五种不寻常的身份验证绕过技术

chenqiang

原文链接：五种不寻常的身份验证绕过技术

​
身份验证绕过漏洞是现代web应用程序中普遍存在的漏洞，也是隐藏最深很难被发现的漏洞。
为此安全防护人员不断在开发新的认证方法，保障组织的网络安全。尽管单点登录(SSO)等工具通常是对旧的登录用户方式的改进，但这些技术仍然可能包含严重的漏洞。无论是业务逻辑错误还是其他软件漏洞，都需要专业人员来分析其中的复杂性。
我们将在本文中介绍五种真实的身份验证绕过技术。
技术1——刷新令牌终端配置错误

在这种情况下，一旦用户使用有效凭证登录到应用程序，它就会创建一个在应用程序其他地方使用的承载身份验证令牌。该认证令牌在一段时间后过期。就在过期之前，应用程序在终端/refresh/tokenlogin中向后端服务器发送了一个请求，该请求在标头和HTTP主体部分的用户名参数中包含有效的身份验证令牌。
进一步的测试表明，删除请求上的Authorization标头并更改HTTP主体上的用户名参数将为提供的用户名创建一个新的有效令牌。利用此漏洞，拥有匿名配置文件的攻击者可以通过提供用户名为任何用户生成身份验证令牌。

​

编辑
技术2 ——SSO配置不正确

大多数应用程序都使用SSO系统，因为与处理许多身份验证门户相比，SSO系统更容易安全管理。但是简单地使用SSO并不能自动保护系统，因为SSO的配置也应得到保护。
现在，一个应用程序使用Microsoft SSO系统进行身份验证。当访问internal.redacted.com URL时，web浏览器会重定向到单点登录系统：

​

编辑
乍一看，它似乎是安全的，但对后端请求的分析显示，应用程序在重定向响应上返回了异常大的内容长度(超过40000字节)

​

编辑
为什么应用程序要这样做呢？当然是配置错误。在将用户发送到SSO的重定向时，应用程序向每个请求泄露了其内部响应。因此，可以篡改响应，将302 Found头更改为200 OK，并删除整个Location标头，从而获得对整个应用程序的访问。

​

编辑
此外，可以通过在Burp Suite中添加Match & Replace规则来自动删除标题并自动更改值，从而实现这个过程的自动化。

​

编辑
技术3——基于CMS的访问漏洞

内容管理系统(CMS)，如WordPress、Drupal和Hubspot也需要进行安全配置，以免它们在使用中中引入漏洞。
在发现的一个示例中，在一个内部应用程序中使用了一个流行的CMS平台Liferay。该应用程序只有一个不需要身份验证就可以访问的登录页面，所有其他页面都在应用程序UI中受到限制。
对于那些不熟悉Liferay的人来说，CMS为应用程序工作流使用了portlet，它的参数是数字中的p_p_id。对于该应用程序，可以通过将参数值更改为58来访问登录portlet。在正常的登录页面中，只有登录表单是可访问的。然而，通过直接访问portlet，可以达到Create Account功能，然后在不需要适当的授权情况下就可以进行自注册并访问内部应用程序。

​

编辑
请注意，虽然Liferay以前使用过这个工作流，但它的最新版本使用了portlet名称而不是数字ID。不过，也可以通过更改名称来访问其他portlet。
技术4 ——JWT令牌的使用

JWT令牌或JSON web令牌，在新的web应用程序中很流行。但是，虽然它们默认具有安全机制，但后端服务器配置也应该是安全的。
我的一项任务是在他们的内部应用程序中使用SSO身份验证。当直接访问时，应用程序将用户重定向到Microsoft SSO web页面。到目前为止，一切顺利。
然而，一些JS文件不需要身份验证就可以访问。测试显示，该应用程序使用了安全登录后通过Microsoft SSO系统发送的JWT令牌。在后端机制上，存在一个安全错误配置，即不检查是否为特定的应用程序生成了JWT令牌。相反，它接受任何具有有效签名的JWT令牌。因此，使用来自微软网站的JWT令牌示例如下：

​

编辑
在通用值内：

​

编辑
有可能访问内部终端，泄露公司数据。

​

编辑
技术5——将身份验证类型更改为Null

在此情况中，应用程序通过 base64 编码的 XML 请求向 HTTP 发布数据上发送所有请求。在登录机制上，它将用户名作为参数别名发送，将密码作为scode发送。scode 参数内的值已进行哈希处理。分析显示，它使用了所提供密码值的 md5 值。请求中还有另一个有趣的标志：scode 有一个属性，其类型值为 2。

​

编辑
我尝试将该值赋值为1，它将接受明文密码。成功了！因此，在明文值中使用暴力攻击中是可能的。没什么大不了的，但这标志着我走对了路。把它赋值给空值怎么样？或者其他值，如-1、0或9999999999？大多数都返回了除0之外的错误代码。我用属性0做了几次尝试，但没有成功，直到我将密码值作为空值发送出去。

​

编辑
我意识到只需提供用户名和密码即可访问任何帐户。事实证明，这是一个很大的错误。
总结

复杂的身份验证机制可能成为攻击者使用的最具隐蔽性的攻击手段，特别是在容易出现业务逻辑漏洞的应用程序上。因为自动扫描器大多无法进入这类漏洞，所以仍然需要手工来找到它们。鉴于现代软件环境的复杂性，没有任何一个安全研究人员能够发现所有可能的漏洞或攻击载体。

1. <code class="hljs">https://www.synack.com/blog/exploits-explained-5-unusual-authentication-bypass-techniques/</code>

复制代码

​