面向OAuth2.0授权服务API的账号劫持攻击威胁检测

• 作者: 刘奇旭 刘潮歌 王乙文 邱凯丽 陈浪平 陈艳辉
• 来源期刊: 通信学报
• 学科: 工学
• 关键词: OAuth2.0协议 应用程序编程接口 账号劫持 第三方应用
• 年，卷（期）: 2019,（6）
• 所属期刊栏目: 专题:网络攻防与安全度量
• 页码范围: 40-50
• 页数: 11页
• 分类号: TP309.5
• 字数: 10208字
• 语种: 中文
• DOI: 10.11959/j.issn.1000-436x.2019144

摘要

OAuth2.0授权协议在简化用户登录第三方应用的同时,也存在泄露用户隐私数据的风险,甚至引发用户账号被攻击劫持.通过分析OAuth2.0协议的脆弱点,构建了围绕授权码的账号劫持攻击模型,提出了基于差异流量分析的脆弱性应用程序编程接口(API)识别方法和基于授权认证网络流量监测的账号劫持攻击验证方法,设计并实现了面向OAuth2.0授权服务API的账号劫持攻击威胁检测框架OScan.通过对Alexa排名前10000的网站中真实部署的3853个授权服务API进行大规模测试,发现360个存在脆弱性的API.经过进一步验证,发现了80个网站存在账号劫持攻击威胁.相较类似工具,OScan在覆盖身份提供方(IdP)全面性、检测依赖方(RP)数量和威胁检测完整性等方面均具有明显的优势.