Extensión de Burp Suite para XML Signature Wrapping (XSW)

La extensión XSW para Burp Suite automatiza el proceso de sondear endpoints SAML en busca de vulnerabilidades de Signature Wrapping.

Cómo usar

1. Haz clic derecho sobre la solicitud de autenticación en Burp Suite y selecciona "WRAP Attack".
2. Configura los parámetros del diálogo e inicia la prueba.
3. La extensión genera automáticamente múltiples payloads XML manipulados y los envía al endpoint objetivo.
4. Los resultados se registran en la pestaña Extensions Organizer de Burp Suite para su posterior análisis.

Configuración

• Name ID - La identidad de usuario a suplantar (normalmente una dirección de correo electrónico).
• Assertion URL (target) - Opcional. La URL del Assertion Consumer Service (ACS) a atacar, si aún no está incluida en la AuthnRequest.
• Metadata URL (signed XML source) - Opcional. URL del documento de metadatos firmado (normalmente los metadatos firmados del IdP).
• Timeout - Opcional. Retardo entre solicitudes, en milisegundos.
• Always Refresh Metadata - Opcional. Cuando está habilitado, la extensión obtiene un documento de metadatos firmado nuevo para cada caso de prueba.

Ataques

La extensión sondea múltiples clases de vulnerabilidades de Signature Wrapping, incluyendo:

• Attribute Pollution - discrepancias del parser entre libxml2 y REXML.
• Namespace Confusion - bypasses basados en la redefinición de espacios de nombres y la ambigüedad de prefijos.
• Void Canonicalization - explota las limitaciones de c14n de libxml2

Ejemplos

Golden-SAMLResponse.xml

Referencia

Esta extensión está inspirada en la extensión SAMLRaider y basada en las técnicas presentadas en el artículo de investigación: The Fragile Lock: Novel Bypasses for SAML Authentication por Zak Fedotkin

Demo

El siguiente proyecto docker-compose de gitlab-ee:17.8.4 puede usarse para reproducir el problema con fines de demostración únicamente. Reemplaza lo siguiente con tus propios valores de IdP:

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'