STEWS: Security Testing and Enumeration of WebSockets

STEWS هي مجموعة أدوات لاختبار أمان WebSockets

تم تقديم هذا البحث لأول مرة في OWASP Global AppSec US 2021

المميزات

توفر STEWS القدرة على:

• الاكتشاف: البحث عن نقاط نهاية WebSockets على الويب عن طريق اختبار قائمة من النطاقات
• البصمة: تحديد خادم WebSockets الذي يعمل على نقطة النهاية
• كشف الثغرات: اختبار ما إذا كان خادم WebSockets يعاني من ثغرة معروفة في WebSockets

توفر الورقة البيضاء المضمنة في هذا المستودع مزيدًا من التفاصيل حول البحث الذي تم إجراؤه. مجموعة الشرائح المضمنة تم تقديمها في OWASP AppSec US 2021.

المستودعات التكميلية التي تم إنشاؤها كجزء من هذا البحث تشمل:

• مستودع Awesome WebSocket Security repository، الذي يجمع معلومات أمان WebSockets للباحثين المستقبليين
• مستودع WebSockets-Playground repository، وهو سكربت لبدء تشغيل عدة خوادم WebSocket محلية بالتوازي بسهولة

التثبيت والاستخدام

كل جزء من STEWS (الاكتشاف، البصمة، كشف الثغرات) له تعليمات منفصلة. يرجى الاطلاع على ملف README في كل مجلد معني.

اكتشاف WebSocket

انظر ملف README الخاص بالاكتشاف

بصمة WebSocket

انظر ملف README الخاص بالبصمة

كشف ثغرات WebSocket

انظر ملف README الخاص بكشف الثغرات

لماذا هذه الأداة؟

تم تجاهل خوادم WebSocket إلى حد كبير في دوائر الأمن. ويرجع ذلك جزئيًا إلى ثلاث عقبات لم يتم معالجتها بوضوح لنقاط نهاية WebSocket:

1. الاكتشاف
2. التعداد/البصمة
3. كشف الثغرات

تحاول STEWS معالجة هذه النقاط الثلاث. كانت الأداة المخصصة ضرورية بسبب النقص الواضح في دعم اختبار WebSocket المُعد يدويًا في أدوات اختبار الأمان الحالية:

1. هناك نقص عام في أدوات اختبار أمان WebSocket المدعومة والقابلة للبرمجة (على سبيل المثال، أداة wssip tool غير المدعومة من NCC، و nuclei's lack of WebSocket support، و nmap's lack of WebSocket support)
2. يفتقر Burp Suite إلى دعم ملحقات WebSocket (على سبيل المثال، انظر this PortSwigger forum thread و this one).
3. هناك نقص في الأبحاث الأمنية المتعمقة الخاصة بـ WebSocket (مستودع Awesome WebSocket Security repository يسرد أبحاث أمان WebSocket المنشورة)
4. انتشار WebSockets عبر الويب الحديث (كما يظهر في نتائج أداة اكتشاف STEWS)