Token-Offenlegung in der URL

Was ist Token-Offenlegung in der URL?

Ein Session-Token in einer URL legt einen Wert offen, der jede Person authentifiziert, die ihn besitzt. URLs landen in Server- und CDN-Zugriffsprotokollen, im Browserverlauf, bei Diensten zur Link-Vorschau und im Referer -Header für Drittanbieter-Ressourcen. Sie gewinnen aktive Token aus den Referrer-Daten eines Analytics-Anbieters und lesen ohne Passwort die privaten Dokumente eines Opfers. Danach übertragen Sie das Token über einen Set-Cookie -Header mit HttpOnly , Secure und SameSite=Strict . Alle bereits offengelegten Token entwerten Sie, denn ein Code-Fix widerruft keine zuvor abgegriffenen Zugangsdaten.

Was Sie lernen in Token-Offenlegung in der URL

• Erkennen, dass jeder Wert, den ein Angreifer zur Authentifizierung als Nutzer wiederverwenden könnte (Session-Token, API-Schlüssel, Reset-Token, Parameter einer signierten URL), in ein Cookie oder einen Header gehört, niemals in eine URL
• Den Unterschied der Offenlegungsfläche zwischen URLs (von vielen Stellen protokolliert, weitergeleitet und aufgezeichnet) und Cookies (nur Browser-Server-Kanal) verstehen
• Das Cookie-Muster HttpOnly + Secure + SameSite=Strict für Session-Token und gleichwertige Authentifikatoren anwenden
• Jedes Session-Token entwerten, das bereits in Protokolle und Referrer abgeflossen ist, da ein Code-Fix Token nicht rückwirkend widerruft, die Angreifer bereits gesammelt haben
• Jeden URL-Generator (Magic-Link-Anmeldung, signierte Freigabe-URLs, Download-Token, Passwort-Reset-URLs, OAuth-Callbacks) auf Authentifikatoren prüfen, die aus der URL entfernt werden sollten

Token-Offenlegung in der URL — Trainingsschritte

1. Eine Anmeldung beobachten

   Bob untersucht Corveil, eine Anwendung für gemeinsame Arbeitsbereiche, über die Unternehmen ihre Dokumente verwalten. Bevor er nach einem Einstieg sucht, möchte er genau sehen, was die Anwendung bei einer Anmeldung tut. Er registriert ein Wegwerfkonto, damit er sich selbst anmelden und jeden Schritt beobachten kann. Er beginnt auf der Anmeldeseite.

2. Anmelden und der Weiterleitung folgen

   Bob meldet sich wie jeder andere Nutzer bei seinem Wegwerfkonto an. Sein Passwortmanager füllt die gespeicherten Zugangsdaten aus. Corveil meldet ihn an und leitet ihn zum Dashboard seines Arbeitsbereichs weiter. Der Browser öffnet die Zielseite.

3. Das Token in der Adressleiste

   Bob befindet sich nun auf seinem Dashboard und etwas fällt ihm sofort auf: Die Anmeldung hat sein Session-Token direkt in die URL geschrieben. Diese eine Zeichenfolge ist seine gesamte angemeldete Sitzung. Er muss nirgends einbrechen. Er braucht nur Zugriff auf die Orte, an denen sich diese URLs ansammeln.

4. Die Referrer-Protokolle auswerten

   Bob sendet Corveil keine einzige bösartige Anfrage. Stattdessen kauft er bei einem Analytics-Reseller Referrer-Protokolle eines Monats – einem Anbieter, dessen Tracking-Tag auf dem Corveil-Dashboard eingebunden ist und unbemerkt die vollständige verweisende URL jedes Besuchers aufzeichnet. Er öffnet neben dem Browser ein Terminal und durchsucht diesen Datenstrom mit grep nach Dashboard-Anmeldelinks.

5. Eine gestohlene Sitzung wiederverwenden

   Bob wählt ein Opfer aus dem Dump aus, Maya Okafor, und übernimmt ihr Session-Token. Er richtet den API-Tester auf die Dokumenten-API von Corveil und übermittelt ihr gestohlenes Token in einem Cookie-Header, genau wie ihr Browser. Wenn der Server es akzeptiert, liest er Mayas privaten Arbeitsbereich, ohne ihr Passwort zu kennen.

6. Ihre Sitzung in seiner Hand

   Der Server akzeptierte das gestohlene Token als echte Anmeldung und antwortete. Bob liest nun über einen einfachen API-Aufruf Mayas private Dokumente – ohne eigenes Konto und ohne Passwort. Bob kann das für Tausende von Nutzern gleichzeitig tun, allein anhand von Protokollen, die er gekauft hat. Begründen Sie genau, warum ein Token in einer URL so viel schlimmer ist als gewöhnliche Daten in einer URL.

7. Wissenscheck

8. Der Sicherheitsalarm

   Sie verantworten den Anmeldeservice von Corveil. Über Nacht erkannte die Überwachung eine Reihe von Sitzungen, die von unbekannten Orten wiederverwendet wurden, und schickte Ihnen den Befund per E-Mail. Lesen Sie, was sie erkannt hat, und öffnen Sie dann den Code.

9. Den Anmelde-Handler öffnen

   Sie müssen den Handler ändern, der die Anmeldung abschließt und den Nutzer zu seinem Dashboard weiterleitet. Öffnen Sie ihn und sehen Sie sich an, wie er die Weiterleitung erstellt.

10. Die Offenlegung erkennen

    Der Handler erstellt eine neue Sitzung und schreibt deren ID direkt in den Query-String des Weiterleitungsziels. Der Browser folgt dieser URL; von diesem Moment an gelangt das Token überall dorthin, wohin die Adresse gelangt.