Extension Burp Suite pour XML Signature Wrapping (XSW)

L'extension Burp Suite XSW automatise le processus d'analyse des points de terminaison SAML à la recherche de vulnérabilités de Signature Wrapping.

Utilisation

1. Faites un clic droit sur la requête d'authentification dans Burp Suite et choisissez « WRAP Attack ».
2. Configurez les paramètres de la boîte de dialogue et lancez le test.
3. L'extension génère automatiquement plusieurs charges utiles XML élaborées et les envoie au point de terminaison cible.
4. Les résultats sont consignés dans l'onglet Extensions Organizer de Burp Suite pour une analyse plus approfondie.

Paramètres

• Name ID - L'identité utilisateur à usurper (généralement une adresse e-mail).
• Assertion URL (target) - Facultatif. L'URL de l'Assertion Consumer Service (ACS) à cibler, si elle n'est pas déjà incluse dans l'AuthnRequest.
• Metadata URL (signed XML source) - Facultatif. URL du document de métadonnées signé (généralement les métadonnées signées de l'IdP).
• Timeout - Facultatif. Délai entre les requêtes, en millisecondes.
• Always Refresh Metadata - Facultatif. Lorsque cette option est activée, l'extension récupère un nouveau document de métadonnées signé pour chaque cas de test.

Attaques

L'extension sonde plusieurs classes de vulnérabilités de Signature Wrapping, notamment :

• Attribute Pollution - divergences d'analyse entre libxml2 et REXML.
• Namespace Confusion - contournements basés sur la redéfinition d'espaces de noms et l'ambiguïté des préfixes.
• Void Canonicalization - exploitation des limitations de c14n de libxml2

Exemples

Golden-SAMLResponse.xml

Référence

Cette extension s'inspire de l'extension SAMLRaider et est basée sur les techniques présentées dans l'article de recherche : The Fragile Lock: Novel Bypasses for SAML Authentication par Zak Fedotkin

Démo

Le projet docker-compose gitlab-ee:17.8.4 suivant peut être utilisé pour reproduire le problème à des fins de démonstration uniquement. Remplacez les valeurs suivantes par celles de votre propre IdP :

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'