SAML Raider – SAML2-Burp-Erweiterung

Beschreibung

SAML Raider ist eine Burp-Suite-Erweiterung zum Testen von SAML-Infrastrukturen. Sie enthält zwei Kernfunktionen: das Manipulieren von SAML-Nachrichten und die Verwaltung von X.509-Zertifikaten.

Diese Software wurde ursprünglich von Roland Bischofberger und Emanuel Duss (@emanuelduss) im Rahmen einer Bachelorarbeit an der Hochschule für Technik Rapperswil (HSR) erstellt.

Funktionen

Die Erweiterung ist in zwei Teile gegliedert: einen SAML-Nachrichten-Editor und ein Zertifikatsverwaltungstool.

Nachrichten-Editor

Funktionen des SAML-Raider-Nachrichten-Editors:

• SAML-Nachrichten und -Assertions signieren (Signatur-Spoofing-Angriff)
• Signaturen entfernen (Signatur-Ausschluss-Angriff)
• SAML-Nachrichten bearbeiten (SAMLRequest, SAMLResponse und benutzerdefinierte Parameternamen)
• Acht gängige XSW-Angriffe ausführen
• XXE- und XSLT-Angriffs-Payloads einfügen
• Unterstützte Profile: SAML-Webbrowser-Single-Sign-on-Profil, Web-Services-Security-SAML-Token-Profil
• Unterstützte Bindings: POST-Binding, Redirect-Binding, SOAP-Binding, URI-Binding

SAML-Angriffe:

SAML-Nachrichteninfo:

Zertifikatsverwaltung

Funktionen der SAML-Raider-Zertifikatsverwaltung:

• X.509-Zertifikate importieren (PEM- und DER-Format)
• X.509-Zertifikatsketten importieren
• X.509-Zertifikate exportieren (PEM-Format)
• Importierte X.509-Zertifikate löschen
• Informationen zu X.509-Zertifikaten anzeigen
• Private Schlüssel importieren (PKCD#8 im DER-Format und traditionelles RSA im PEM-Format)
• Private Schlüssel exportieren (traditionelles RSA-Schlüssel-PEM-Format)
• X.509-Zertifikate klonen
• X.509-Zertifikatsketten klonen
• Neue X.509-Zertifikate erstellen
• Vorhandene X.509-Zertifikate bearbeiten und selbst signieren

Zertifikatsverwaltung:

Demo

SAML-Signatur-Spoofing-Demo:

FusionAuth-XXE-Demo (CVE-2021-27736):

Installation

Installation über den BApp Store

Der empfohlene und einfachste Weg, SAML Raider zu installieren, ist die Nutzung des BApp Stores. Öffnen Sie Burp und klicken Sie im Tab Extensions auf den Tab BApp Store. Wählen Sie SAML Raider aus und klicken Sie auf die Schaltfläche Install, um unsere Erweiterung zu installieren.

Vergessen Sie nicht, unsere Erweiterung mit so vielen Sternen zu bewerten, wie Sie möchten 😄.

Manuelle Installation

Laden Sie zunächst die neueste Version von SAML Raider herunter: saml-raider-2.5.2.jar. Starten Sie dann Burp Suite und klicken Sie im Tab Extensions auf Add. Wählen Sie die SAML-Raider-JAR-Datei aus, um sie zu installieren, und schon können Sie loslegen.

Verwendungshinweise

Um SAML-Umgebungen bequemer zu testen, können Sie eine Abfangregel in den Proxy-Einstellungen hinzufügen. Fügen Sie eine neue Regel hinzu, die prüft, ob ein Parametername SAMLResponse in der Anfrage enthalten ist. Wir hoffen, dass die Verwendung unserer Erweiterung größtenteils selbsterklärend ist 😄. Wenn Sie Fragen haben, zögern Sie nicht, uns zu kontaktieren!

Wenn Sie einen benutzerdefinierten Parameternamen für eine SAML-Nachricht haben, kann dieser im SAML-Raider-Zertifikate-Tab konfiguriert werden.

