XML Signature Wrapping (XSW) Burp Suite Extension

Die XSW Burp Suite Extension automatisiert den Prozess der Untersuchung von SAML-Endpunkten auf Signature-Wrapping-Schwachstellen.

Vorgehensweise

1. Klicken Sie mit der rechten Maustaste auf die Authentifizierungsanfrage in Burp Suite und wählen Sie "WRAP Attack".
2. Konfigurieren Sie die Dialogparameter und starten Sie den Test.
3. Die Extension generiert automatisch mehrere manipulierte XML-Payloads und sendet sie an den Zielendpunkt.
4. Die Ergebnisse werden im Extensions Organizer-Tab von Burp Suite zur weiteren Analyse protokolliert.

Einstellungen

• Name ID - Die Benutzeridentität, die imitiert werden soll (typischerweise eine E-Mail-Adresse).
• Assertion URL (target) - Optional. Die URL des Assertion Consumer Service (ACS), die angesprochen werden soll, falls sie nicht bereits in der AuthnRequest enthalten ist.
• Metadata URL (signed XML source) - Optional. URL zum signierten Metadaten-Dokument (üblicherweise die signierten Metadaten des IdP).
• Timeout - Optional. Verzögerung zwischen den Anfragen in Millisekunden.
• Always Refresh Metadata - Optional. Wenn aktiviert, ruft die Extension für jeden Testfall ein frisches signiertes Metadaten-Dokument ab.

Angriffe

Die Extension untersucht mehrere Klassen von Signature-Wrapping-Schwachstellen, darunter:

• Attribute Pollution - Parser-Diskrepanzen zwischen libxml2 und REXML.
• Namespace Confusion - Umgehungen basierend auf Namespace-Neudefinition und Präfix-Mehrdeutigkeit.
• Void Canonicalization - Ausnutzung von libxml2-c14n-Einschränkungen

Beispiele

Golden-SAMLResponse.xml

Referenz

Diese Extension ist inspiriert von der SAMLRaider-Extension und basiert auf Techniken, die im Forschungspapier vorgestellt wurden: The Fragile Lock: Novel Bypasses for SAML Authentication von Zak Fedotkin

Demo

Das folgende gitlab-ee:17.8.4 docker-compose-Projekt kann verwendet werden, um das Problem zu Demonstrationszwecken zu reproduzieren. Ersetzen Sie Folgendes durch Ihre eigenen IdP-Werte:

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'