Facebook Login 㧠Covert Redirect を防æ¢ã™ã‚‹ - OAuth.jpOAuth 2.0 Implicit Flow ã§ã¯ Covert Redirect 経由㧠access token ãŒæ¼ã‚Œã‚‹ä»¶ã«ã¤ã„ã¦ã¯æ—¢ã«ç´¹ä»‹ã—ã¾ã—ãŸãŒã€ã“ã“ã§ã¯ã¿ãªã•ã‚“大好ã Facebook Login 㧠OAuth Client Developer ãŒã§ãる対ç–ã«ã¤ã„ã¦ç´¹ä»‹ã™ã‚‹ã“ã¨ã«ã—ã¾ã™ã€‚ 攻撃方法 攻撃対象ã¨ãªã‚‹ OAuth Client ã® FB client_id ã‚’å–å¾— client_id 㯠FB Login ボタンã•ãˆã‚¯ãƒªãƒƒã‚¯ã™ã‚Œã°ã‚¢ãƒ‰ãƒ¬ã‚¹ãƒãƒ¼ã«è¡¨ç¤ºã•ã‚Œã‚‹ã€‚ Authorization Request URL を構築 対象 Client ãŒé€šå¸¸ response_type=code を使ã£ã¦ã‚‹å ´åˆã§ã‚‚ã€å•ç”無用㧠response_type=token ã«ã—ã¦ãã ã•ã„。 https://www.facebook.com/dialog/oauth?client_i
{{#tags}}- {{label}}
{{/tags}}