Wenn Sie nicht möchten, dass SAML Raider Ihre SAML-Nachricht vor dem Senden an den Server parst (z. B. bei XXE-Angriffen), verwenden Sie den Rohmodus.

Entwicklung

Siehe hacking.

Feedback, Fehler und Feature-Anfragen

Feedback ist willkommen! Bitte kontaktieren Sie uns oder erstellen Sie ein neues Issue auf GitHub.

Lizenz

Siehe die Datei LICENSE (MIT-Lizenz) für Lizenzrechte und -beschränkungen.

Referenzen

SAML Raider ist im Internet :).

Bachelorarbeit

• Unsere Bachelorarbeit, in der SAML Raider entstanden ist: eprints_BA_SAML2_Burp_Plugin_SAML_Raider_eduss_rbischof.pdf.

Allgemein

• PortSwigger Burp BApp Store: https://portswigger.net/bappstore/c61cfa893bb14db4b01775554f7b802e
• SAML Raider in unserem Firmenblog @CompassSecurity: https://blog.compass-security.com/tag/saml-raider/
• Schwachstellen in SAML-2.0-Implementierungen: https://www.syssec.at/en/veranstaltungen/archiv/dachsecurity2016/papers/DACH_Security_2016_Paper_12A1.pdf

SAML-Hacking-Tutorials

• Tolle Blogbeiträge zum Thema SAML-Security-Testing von @epi052:
  • Grundlagen der SAML-Testmethodik: https://epi052.gitlab.io/notes-to-self/blog/2019-03-07-how-to-test-saml-a-methodology/
  • SAML-Testmethodik mit SAML Raider: https://epi052.gitlab.io/notes-to-self/blog/2019-03-13-how-to-test-saml-a-methodology-part-two/
• Hacken von SAML Single Sign-on mit Burp Suite: https://null-byte.wonderhowto.com/how-to/hack-saml-single-sign-with-burp-suite-0184405/
• Angriffe auf SSO: Häufige SAML-Schwachstellen und Möglichkeiten, sie zu finden: https://blog.netspi.com/attacking-sso-common-saml-vulnerabilities-ways-find/
• So verwenden Sie Burp Suite, um SAML-Signature-Wrapping-Angriffe zu verifizieren: https://blog.ritvn.com/testing/2018/02/16/burp-suite-saml-signature-wrapping-attack.html
• Schwachstellen im Zusammenhang mit SAML: https://varutra.com/blog/?p=1945b
• SAML besitzen: https://www.anitian.com/owning-saml/

Mit SAML Raider entdeckte Schwachstellen

• CVE-2015-5372: nevisAuth Authentication Bypass (Signatur-Spoofing)
  • Blogbeitrag: https://blog.compass-security.com/2015/09/saml-sp-authentication-bypass-vulnerability-in-nevisauth/
  • Advisory: https://www.compass-security.com/fileadmin/Datein/Research/Advisories/CVE-2015-5372_AdNovum_nevisAuth_Authentication_Bypass.txt
• Slack-SAML-Authentifizierungs-Bypass:
  • Blogbeitrag: https://blog.intothesymmetry.com/2017/10/slack-saml-authentication-bypass.html
• CVE-2020-12676: FusionAuth-Signatur-Ausschluss-Angriff
  • Advisory: https://compass-security.com/fileadmin/Research/Advisories/2020-06_CSNC-2020-002_FusionAuth_Signature_Exclusion_Attack.txt
• CVE-2021-27736: FusionAuth-SAML-Bibliothek
  • Advisory: https://www.compass-security.com/fileadmin/Research/Advisories/2021-03_CSNC-2021-004_FusionAuth_SAML_Library_XML_External_Entity.txt

Sonstiges

• Das SANS-Burp-Suite-Cheat-Sheet empfiehlt SAML Raider: https://www.sans.org/posters/burp-suite-cheat-sheet/

Autoren

• Roland Bischofberger (GitHub: RouLee)
• Emanuel Duss (GitHub: emanuelduss)
• Tobias Hort-Giess (GitHub: t-hg)