说 OAuth2.0 漏洞/这个协议不安全的人,把头伸过来下,砖头准备好了。

Black Hat 的有关 Paper:

《OAuth User Profile Attack – How to Sign into One Billion Mobile App Accounts Effortlessly》

本质问题在于一些 App 在使用 OAuth2.0 协议时,(估计为了简单)使用的是 Implicit Flow 模式,然而并没严格按照协议的要求去实现,导致可能出现的劫持攻击。这并不是说 OAuth2.0 本身有漏洞或这个协议本身不安全,就好像两年多前的心脏出血漏洞,问题不在于 SSL 这个协议本身,而在于其某种实现方式(OpenSSL)有缺陷。一些媒体文的专业性一直是被诟病的,搞安全的人不要轻信媒体文。

结论与建议看 Paper 的倒数3、2页。

补充说明:

Continue reading

最近在玩一加,按照 Kali NetHunter 的官方说明打造一部名副其实的黑客手机,已经进入实战测试,当然有的时候玩这个不一定手机合适,比如本地跑字典时,某些场景下有个高性能服务器当然最好:)

感兴趣的同学可以围观:

http://zhuanlan.zhihu.com/evilcos/19961466

这个专栏链接将持续更新,如果顺利的话,每周末会写一篇,按照我「偷懒」的风格。

目前已经有三篇了。

Think, then Do:)

另外,博客换了个服务器,目前看来还不错。

由于某些原因,昨天一天时间就在虚拟机(单独准备一个,各组环境+工具,环境的准备还是比较耗时的)里按照看雪上的一些经典教程实战了一遍,实战出真知,速度快,对我来说基本是完全新的知识,不过掌握还是很快的,很多原因是因为我的基础还是比较扎实,有种一通百通的感觉。

搞这些的时候,让我想到浏览器扩展的权限问题,尤其是Chrome上的,我那本书《Web前端黑客技术揭秘》第7章有分享一个案例,现在的Chrome扩展很多是滥用权限,可以作为后门存在,android上的应用也是这样的问题。

实际上搞安全,真是一通百通的事,前提是:你吃下了某一个体系,才可能有这样的感觉。

android已经是主流,没理由不去好好了解,趁现在android的安全体系还很混乱之际,各种流氓应用、病毒、安全工具都在疯狂爆发,应该好好玩玩,总有一天,android会走上“安全”之路的。

最后,基础很关键,不要浮夸。:)