HTTPSignatures Burp-Suite-Erweiterung

HTTPSignatures ist eine Burp-Suite-Erweiterung, die das Entwurfsdokument der Spezifikation Signing HTTP Messages draft-ietf-httpbis-message-signatures-01 implementiert. Dadurch können Burp-Suite-Benutzer Anwendungen, die HTTP-Signaturen erfordern, nahtlos testen.

Funktionen

• Erstellt automatisch eine neue Signatur und einen neuen Digest in Burp Repeater, Intruder und Scanner, wenn die Erweiterung einen vorhandenen HTTP-Signatur-Header erkennt.
• Unterstützt den Algorithmus rsa-sha256 zum Signieren von Nachrichten (RSASSA-PKCS1-v1_5 [RFC8017] unter Verwendung von SHA-256 [RFC6234]) und SHA-256 für den Digest-Header.
• Die Erweiterung funktioniert in Burp Suite Professional und in der kostenlosen Burp Suite Community Edition.

Verwendung

Installation

Laden Sie die neueste JAR-Version herunter und fügen Sie sie in Burp Suite über den Extender-Tab / Extensions / Add hinzu.

Konfiguration

1. Nach dem Laden der Erweiterung wird Burp ein neuer Menüpunkt HTTP Signatures hinzugefügt.
2. Öffnen Sie den Konfigurations-Tab (klicken Sie auf den Menüpunkt HTTP Signatures).
3. Für die minimale Konfiguration müssen der Header Name, die keyId und der Private key file name and path konfiguriert werden. Eine detaillierte Beschreibung finden Sie weiter unten.
4. Sie können nun Burp Proxy, Repeater, Intruder und Scanner verwenden. Die Erweiterung erstellt für jede Anfrage, die den konfigurierten Header Name enthält, eine neue Signatur.

Verwendung

Nachdem HTTPSignatures korrekt konfiguriert wurde, ersetzt die Burp-Suite-Erweiterung den HTTP-Headerwert, der in der Einstellung Header Name konfiguriert ist (z. B. Signature), für jede HTTP-Anfrage, die über Burp Proxy, Repeater, Intruder und Scanner gesendet wird, durch eine neue Signatur.

Dokumentation

Die Burp-Suite-Erweiterung muss konfiguriert werden, bevor sie verwendet werden kann. Die HTTPSignatures-Konfiguration befindet sich nach dem Laden im Burp-Menü (normalerweise rechts neben dem Hilfemenü). Der Header Name, die keyId und der Private key file name and path müssen korrekt konfiguriert sein, damit die Erweiterung funktioniert. Die übrigen Einstellungen können optional angepasst werden.

• Header Name: (Beispielwerte: Authorization, Signature): Der Name des HTTP-Anfrageheaders, der die Signatur enthält. Der IETF-Entwurf verwendet den Header-Namen Signature. Oracle Cloud (OCI) verwendet den Header-Namen Authorization.

• keyId: Der Parameter keyId ist eine US-ASCII-Zeichenfolge, die von einem Verifizierer verwendet wird, um den Verifikationsschlüssel der Signatur zu identifizieren und/oder zu erhalten. Beispielwerte können wie https://mastodon.example.com/users/myUser (für ActivityPub) oder ocid1.tenancy.oc1.../ocid1.user.oc1.../{fingerprint} für OCI aussehen.

• Private key file name and path: Der vollständige Pfad und Dateiname, der den privaten Schlüssel enthält (z. B. /home/${USER}/private_key.pem).

• Digest Header Name: Der Name des Headers, der den Digest enthält. Dies sollte entweder x-content-sha256 (für OCI) oder digest für die meisten anderen Implementierungen sein.

Profile

Die HTTPSignatures-Konfiguration ermöglicht die Konfiguration mehrerer Profile in Tabs. Erstellen Sie einen neuen Tab, indem Sie auf den Tab ... klicken. Sie können Tabs benennen, indem Sie auf einen Tab doppelklicken. Um einen Tab zu speichern, klicken Sie auf die Schaltfläche „Save". Um einen Tab als aktives Profil zu markieren, klicken Sie auf die Schaltfläche „Use this profile". Der aktive Tab (Profil) ist mit roter Schrift und rotem Rahmen markiert.

Globale Konfigurationseinstellungen

Der globale Konfigurationsabschnitt enthält Einstellungen, die für alle Profile gelten.

• Enable the extension for the following Burp Suite tools: Die Erweiterung kann für die folgenden Burp-Suite-Tools aktiviert oder deaktiviert werden:

  • Proxy (Standard: deaktiviert)
  • Scanner (Standard: aktiviert)
  • Intruder (Standard: aktiviert)
  • Repeater (Standard: aktiviert)

  Der Proxy ist standardmäßig deaktiviert. Die anderen Tools sind standardmäßig aktiviert. Das Proxy-Tool sollte normalerweise nur aktiviert werden, wenn die Intercept-Funktion verwendet wird. Die Erweiterung aktualisiert die Signatur nicht, wenn sie deaktiviert ist.

