OAuth state参数 CSRF

最新推荐文章于 2023-01-31 15:57:01 发布

youGuess28

最新推荐文章于 2023-01-31 15:57:01 发布

阅读量1.7k

点赞数

分类专栏：水滴石穿文章标签： OAuth CSRF state

本文链接：https://blog.csdn.net/littlelittlebai/article/details/110948676

版权

本文探讨了OAuth授权流程中的state参数对于防止CSRF攻击的重要性。内容指出，某些服务提供商可能未强制要求state参数，但正确的服务器端校验至关重要。通过举例说明，当服务器未检查state参数时，攻击者可能利用此漏洞将第三方账号与受害者账号绑定。解决方案是增加对state参数的验证步骤，确保其存在并匹配，以增强系统安全性。

摘要由CSDN通过智能技术生成

记录

之前觉得问题都是出在RP端的，比如没有正确校验state参数，没有正确使用state参数这些。刚刚突然发现其实IdP端也没有校验好。

有些网站压根就没有使用state参数，这种情况下，作为IdP端，应该是提示需要有随机参数的，但是像微信、微博都是当做正常情况下处理的。（可能是为了给应用网站提供更大的自主空间，允许他们使用自己定义的参数，毕竟讲道理只要应用网站做好校验，就可以避免漏洞的）

还发现CSDN在使用OAuth来绑定微信账号的时候，state参数是固定为了csdn，但是因为CSDN在绑定账号前需要进行身份认证，所以，其实也是不存在可利用的漏洞的，无法发起CSRF。

另外，还有一个问题，如果应用网站的处理是：校验了state参数。讲道理应该是没有问题的。但是我用的这个OAuth client端的模版（thephpleague），给的示例代码里其实是存在问题的。

示例代码如下（https://oauth2-client.thephpleague.com/usage/）:

$provider = new \League\OAuth2\Client\Provider\GenericProvider([
    'clientId'                => 'XXXXXX',    // The client ID assigned to you by the provider
    'clientSecret'            => 'XXXXXX',    // The client password assigned to you by the provider
    'redirectUri'             => 'https://my.example.com/your-redirect-url/',
    'urlAuthorize'            => 'https://service.example.com/authorize',
    'urlAccessToken'          => 'https://se