记一次腾讯SDK源代码审计后的CSRF攻击-安全KER

0x00 前言

初进ChaMd5安全团队，应M姐姐之邀写下这篇技术文章，这篇文章主要讲述本人近期代码审计腾讯的第三方登录SDK包时发现的一个漏洞，阅读这篇文章需要读者对OAuth2.0协议的原理和应用特别熟悉，如果读者对此不了解，请参考以下链接：

OAuth2.0协议RFC 文档：

https://tools.ietf.org/html/rfc6749

QQ开放平台的接入说明：

http://wiki.connect.qq.com/oauth2-0%e7%ae%80%e4%bb%8b

这是我之前写的一篇分析OAuth2.0协议安全性的文章：

https://www.anquanke.com/post/id/98392

0x01 攻击模型分析

我在这篇文章里讲的这种攻击方法是针对OAuth协议的一种CSRF攻击，大家都知道，很多网站都有绑定第三方账号的功能，这种攻击手段就是利用了网站的这种功能，为了深入分析漏洞，我先把绑定第三方账号的流程分析一下：

Step 1：某妹子使用账户密码登录XX网站

Step 2：妹子选择绑定QQ账户，在输入凭证信息后，QQ返回如下形式的链接：

http://xx.com/Index.php?Code=XXX

Step 3: 妹子访问上述链接，服务器接收到code参数，进行验证后与当前用户绑定。

为了说明这种攻击方法，我从2012年全国网络与信息安全峰会上知道创宇的一位大佬的PPT里借用一张图：

这种攻击方式看似复杂其实说起来也很简单，主要的问题出现在了上图的第四步中，即攻击者构造链接http://xx.com/Index.php?Code=XXX，其中Code参数绑定的是攻击者的QQ账户，然后发给Victim诱骗点击（CSRF），Victim点击之后，他的账户就与攻击者的QQ账户绑定了，这样攻击者就能通过其QQ登录Victim的账户，实现用户劫持！

当然了，为了防止这种攻击，腾讯在返回的授权登录链接中增加了一个state参数用于防止类似的CSRF攻击。用户在请求使用QQ登录的时候会生成一个与session绑定的不可预测字符串state，并把这个参数发送给授权服务器，授权服务器验证完用户身份后会返回如下形式的链接：

http://xx.com/Index.php?Code=XXX&state=XXX

在接收到此链接时，xx.com会先检测当前session中的state参数和收到的链接中的state参数是否匹配，如果匹配才会进行下一步的操作。这样的话，即使攻击者把自己的授权链接发给Victim，也会因为state验证失败而无法绑定攻击者的账户（攻击者无法预测Victim的session中的state参数，因此就无法构造恶意链接来进行CSRF攻击）。

0x02 漏洞分析

在详细了解了攻击原理之后，我们来剖析一下QQ登录的官方SDK文件。

这里我们废话不多说，直接定位到核心类文件Oauth.class.php

在这个类文件中qq_login方法用于第一步生成state参数并跳转到QQ授权登录接口，可以看到state参数在第36行生成并紧接着调用recorder类的write方法写入到session中，跟进recorder类继续分析：

定位到32行，write方法是把传入的值写到self::$data中，在看到26行，构造函数中self::$data被初始化为一个空数组。

在最后的析构函数中self::$data被存入到session中，这里看上去没有什么大问题，继续向下分析，我们找到Oauth.class.php中的qq_callback方法：

qq_callback方法用于验证state参数并利用传入的code参数获得access_token，我们主要关注state参数的验证阶段，在第57行我们看到有一个if条件判断当前session中的state参数（$state）和链接中传入的state参数（$_GET[‘state’]）是否匹配，如果不匹配则直接调用showError方法die掉：