如何防止 OAuth 攻击（见攻击场景）？
[英]How to prevent a OAuth attack (see attack scenario)?
问题描述
以下是攻击者如何接管受害者帐户的攻击场景：
- 攻击者在 provider.com 上进行了身份验证
- 攻击者在某些 site.com 上启动一个使用 provider.com 进行身份验证的过程
- 攻击者不交换访问令牌的授权代码并复制链接
https://provider.com/oauth/authenticate?code={authorization-code}然后发送给受害者 - 受害者在提供者上进行身份验证并单击上面的链接，将授权代码交换为访问令牌，并最终在 site.com 上使用受害者的帐户进行身份验证
- 攻击者现在继续授权过程并为访问令牌交换相同的授权代码，并最终在 site.com 上使用受害者的帐户进行身份验证。
如何防止这种利用OAuth协议弱点的攻击？ 提前谢谢大家！
1 个解决方案
解决方案1
0 2017-07-10 10:02:02
如果状态参数由 site.com 维护，那么攻击者的状态代码将绑定到他/她的浏览器，而不是受害者的。 因此，当受害者点击恶意 URL 时，site.com 将无法将状态代码与受害者的浏览器会话相关联。
看看Oauth2.0 规范对此有何评论。
通过查询字符串进行的安全攻击是否是CSRF攻击？ 如何防止查询字符串攻击？
[英]Is the security attack through query string is a CSRF attack? How to prevent attack from query string?
声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.