إضافة XML Signature Wrapping (XSW) لـ Burp Suite

تقوم إضافة XSW لـ Burp Suite بأتمتة عملية فحص نقاط نهاية SAML بحثًا عن ثغرات Signature Wrapping.

طريقة الاستخدام

1. انقر بزر الفأرة الأيمن على طلب المصادقة (Authentication request) في Burp Suite واختر "WRAP Attack".
2. قم بتهيئة معاملات النافذة الحوارية وابدأ الاختبار.
3. تقوم الإضافة تلقائيًا بإنشاء حمولات XML مُصمَّمة متعددة وإرسالها إلى نقطة النهاية المستهدفة.
4. يتم تسجيل النتائج في تبويب Extensions Organizer في Burp Suite لمزيد من التحليل.

الإعدادات

• Name ID - هوية المستخدم المراد انتحالها (عادةً عنوان بريد إلكتروني).
• Assertion URL (target) - اختياري. عنوان URL الخاص بـ Assertion Consumer Service (ACS) المستهدف، إذا لم يكن مُضمَّنًا بالفعل في AuthnRequest.
• Metadata URL (signed XML source) - اختياري. عنوان URL لمستند البيانات الوصفية الموقَّع (عادةً البيانات الوصفية الموقَّعة الخاصة بـ IdP).
• Timeout - اختياري. التأخير بين الطلبات، بالمللي ثانية.
• Always Refresh Metadata - اختياري. عند التمكين، تقوم الإضافة بجلب مستند بيانات وصفية موقَّع جديد لكل حالة اختبار.

الهجمات

تفحص الإضافة فئات متعددة من ثغرات Signature Wrapping، بما في ذلك:

• Attribute Pollution - تباينات المحلِّل (parser) بين libxml2 و REXML.
• Namespace Confusion - تجاوزات مبنية على إعادة تعريف مساحة الأسماء (namespace) وغموض البادئة (prefix).
• Void Canonicalization - استغلال قيود c14n في libxml2

العينات

Golden-SAMLResponse.xml

المرجع

هذه الإضافة مستوحاة من إضافة SAMLRaider و مبنية على التقنيات المقدَّمة في الورقة البحثية: The Fragile Lock: Novel Bypasses for SAML Authentication بواسطة Zak Fedotkin

العرض التوضيحي

يمكن استخدام مشروع docker-compose التالي gitlab-ee:17.8.4 لإعادة إنتاج المشكلة لأغراض العرض التوضيحي فقط. استبدل ما يلي بقيم IdP الخاصة بك:

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'