面向网安专业的OAuth漏洞与越权.pptxVIP

20XX/XX/XX面向网安专业的OAuth漏洞与越权汇报人:XXX

CONTENTS目录01OAuth与越权基础概述02OAuth漏洞的核心成因03OAuth越权漏洞典型案例04OAuth漏洞的通用防御方案05OAuth越权漏洞实操演示

OAuth与越权基础概述01

OAuth协议核心逻辑授权码获取流程用户跳转至授权服务器，完成身份验证后，获取唯一授权码，此为OAuth核心交互第一步。令牌分发机制授权服务器验证授权码有效性后，向客户端分发访问令牌，用于后续资源访问。资源访问验证客户端携带访问令牌请求资源服务器，服务器校验令牌后返回对应受保护资源。

越权漏洞的定义核心越权漏洞指攻击者绕过权限控制机制，非法访问或操作超出自身权限范围的系统资源。越权漏洞的分类维度常见分类有水平越权与垂直越权，前者是同级别用户互访，后者是低权限用户访问高权限资源。越权漏洞的典型案例某电商平台曾出现水平越权漏洞，用户可通过修改ID查看其他用户的个人订单信息。越权漏洞基本概念

OAuth漏洞的核心成因02

授权范围校验缺失客户端超范围申请权限未拦截部分第三方APP申请OAuth授权时，超范围索要通讯录权限，因校验缺失成功获取，侵犯用户隐私。授权令牌权限范围未校验如某社交平台OAuth令牌被恶意调用，因未校验权限范围，导致用户私密相册被非法访问。刷新令牌权限无二次校验部分应用刷新OAuth令牌时，