SignSaboteur

SignSaboteur هي إضافة لـ Burp Suite لتعديل وتوقيع والتحقق ومهاجمة الرموز الموقعة. وهي تدعم أنواعاً مختلفة من الرموز: Django TimestampSigner، ItsDangerous Signer، وسيط cookie-session الخاص بـ Express، OAuth2 Proxy، ملفات تعريف الارتباط الموقعة في Tornado، ملفات تعريف الارتباط الموقعة في Ruby Rails، ملفات تعريف الارتباط المشفرة في Ruby Rails، Nimbus JOSE + JWT وسلسلة موقعة غير معروفة.

يمكنك العثور على مزيد من المعلومات حول هذه الإضافة على صفحة مدونة أبحاث Portswigger - تقديم SignSaboteur: تزوير رموز الويب الموقعة بسهولة.

توفر الإضافة كشفاً تلقائياً وتحريراً مضمّناً للرموز داخل طلبات/استجابات HTTP ورسائل WebSocket، وتوقيع الرموز وأتمتة هجمات القوة العمياء ضد تطبيقات الرموز الموقعة.

استُلهمت الفكرة من إضافة JWT Token الخاصة بـ Fraser Winterborn و Dolph Flynn. يمكن العثور على الكود المصدري الأصلي هنا وهنا.

تعليمات البناء

• تأكد من تثبيت Java JDK 17 أو أحدث
• من جذر المشروع، قم بتشغيل الأمر ./gradlew jar
• يجب أن يضع هذا ملف JAR sign-saboteur-1.0.6.jar داخل الدليل build/libs
• يمكن تحميله في Burp عن طريق الانتقال إلى علامة التبويب Extensions، التبويب الفرعي Installed، النقر على Add وتحميل ملف JAR
• يستخدم هذا BApp واجهة Montoya API الأحدث، لذا من الأفضل استخدام أحدث إصدار من Burp (جرّب قناة المتبنين الأوائل إذا كانت هناك مشاكل مع أحدث إصدار مستقر)

عرض قائمة الكلمات

يتيح عرض قائمة الكلمات استيراد ملفات قوائم الأسرار والأملاح. تحتوي الإضافة على قوائم معجمية مبنية مسبقاً. معظم الأسرار مأخوذة من jwt-secrets. كخيار، يمكن استخدام Flask-Unsign-Wordlist. تدعم الإضافة تنسيق سلسلة JSON للأحرف الخاصة، لاستخدام ذلك ضع السلسلة السرية بين علامتي اقتباس ".

عرض المحرر

يدعم عرض المحرر عدداً من الرموز الموقعة: Django و Dangerous و Flask و Express و OAuth2 و Tornado. يسمح بتعديل الرموز الموقعة في عرض طلب/استجابة HTTP في Burp Suite ضمن أدوات Proxy و History و Repeater.

يمكن استخدام علامة التبويب Dangerous لكل من رموز Flask و Django، حيث يتم الاختيار بناءً على ما إذا تم اكتشاف رمز Dangerous أو Django.

يمكن استخدام علامة التبويب Unknown لاستخدام القوة العمياء على السلاسل الموقعة غير المعروفة. يعمل وضع التخمين فقط مع هجمات القوة العمياء المتوازنة و العميقة. وهو يدعم تقنيات اشتقاق رسالة مختلفة، بما في ذلك:

• سيتم استخدام رسالة None كما هي
• سيتم إزالة بايت الفاصل CONCAT من الرسالة وسيتم استخدام تلك القيمة الجديدة لحساب التوقيع
• سيتم إضافة بايت الفاصل Tornado إلى نهاية سلسلة الرسالة

الحقول القابلة للتعديل

يتم توفير محرر نصوص JSON لتحرير كل مكون يحتوي على محتوى JSON:

• حمولة Dangerous
• حمولة Django (باستثناء حمولة pickle المتسلسلة)
• حمولة Express
• حمولة JWT

يتم توفير محرر للطوابع الزمنية لتحرير كل مكون يحتوي عليه:

• طابع Dangerous الزمني
• طابع Django الزمني
• طابع OAuth2 Proxy الزمني
• طابع Tornado الزمني

يتم توفير محرر سداسي عشري لجميع الرموز الموقعة، باستثناء تواقيع Express. ملاحظة: علامة التبويب Express لا تدعم التحديث التلقائي للتوقيع بعد. يُرجى نسخه يدوياً إلى ملف تعريف الارتباط الخاص بالتوقيع المقابل.

