用授权码重定向应用程序。

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
   
{
"access_token":"aMQe28fhjad8fasdf",
"token_type":"bearer",
"expires_in":3600,
"refresh_token":"OWWGE3YmIwOGYzYTlmM2YxNmMDFkNTVk",
"scope":"mail.read+offline_access"
}

4.然后应用程序可以使用授权码并从授权服务器请求访问令牌。访问令牌可以在设定的时间段内使用,从API资源访问用户的数据,而无需资源所有者采取任何进一步的行动。

三、滥用漫延

OAuth应用程序提供了一个理想的载体,攻击者可以通过它攻击目标并获取电子邮件、联系人和文件等机密数据。攻击者可能会创建恶意应用程序,并使用获取的访问令牌通过API资源获取受害者的帐户数据。访问令牌不需要知道用户的密码,并能绕过双因素认证。此外,删除攻击者访问权的唯一方法是显式撤销对OAuth应用程序的访问。为了获得OAuth令牌,攻击者需要通过社会工程说服受害者点击“同意链接”并同意该应用程序。由于所有受害者交互都位于合法资源提供者(例如Microsoft)拥有的网站上,因此未经训练的用户很难区分合法的OAuth应用程序和恶意应用程序。

虽然可能不是此类活动的首例,但在2016年总统选举期间OAuth滥用首先引起了媒体的关注。FireEye在M-TRENDS 2017 report中介绍了APT28滥用OAuth,获取美国政客的电子邮件。从那以后,FireEye已经看到这种技术已经蔓延到寻求在Gmail中传播的商品蠕虫。

四、PwnAuth

PwnAuth是我写的一个Web应用程序框架,它使企业更容易测试其检测和响应OAuth滥用活动的能力。Web应用程序为渗透测试人员提供了一个易于使用的UI,管理恶意OAuth应用程序、存储收集的OAuth令牌以及与API资源进行交互。通过创建其他模块,应用程序用户界面和框架可以很容易地扩展到其他API资源。虽然任何允许OAuth应用程序的云环境都可以成为目标,但是PwnAuth目前使用一个模块来支持恶意Office 365应用程序,捕获OAuth令牌并使用捕获的令牌与Microsoft Graph API进行交互。Office 365模块本身可以进一步扩展,但目前提供以下功能:

· 阅读邮件

· 搜索用户的邮箱

· 读取用户的联系人

· 下载消息和附件

· 搜索OneDrive并下载文件

· 代表用户发送消息

界面设计很直观和友好。使用PwnAuth的第一步是创建一个Microsoft应用程序。这些信息必须输入到PwnAuth(图1)。

PwnAuth一个可以揭露OAuth滥用的利器

图1:将一个Microsoft App导入PwnAuth

配置完成后,可以使用生成的“授权URL”对潜在受害者进行钓鱼。点击后,PwnAuth将捕获受害者OAuth令牌供以后使用。图2显示的是一个受害者的列表。

PwnAuth一个可以揭露OAuth滥用的利器

图2:在PwnAuth中列出受害用户

一旦PwnAuth捕获了受害者的OAuth令牌,就可以开始访问他们的数据。例如,使用PwnAuth向受害者的邮箱查询包含字符串“password”的所有消息(图3)。

PwnAuth一个可以揭露OAuth滥用的利器

图3:搜索受害者的邮箱

有关使用的更多信息,请参阅GitHub wiki 。

五、缓解措施

FireEye的技术包括基于网络的签名以检测潜在的恶意OAuth许可URL。攻击者倾向于将某些范围包含在可检测到并标记的恶意应用程序中。社会工程培训的机构可以将OAuth滥用情况添加到其现有计划中,以更好地向用户介绍此攻击向量。此外,企业可以采取措施来限制恶意OAuth应用程序的潜在影响并提高其检测功能。依据API资源,企业可用的选项差异很大,但通常包括:

· 限制第三方应用程序可以请求的API范围。

· 在企业中禁用第三方应用具有Cloud App Security的组织可以利用“应用程序权限”功能查询和阻止第三方应用程序。。

· 为应用程序实施白名单或黑名单。

· 对所有同意的应用程序查询企业的用户。

· 记录所有用户同意事件并报告可疑活动。

Office 365特别为管理员提供了一些选项:

· 拥有Cloud App Security的企业可以利用“应用程序权限”功能查询和阻止第三方应用程序。

· 管理员可以阻止对第三方应用程序的访问。

· 管理员可以采取行动,如果他们认为恶意应用程序被授予访问帐户的权限。

· 统一审计日志记录用户何时同意第三方应用程序;但是,特定范围和应用程序信息未记录在日志中。

我创建了一组脚本来帮助管理员在云环境中搜索恶意OAuth应用程序。目前有一个脚本可以调查Office 365占用者并计划添加其他云环境。

六、总结

OAuth滥用攻击是一种危险且非传统的网络钓鱼技术,攻击者可利用此技术获取企业的机密数据。随着人们将更多服务迁移到云中,企业应小心锁定第三方应用程序的访问权限,并确保其监控和检测策略涵盖应用程序许可授予。企业和安全专业人员可以使用PwnAuth来测试他们检测和响应这种新型攻击的能力。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
怎么设置阿里云服务器安全组?阿里云安全组规则详细解说
阿里云服务器安全组设置规则分享,阿里云服务器安全组如何放行端口设置教程
6915 0
使用OpenApi弹性释放和设置云服务器ECS释放
云服务器ECS的一个重要特性就是按需创建资源。您可以在业务高峰期按需弹性的自定义规则进行资源创建,在完成业务计算的时候释放资源。本篇将提供几个Tips帮助您更加容易和自动化的完成云服务器的释放和弹性设置。
7758 0
windows server 2008阿里云ECS服务器安全设置
最近我们Sinesafe安全公司在为客户使用阿里云ecs服务器做安全的过程中,发现服务器基础安全性都没有做。为了为站长们提供更加有效的安全基础解决方案,我们Sinesafe将对阿里云服务器win2008 系统进行基础安全部署实战过程! 比较重要的几部分 1.
5458 0
阿里云服务器安全组设置内网互通的方法
虽然0.0.0.0/0使用非常方便,但是发现很多同学使用它来做内网互通,这是有安全风险的,实例有可能会在经典网络被内网IP访问到。下面介绍一下四种安全的内网互联设置方法。 购买前请先:领取阿里云幸运券,有很多优惠,可到下文中领取。
9426 0
腾讯云服务器 设置ngxin + fastdfs +tomcat 开机自启动
在tomcat中新建一个可以启动的 .sh 脚本文件 /usr/local/tomcat7/bin/ export JAVA_HOME=/usr/local/java/jdk7 export PATH=$JAVA_HOME/bin/:$PATH export CLASSPATH=.
2141 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,云吞铺子总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系统盘、创建快照、配置安全组等操作如何登录ECS云服务器控制台? 1、先登录到阿里云ECS服务器控制台 2、点击顶部的“控制台” 3、通过左侧栏,切换到“云服务器ECS”即可,如下图所示 通过ECS控制台的远程连接来登录到云服务器 阿里云ECS云服务器自带远程连接功能,使用该功能可以登录到云服务器,简单且方便,如下图:点击“远程连接”,第一次连接会自动生成6位数字密码,输入密码即可登录到云服务器上。
16829 0
+关注
尚国
鄙人伍尚国,一直从事渗透测试方面的工作,希望能跟各位朋友在云栖社区里交流技术、共同进步!
10
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
文娱运维技术
立即下载
《SaaS模式云原生数据仓库应用场景实践》
立即下载
《看见新力量:二》电子书
立即下载