• Enable Debug Logs: Durch Aktivieren dieses Kontrollkästchens werden Debug-Logs auf der Standardausgabe ausgegeben. Die Ausgabe kann in Burp Suite unter Extender -> Extensions konfiguriert werden; wählen Sie dort die Erweiterung Signing HTTP Messages aus. Im Tab Output können Sie auswählen, wo die Standardausgabe angezeigt werden soll. Der Standardwert ist Shown in UI, wobei die Ausgabe innerhalb von Burp Suite angezeigt wird.

Beispielkonfigurationen

ActivityPub

ActivityPub verwendet HTTP-Signaturen für die Server-zu-Server-Authentifizierung und -Autorisierung.

• Header Name: Signature
• keyId: Die keyId sollte auf den Actor verlinken, damit das Feld publicKey abgerufen werden kann: https://mastodon.online/users/viktor. Sie können curl verwenden, um den Schlüssel abzurufen: curl https://mastodon.online/users/viktor -H 'Accept: application/activity+json'|jq
• Private key file name and path: /home/user/private_key.pem
• Digest Header Name: digest
• Header Names to Sign: GET: date (request-target) host
• Header Names to Sign: HEAD: date (request-target) host
• Header Names to Sign: DELETE: date (request-target) host
• Header Names to Sign: PUT: date (request-target) host content-length content-type digest
• Header Names to Sign: POST: date (request-target) host content-length content-type digest

Oracle Cloud Infrastructure (OCI)

Alle API-Anfragen von Oracle Cloud Infrastructure (OCI) erfordern HTTP-Signaturen. Die Implementierung basiert auf dem Entwurfsstandard mit einigen Änderungen.

• Header Name: Authorization
• keyId: <TENANCY OCID>/<USER OCID>/<KEY FINGERPRINT>, z. B. ocid1.tenancy.oc1..<unique_ID>/ocid1.user.oc1..<unique_ID>/<key_fingerprint>
• Private key file name and path: /home/user/private_key.pem
• Digest Header Name: x-content-sha256
• Header Names to Sign: GET: date (request-target) host
• Header Names to Sign: HEAD: date (request-target) host
• Header Names to Sign: DELETE: date (request-target) host
• Header Names to Sign: PUT: date (request-target) host content-length content-type x-content-sha256
• Header Names to Sign: POST: date (request-target) host content-length content-type x-content-sha256
• Include query parameters in Signature: true

Erstellen mit IntelliJ IDEA

1. Klonen Sie dieses Repository und wählen Sie in IntelliJ IDEA Open or Import für den Ordner HTTPSignatures.
2. Kompilieren Sie das Projekt (Build -> Build Project).
3. Erstellen Sie eine JAR-Datei für den Import in Burp Suite: Gehen Sie zu File -> Project Structure und wählen Sie Project Settings -> Artifacts.
4. Klicken Sie auf das Pluszeichen, um eine neue JAR-Datei „From modules with dependencies" zu erstellen, und klicken Sie auf OK.
5. Aktivieren Sie das Kontrollkästchen „Include in project build", um beim Erstellen des Projekts automatisch eine JAR-Datei zu erzeugen, und klicken Sie auf OK.
6. Erstellen Sie das Projekt erneut (Ctrl+F9 oder ⌘+F9).
7. Die JAR-Datei wird im Projektordner unter out/artifacts/HTTPSignatures_jar/HTTPSignatures.jar erstellt.
8. Laden Sie die JAR-Datei in Burp über den Extender-Tab -> Extensions -> Add.

Erstellen über die Befehlszeile mit Maven

1. Klonen Sie dieses Repository.
2. Kompilieren Sie das Projekt und erstellen Sie mit dem Befehl mvn package assembly:single eine JAR-Datei.
3. Die JAR-Datei wird im Projektordner unter target/HTTPSignatures-1.0-SNAPSHOT-jar-with-dependencies.jar erstellt.
4. Laden Sie die JAR-Datei in Burp über den Extender-Tab -> Extensions -> Add.

Abhängigkeiten

Zum Erstellen des Java-Projekts sind drei Abhängigkeiten erforderlich:

• Apache HttpClient (https://hc.apache.org/httpcomponents-client-ga/)
• HTTP Signatures Java Client von Tomitribe (https://github.com/tomitribe/http-signatures-java)
• Burp Extender API (https://github.com/PortSwigger/burp-extender-api)