التوقيع

يقدم التوقيع حوار توقيع يمكن استخدامه لتحديث التوقيع عن طريق توقيع الرمز باستخدام مفتاح من عرض المفاتيح الذي لديه القدرة على التوقيع

القوة العمياء

ستحاول القوة العمياء العثور على المفتاح السري الذي تم استخدامه لإنشاء التوقيع. إذا تم العثور على مفتاح سري، فسيتم عرض حوار.

يقوم خيار القوة العمياء بتنفيذ ثلاثة أنواع من الهجمات على تواقيع الرموز الموقعة:

• المفاتيح المعروفة ستستخدم فقط المفاتيح السرية التي تم العثور عليها سابقاً
• سريع سيستخدم خوارزمية التجزئة الافتراضية واشتقاق المفتاح
• متوازن سيستخدم جميع تقنيات اشتقاق المفتاح المعروفة، باستثناء PBKDF2WithHmacSHA1 و PBKDF2WithHmacSHA256
• عميق سيستخدم جميع تقنيات اشتقاق المفتاح، بما في ذلك الأنواع المختلفة التي يدعمها إطار عمل Ruby Rails

الهجوم

يقوم خيار الهجوم بتنفيذ ثمانية هجمات تفويض معروفة ضد الرموز الموقعة:

• مطالبات المستخدم
• مطالبات المستخدم المغلفة
• مطالبات اسم المستخدم وكلمة المرور
• مطالبات Flask
• مطالبات Express
• مطالبات مستخدم الحساب
• مطالبات المصادقة
• access_token الخاص بالمستخدم

هذه موصوفة بمزيد من التفاصيل أدناه.

الهجمات

يمكن استخدام كل هذه الهجمات معاً. يرجى مراعاة أن الإضافة لا تدعم تعديل حمولة الرمز في وضع الهجوم، لذلك سيتم استبدال حمولتك بأخرى جديدة.

مطالبات المستخدم

عادةً ما يستخدم تنسيق رمز OpenID connect ID من قبل مكتبات التوقيع لتخزين معلومات حول المستخدم المصادق عليه. ستقوم الإضافة بإنشاء عنصر نائب لرمز مستخدم admin.

مطالبات المستخدم المغلفة

نفس هجوم مطالبات المستخدم ولكن سيتم وضعها في سمة JSON user.

مطالبات اسم المستخدم وكلمة المرور

طريقة شائعة أخرى لتخزين تفاصيل المستخدم هي سمة JSON username و password. ستقوم الإضافة بإنشاء عنصر نائب لمستخدم admin.

مطالبات Flask

إذا تم تخزين معلومات جلسة المستخدم المصادق عليها في Flask على جانب العميل، فيجب أن تتضمن سمات JSON id و _id و user_id أو _user_id. ستقوم الإضافة بإنشاء جلسة للمستخدم الأول، وعادة ما يكون admin.

مطالبات Express

يستخدم إطار عمل Express سمة JSON passport لتخزين تفاصيل المستخدم. ستقوم الإضافة بإنشاء عنصر نائب لمستخدم admin.

مطالبات مستخدم الحساب

قد تستخدم بعض الأطر غلاف account لتخزين معلومات حول المستخدم المصادق عليه. للاستغلال، قد يكون من اللازم استخدام مطالبات المصادقة أيضاً.

مطالبات المصادقة

تنفذ مطالبات المصادقة 12 علامة تفويض معروفة.

access_token الخاص بالمستخدم

يقوم خيار User access_token بإنشاء رمز JWT OpenID connect ID موقع بنفس المفتاح ونفس خوارزمية التجزئة دون إجراء أي اشتقاق مفتاح.