hunt-oauth

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

Vulnerabilidades OAuth estão entre as classes de bugs de maior valor em segurança web porque permitem diretamente tomada de conta, roubo de sessão e bypass de autenticação — a trinca pela qual os programas pagam mais.

Alvos de maior valor:

• Provedores de identidade de consumidores (Google, Facebook, PayPal, integrações SSO da Apple) — qualquer comprometimento se propaga por todas as partes confiáveis
• Aplicativos móveis com manipuladores OAuth de deep link personalizados — o tratamento de intents do Android/iOS é notoriamente frouxo
• Plataformas SaaS multilocatárias (GitLab, aplicativos em escala do Reddit) onde uma falha OAuth atinge milhões de contas
• Plataformas de jogos/entretenimento com login federado (Rockstar, Oculus) — equipes frequentemente imaturas em segurança
• Conectores SSO corporativos — infraestrutura crítica, pagamentos de alta severidade

Tipos de ativos que pagam mais:

• Endpoints de autorização OAuth (/oauth/authorize, /connect/authorize)
• Endpoints de troca de tokens (/oauth/token)
• Manipuladores de deep link móveis (push_notification_webview, URIs de esquema personalizado)
• Manipuladores de callback de login social (/auth/callback, /oauth/callback)

Pagamentos típicos: $500–$20.000+ dependendo do programa; descobertas de tomada de conta frequentemente atingem a recompensa máxima.

Sinais da Superfície de Ataque

Padrões de URL para Procurar

/oauth/authorize
/oauth/token
/connect/authorize
/auth/callback
/oauth/callback
/login?redirect_uri=
/signin?next=
/auth?return_to=
/oauth/redirect
/push_notification_webview

Cabeçalhos de Resposta que Sinalizam OAuth

Location: https://accounts.example.com/oauth/...
Set-Cookie: oauth_state=
WWW-Authenticate: Bearer
Content-Type: application/json (with access_token in body)

Padrões de JavaScript (grep em pacotes JS)

redirect_uri
client_id
response_type=code
response_type=token
state=
nonce=
oauth_token
access_token
push_notification_webview
deeplink
intent://

Sinais de Pilha de Tecnologia

• Aplicativos Android com intent-filter em AndroidManifest.xml manipulando http:// ou URIs de esquema personalizado
• Aplicativos usando Doorkeeper, OmniAuth, Devise (Ruby), Passport.js (Node), Spring Security OAuth
• Botões de login social (Google, Facebook, Apple) = superfície OAuth garantida
• .well-known/openid-configuration presente = superfície OIDC completa disponível

Metodologia de Busca Passo a Passo

1. Enumerar todos os pontos de entrada OAuth

   • Rastrear o aplicativo em busca de caminhos /oauth, /connect, /auth, /login
   • Verificar .well-known/openid-configuration e .well-known/oauth-authorization-server
   • Descompilar APKs móveis: apktool d app.apk e grep para redirect_uri, intent://, esquemas de deep link

2. Mapear o fluxo OAuth completo

   • Capturar a solicitação de autorização: anotar client_id, redirect_uri, state, nonce, response_type
   • Capturar o callback: anotar onde tokens/códigos chegam, o que valida estado/nonce

3. Testar validação de redirect_uri (maior retorno)

   • Tentar bypass de host exato: redirect_uri=https://legit.com.evil.com
   • Tentar traversal de diretório: redirect_uri=https://legit.com/callback/../../../evil
   • Tentar redirecionamentos abertos no domínio legítimo primeiro, depois encadear no OAuth
   • Tentar poluição de parâmetros: redirect_uri=https://legit.com&redirect_uri=https://evil.com
   • Tentar caracteres codificados: %2F, %40, %23 para confundir parsers

4. Testar parâmetro state (CSRF)

   • Remover state completamente — o fluxo é concluído?
   • Reutilizar um valor fixo de state entre sessões
   • Verificar se state é validado no lado do servidor ou apenas no lado do cliente

5. Testar parâmetro nonce (replay/bypass)

   • Capturar um nonce de um fluxo, tentar reproduzi-lo em outro
   • Verificar se o nonce é validado após a troca de tokens

…