PoC CVE-2023-0264 — الواجهة الأمامية (اختطاف جلسة OIDC)

واجهة أمامية ثابتة تنفّذ تدفق OIDC (authorization code) ضد Keycloak وتكشف خطاف اختطاف session_id الخاص بـ PoC. تُقدَّم عبر nginx على المنفذ 5174 لاستخدام الفريق.

تشغيله (على الـ VPS)

cd vps/pocCVE0264
docker compose up -d --build

يبقى متاحًا على http://maquina:5174. افتح جدار الحماية لدى المزوّد للمنفذ 5174/TCP (كما فعلت مع 8443).

يتم حقن عنوان Keycloak عبر متغيرات البيئة (ليس مكتوبًا بشكل ثابت في HTML): عدّل KEYCLOAK_URL/REALM/CLIENT_ID في docker-compose.yml وأعد التشغيل — دون إعادة البناء.

⚠️ متطلبات في Keycloak (بدون هذا يفشل login/token)

في realm poc، العميل client1 (Admin Console → Clients → client1):

1. Valid redirect URIs → أضِف http://maquina:5174/* (وإلا يرفض Keycloak إعادة التوجيه برسالة "Invalid parameter: redirect_uri").
2. Web origins → أضِف http://maquina:5174 (وإلا يفشل fetch إلى نقطة النهاية /token بسبب CORS ويبقى login ناقصًا).

⚠️ شهادة موقّعة ذاتيًا (self-signed)

يستخدم Keycloak شهادة موقّعة ذاتيًا على 8443. يجب على كل عضو في الفريق، في أول مرة، فتح https://maquina:8443 في متصفحه وقبول الشهادة مرة واحدة. وإلا تفشل استدعاءات الواجهة الأمامية إلى Keycloak بصمت.

كيفية استخدام الـ PoC

1. تفتح http://maquina:5174 → يُعيد التوجيه إلى تسجيل دخول Keycloak.
2. عند العودة مع code، تظهر prompt تعرض session_id الحالي وتتيح استبداله بجلسة أخرى (جوهر PoC CVE-2023-0264).
3. إذا اكتمل التبادل، يبقى الـ token مرتبطًا بالجلسة المحقونة. يكتشف وكيل الأمان (مجلد agente/) هذا النمط وينبّه عنه.

ملاحظات

• يُقدَّم عبر HTTP (5174)؛ وKeycloak عبر HTTPS (8443): التدفق يعمل (الطلب http→https مسموح). لتفعيل HTTPS للواجهة الأمامية يلزم شهادة/وكيل عكسي (cert/reverse-proxy).
• إنها أداة PoC لاختبارات مصرّح بها على خادم Keycloak الخاص بك. إذا عرضتها للجمهور، ففكّر في تقييد الوصول (IP، مصادقة أساسية على الـ proxy) حتى لا يبقى عميل اختطاف مفتوحًا لأي شخص.
• تغيير مثيل Keycloak = تغيير KEYCLOAK_URL في الـ compose + up -d.