一名比利时的技术人员Arne Swinnen就在其博客上详细了如何利用子域名接管绕过Uber的单点登录。
此外，Uber最近在上部署了单点登录（SSO）系统，该系统会在所有* .uber.com子域之间共享Cookie。
OAuth：安全性主要基于白名单的回调URL，以及通过“state”参数进行CSRF。缺陷通常存在于URL重定向漏洞，可以盗取OAuth令牌，绕过身份验证。
SAML：安全性基于服务商和身份提供者之间的XML消息，这些消息需要通过双方预先交换的密钥进行验证。缺点通常在于XML签名绕过。
子域间共享Cookie：安全性基于所有子域的安全性。任何子域存在漏洞，都会导致来自SSO系统的共享会话cookie被盗取。
浏览任何需要身份验证的uber.com子域名，例如客服中心，Uber司机，开发者中心，都会被重定向到auth.uber.com。
只要登录并访问另任意一个子域名，浏览器就可以通过SSO系统透明地登录，该系统在登录一次后会为每个* .uber.com子域发布临时会话cookie。
这个系统中存在漏洞，就是者只需要进行一次SSO身份验证，就会导致任何被接管的* .uber.com子域名发送并盗取有效的会话cookie。
为了证明这个漏洞，Arne Swinnen在被接管的子域名上放了一个HTML文件，表明他已经接管这个了这个子域名。
在Uber的SSO系统中，身份提供者，并为https：提供临时共享会话Cookie，为Uber司机、合作商和开发人员提供身份认证信息。
从下面的SSO登陆图中可以发现，服务提供方会马上传入的临时共享会话cookie，防止出现错误的身份验证，减少数据盗取的可能。
因此，黑客只能在步骤9到步骤12之间盗取共享会话cookie“_csid”，而且由于浏览器的自动重定向，留给黑客的时间非常短。
虽然黑客还是可以在这么短的时间内进行盗取，但根据上图显示，这个系统中还有一个更方便利用的错误，允许共享会线后继续保存在浏览器的cookie存储中。
问题在于，如果者已经从登陆（图中步骤12之后的情况），当他接收到来自一个新请求，而这个请求包含共享会话cookie“_csid”时，cookie就会被忽略，直至浏览器的cookie被清理。
黑客只需要重复上图中的步骤3作为步骤13，并向发送一个隐藏的请求，就可以盗取重要的会话cookie。
因此，一旦黑客拿到者的共享会话cookie“_csid”，他就可以在自己的浏览器上执行正常的登录流程，并在步骤9中把自己的“_csid”cookie替换成者的然后登陆.
实际上，Uber还有另外一层防护措施，存在跨站请求伪造防护。下面是实际的Uber SSO登陆图。
问题在于，GET参数 state=CSRFTOKEN，服务提供方加在步骤3中的本地作用域cookie，以及步骤11中的验证。黑客没办法从者的浏览器中拿到这些值，他们手里只有“_csid”cookie。
不过黑客依然可以从获取正确的CSRFTOKEN值和附带的state cookie值，方法是在其末尾启动一个正常的登录方案（比如用自己的浏览器或写一个简单的脚本）。
然后，他可以在步骤3中将生成的URL传送到者的浏览器，生成并盗取“_csid”共享会话cookie，并在步骤9中再次将它们注入到自己的浏览器中。
一个PoC胜过一千张图片解释。在下面的PoC中，假设的情况是在者的浏览器上提供有效的SSL证书。
2、在者的浏览器中打开。接受你可能收到的任何证书 - 再说一次，我们只是在模拟该域名具有有效的SSL证书的情况。
页面加载完成后，你将得到三个字符串：URL字符串，“Cookie：”字符串和“Set-Cookie：”字符串。这些就是黑客收集的用来以者身份登陆的所有信息。
3、打开自己的浏览器，设置拦截代理工具来拦截请求和相应。打开prepareuberattack.php页面输出显示的URL并拦截此请求，然后复制 prepareuberattack.php上的 “Cookie: …” 字符串并粘贴到请求标头中。
4、重定向到，表示成功绕过验证。还有一点，从prepareuberattack.php页面输出中复制所有“Set-Cookie：”字符串，并将其粘贴到响应中，然后再将其转发到浏览器。这样可以确保被盗的cookies被永久地注入到你的浏览器中。
通过在这两个PHP文件中将“更改为的任何其他子域名，黑客可以代表者生成这些子域名的有效会话。
延伸相关词：
陈小艺被曝姐弟恋,倒追小伙被当保姆,陆贞传奇演员表,人鱼情未了 电视剧,莫小棋三级,保拉的诱惑,李慧珍老公,luciano rivarola,如意剧情介绍电视猫,电视剧当狗爱上猫
网友评论 ()条 查看