使用 SSO 登录的帐户接管

公司通常会提供各种登录方法供用户验证他们的帐户。

您可能在许多网站上遇到过“使用 Google 登录”、“Facebook”或“Apple”等选项。

即使您使用电子邮件/密码创建账户，您仍然可以使用第三方 SSO（单点登录）选项登录该账户。

隐藏的 SSO 选项

许多人没有意识到的是，一些网站还提供自定义 SSO 登录选项，例如 Okta 或 Auth0。

这些隐藏的 SSO 选项通常可以启用，允许您通过这些提供商登录您的帐户。

例：

如果您访问 Grammarly，您通常会看到 Google、Apple 和 Facebook 作为 SSO 登录选项。

但 Grammarly 还提供自定义 SSO 选项。

使用自定义 SSO 创建用户

如果您想在 Facebook、Google 或 Apple 上使用电子邮件创建帐户，则需要验证该电子邮件地址是否属于您。victim@gmail.com

但是，如果是 okta、auth0 等 SSO 提供商，则无需验证任何内容。

没有电子邮件验证步骤。

您可以使用您选择的任何电子邮件地址创建用户账户。

预期的 SSO 登录流程

在 target.com 中，存在一个名为 OrganizationA 的组织。OrganizationA 的成员 和[email protected][email protected][email protected]

组织 A 已使用 Okta 启用自定义 SSO 登录。

管理员设置一个 Okta 实例，并使用 email 创建用户，并将其与组织 A 链接。[email protected][email protected]

现在，用户可以使用 Okta SSO 登录到 target.com。[email protected][email protected]

配置错误

假设 是 target.com 的成员。victim@gmail.comVictimOrganization

攻击者在 target.com 上创建并邀请为成员。AttackerOrganization[email protected]

然后，攻击者设置 Okta 并将其与他们的AttackerOrganization

在其 Okta 实例中，攻击者使用电子邮件创建一个用户帐户[email protected]

使用这个链接到的假（攻击者）Okta 帐户，target.com 攻击者以[email protected][email protected]

由于也是 的成员，因此攻击者能够在 target.com 中切换组织，从而获得对敏感数据和功能的未授权访问。[email protected]VictimOrganization

报告示例

原文始发于微信公众号（安全狗的自我修养）：使用 SSO 登录的帐户接管