Extensor de Obtención y Reemplazo de Tokens de Autenticación

Introducción

En el mundo de las pruebas de seguridad web, la automatización es clave y Burp Suite es la opción preferida. Sin embargo, para aprovechar realmente el poder de Burp para el escaneo automatizado, necesitas los complementos adecuados. Ahí es donde entra ATOR. Este complemento de código abierto para Burp está diseñado para revolucionar tus capacidades de escaneo simplificando la gestión y el reemplazo de tokens para varios escenarios, incluyendo:

1. Gestión de Tokens de Acceso y Actualización
2. Reemplazo de Tokens en Cuerpos de Solicitud XML y JSON
3. Reemplazo de Tokens en URL y Cookies

Tradicionalmente, lograr estas tareas requería macros complejas, reglas de sesión o extensores personalizados, especialmente al tratar con datos JSON o XML. Nuestro complemento simplifica este proceso, ofreciendo varias ventajas clave:

Ventajas clave:

1. Reemplazo de Tokens en Memoria: Elimina solicitudes de inicio de sesión duplicadas reemplazando tokens sin problemas en memoria, mejorando la eficiencia del escaneo.
2. Interfaz de Usuario Amigable: Extrae fácilmente datos de mensajes de respuesta y reemplázalos en solicitudes usando expresiones regulares. Esta flexibilidad es invaluable para manejar diversos escenarios que involucran JSON, XML, datos de formularios y más.
3. Mayor Velocidad de Escaneo: Logra velocidades de escaneo más rápidas evitando solicitudes de inicio de sesión innecesarias. El complemento emplea un mecanismo de "Solicitud de Disparo" para identificar condiciones de error, como un código de respuesta 401 con un cuerpo que contiene "Solicitud no autorizada".

La inspiración para el complemento proviene del complemento ExtendedMacro: https://github.com/FrUh/ExtendedMacro

Primeros Pasos

Para usar este complemento, sigue estos pasos:

1. Instala Java y Maven.
2. Clona este repositorio.
3. Ejecuta el comando "mvn clean install" en el directorio del repositorio clonado donde se encuentra pom.xml.
4. Recupera el archivo JAR generado con dependencias de la carpeta "target".

Prerrequisitos

Antes de usar el complemento, asegúrate de lo siguiente:

1. Asegúrate de que el entorno Java esté configurado en tu máquina.
2. Configura Burp Suite para escuchar el tráfico del Proxy.
3. Configura el entorno Java desde la pestaña Extender de BURP.

Para usar con la aplicación de prueba (Instala esta aplicación de prueba (Tiredful application) desde https://github.com/payatu/Tiredful-API)

Pasos

1. Identifica la solicitud que produce el error.
2. Identifica el Patrón de Error (detalles en la sección a continuación)
3. Obtén los datos de la respuesta usando regex (consulta valores de regex de ejemplo)
4. Reemplaza estos datos en la solicitud (usa la misma regex del paso 3 junto con el nombre de la variable)

Patrón de Error:

Hay 4 formas diferentes de especificar la condición de error en total.

1. Código de Estado: 401, 400
2. Error en el Cuerpo: proporciona cualquier texto del contenido del cuerpo (Ejemplo: Access token expired)
3. Error en la Cabecera: proporciona cualquier texto de la cabecera (Ejemplo: Unauthorized)
4. Forma Libre: usa esto para dar múltiples condiciones (st=400 && bd=Access token expired || hd=Unauthorized)

Desglose en pruebas de extremo a extremo

1. Encontrar la solicitud no válida:
   • http://HOST:PORT/api/v1/exams/MQ==/ con token Bearer no válido.
2. Identificar el Patrón de Error:
   • La solicitud anterior te dará un 401, aquí la condición de error es Código de Estado = 401
3. Hacer coincidir regex con los datos de la solicitud
   • Authorization: Bearer \w* - esta regex coincidirá con el token de acceso proporcionado.
4. Reemplazo - Cómo reemplazar
   • Reemplaza el texto coincidente (regex del paso 3) con el valor extraído (la configuración de extracción se discute a continuación, por ejemplo, el nombre de la variable es "token")
   • Authorization: Bearer token - el token extraído será reemplazado.

Uso con la aplicación de prueba

Idea: Graba la solicitud de la aplicación Tiredful en BURP, configura el extensor ATOR, verifica si el token es reemplazado por ATOR.

1. Abre la aplicación de prueba en el navegador que configuraste con BURP
   • Genera un token desde http://HOST:PORT/handle-user-token/
   • Envía la solicitud http://HOST:PORT/api/v1/exams/MQ==/ pasando el token Bearer de Autorización (obtenido del paso anterior)
2. Agrega el archivo JAR de ATOR como un extensor en BURP
3. Haz clic derecho en la solicitud (/handle-user-token) en el historial del Proxy y envíala a Authentication Token Obtain and Replace Extender
4. Agrega una nueva entrada en la configuración de Extracción seleccionando el valor de "access_token" y asígnale el nombre "token" (puede ser cualquier nombre) Nota: Para esta aplicación, una solicitud es suficiente para generar un token. El token también puede generarse después de múltiples solicitudes.
5. CONDICIÓN DE DISPARO:
   • Los pasos de la macro se ejecutarán si se cumple la condición.
   • Después de la ejecución de los pasos, reemplaza la solicitud entrante tomando valores de "Patrón" y "Área de Reemplazo" si se especifica.
   • Para nuestra prueba,
     • La condición de error es 401 (Código de Estado)
     • El patrón es "Authorization: Bearer \w*" (Especifica el patrón regex de cómo quieres reemplazar con los valores de extracción)
     • El Área de Reemplazo es "Authentication: Bearer <NOMBRE que diste en el PASO 4>"
   • Haz clic en el botón "Add".
6. Para este ejemplo, un reemplazo es suficiente para hacer que la solicitud entrante sea válida, pero puedes agregar múltiples reemplazos para una sola condición.
7. Envía la solicitud no válida desde Repeater y verifica los flujos de req/res en FLOW/Logger++
   • El token Bearer no válido (http://HOST:PORT/api/v1/exams/MQ==/) desde Repeater hace que la respuesta sea 401.
   • El extensor coincidirá con esta condición y comenzará a ejecutar los pasos grabados, extrayendo el "access_token"
   • Reemplaza el token de acceso (del paso ii) en la respuesta real (desde Repeater) y hace que esta solicitud no válida sea válida.
   • En la consola de Repeater, verás una respuesta 200 OK.
8. Repite el Paso 7 nuevamente y verifica el flujo
   • Esta vez el extensor no invocará los pasos porque el token existente es válido y, por lo tanto, lo usa.

Construido Con

• SWING - Usado para agregar panel

Contribuciones

Por favor, lee CONTRIBUTING.md para detalles sobre nuestro código de conducta y el proceso para enviar solicitudes de extracción.

Versionado

v2.3.0

Autores

• **https://github.com/FrUh/ExtendedMacro ** - Trabajo inicial

Synopsys

Licencia

Este software es liberado por Synopsys bajo la licencia MIT.

Agradecimientos

• https://github.com/FrUh/ExtendedMacro ExtendedMacro fue un gran inicio - hemos modificado la interfaz de usuario para manejar escenarios más complejos. También hemos corregido errores y mejorado la velocidad reemplazando tokens en memoria.