oauth2 和 csrf 攻击答案

【问题标题】：oauth2 and csrf attckoauth2 和 csrf 攻击
【发布时间】：2019-04-25 09:05:12
【问题描述】：

我目前正在研究 oauth2 实施，我想知道 CSRF 攻击。

最后，我的帐户将可以访问攻击者帐户，我无法从中获取数据，但反之则不行。我对吗？攻击者这样做有什么好处？

感谢您的回答，

【问题讨论】：

【解决方案1】：

还有其他几个答案（例如：- this 和 this）解释状态的背景以及它如何避免 csrf。

最好的办法是参考规范创建者给出的内容。 RFC6810 - OAuth 2.0 威胁模型和安全注意事项包含许多针对 OAuth 2.0 的威胁和反测量。其中Threat: CSRF Attack against redirect-uri 给出了关于威胁的可靠概述。以下是摘录，

攻击者可以授权一个授权“代码”来授权服务器上自己的受保护资源。他当时中止重定向流回到他的设备上的客户端和技巧受害者执行重定向回客户端。这客户端收到重定向，从授权服务器，并将受害者的客户端会话与使用令牌可访问的资源。

现在客户端拥有属于攻击者的令牌。不，攻击者将无法访问资源服务器中属于客户端的任何内容。但是如果客户端执行存储操作（例如：- 文档创建），这将被发送给恶意方。现在恶意方获得了对那些新创建的资源的访问权限。这突出显示如下，

有效影响取决于所访问资源的类型。为了例如，用户可能会将私人物品上传到攻击者的资源。或者，在第 3 方登录场景中使用 OAuth 时，用户可以将他的客户帐户与攻击者的身份相关联外部身份提供者。这样，攻击者可以通过登录从客户端轻松访问受害者的数据另一台设备，其凭据位于外部身份提供者。

所以基本上威胁与资源服务器上创建的新数据相关。

【讨论】：