HTTPSignatures Burp Suite एक्सटेंशन

HTTPSignatures एक Burp Suite एक्सटेंशन है जो Signing HTTP Messages draft-ietf-httpbis-message-signatures-01 विनिर्देश मसौदा दस्तावेज़ को लागू करता है। यह Burp Suite उपयोगकर्ताओं को HTTP Signatures की आवश्यकता वाले अनुप्रयोगों का निर्बाध रूप से परीक्षण करने की अनुमति देता है।

विशेषताएँ

• जब एक्सटेंशन किसी मौजूदा HTTP Signature हेडर का पता लगाता है, तो Burp Repeater, Intruder और Scanner में स्वचालित रूप से एक नया सिग्नेचर और digest बनाता है।
• संदेशों पर हस्ताक्षर करने के लिए rsa-sha256 एल्गोरिथ्म का समर्थन करता है (RSASSA-PKCS1-v1_5 [RFC8017] का उपयोग करके SHA-256 [RFC6234]) और digest हेडर के लिए SHA-256।
• यह एक्सटेंशन Burp Suite Professional और निःशुल्क Burp Suite Community Edition में काम करता है।

उपयोग

इंस्टॉलेशन

नवीनतम JAR रिलीज़ फ़ाइल डाउनलोड करें और इसे Burp Suite में Extender Tab / Extensions / Add के माध्यम से जोड़ें।

कॉन्फ़िगरेशन

1. एक्सटेंशन लोड करने के बाद Burp में एक नया HTTP Signatures मेनू आइटम जोड़ा जाएगा।
2. कॉन्फ़िगरेशन टैब खोलें (HTTP Signatures मेनू आइटम पर क्लिक करें)।
3. न्यूनतम कॉन्फ़िगरेशन के लिए Header Name, keyId, और Private key file name and path को कॉन्फ़िगर करना आवश्यक है। विस्तृत विवरण के लिए नीचे देखें।
4. अब आप Burp Proxy, Repeater, Intruder और Scanner का उपयोग कर सकते हैं। एक्सटेंशन प्रत्येक उस अनुरोध के लिए एक नया सिग्नेचर बनाएगा जिसमें कॉन्फ़िगर किया गया Header Name शामिल है।

उपयोग

HTTPSignatures को सही ढंग से कॉन्फ़िगर करने के बाद, Burp Suite एक्सटेंशन Header Name सेटिंग (जैसे Signature) में कॉन्फ़िगर किए गए HTTP हेडर मान को Burp Proxy, Repeater, Intruder और Scanner के माध्यम से भेजे गए प्रत्येक HTTP अनुरोध के लिए एक नए सिग्नेचर से बदल देगा।

दस्तावेज़ीकरण

Burp Suite एक्सटेंशन का उपयोग करने से पहले इसे कॉन्फ़िगर किया जाना चाहिए। HTTPSignatures कॉन्फ़िगरेशन लोड होने के बाद Burp मेनू में पाया जा सकता है (आमतौर पर Help मेनू के दाईं ओर)। एक्सटेंशन के काम करने के लिए Header Name, keyId, और Private key file name and path को सही ढंग से कॉन्फ़िगर किया जाना चाहिए। शेष सेटिंग्स को वैकल्पिक रूप से समायोजित किया जा सकता है।

• हेडर नाम: (नमूना मान: Authorization, Signature): HTTP अनुरोध हेडर का नाम जिसमें सिग्नेचर शामिल होता है। IETF मसौदा Signature हेडर नाम का उपयोग करता है। Oracle Cloud (OCI) Authorization हेडर नाम का उपयोग करता है।

• keyId: keyId पैरामीटर एक US-ASCII स्ट्रिंग है जिसका उपयोग सत्यापनकर्ता द्वारा सिग्नेचर की सत्यापन कुंजी की पहचान करने और/या प्राप्त करने के लिए किया जाता है। नमूना मान https://mastodon.example.com/users/myUser (ActivityPub के लिए) या OCI के लिए ocid1.tenancy.oc1.../ocid1.user.oc1.../{fingerprint} जैसे दिख सकते हैं।

• निजी कुंजी फ़ाइल नाम और पथ: निजी कुंजी वाला पूर्ण पथ और फ़ाइल नाम (जैसे /home/${USER}/private_key.pem)।

• Digest हेडर नाम: digest वाले हेडर का नाम। यह x-content-sha256 (OCI के लिए) या अधिकांश अन्य कार्यान्वयनों के लिए digest होना चाहिए।

• हस्ताक्षर करने के लिए हेडर नाम: GET: GET अनुरोधों में शामिल करने के लिए हेडर नाम (जैसे )। मान एक विशेष पहचानकर्ता है जिसमें अनुरोध विधि और अनुरोध URI का पथ और क्वेरी शामिल होती है (जैसे )।

प्रोफ़ाइल

HTTPSignatures कॉन्फ़िगरेशन टैब में कई प्रोफ़ाइल कॉन्फ़िगर करने की अनुमति देता है। ... टैब पर क्लिक करके एक नया टैब बनाएं। टैब पर डबल क्लिक करके आप टैब का नाम रख सकते हैं। टैब को सहेजने के लिए "Save" बटन पर क्लिक करें। टैब को सक्रिय प्रोफ़ाइल के रूप में चिह्नित करने के लिए "Use this profile" बटन पर क्लिक करें। सक्रिय टैब (प्रोफ़ाइल) लाल फ़ॉन्ट और बॉर्डर के साथ चिह्नित है।

वैश्विक कॉन्फ़िगरेशन सेटिंग्स

वैश्विक कॉन्फ़िगरेशन अनुभाग में ऐसी सेटिंग्स शामिल हैं जो सभी प्रोफ़ाइलों पर लागू होती हैं।

• निम्नलिखित Burp Suite टूल्स के लिए एक्सटेंशन सक्षम करें: एक्सटेंशन को निम्नलिखित Burp Suite टूल्स के लिए सक्षम या अक्षम किया जा सकता है:

  • Proxy (डिफ़ॉल्ट: अक्षम)
  • Scanner (डिफ़ॉल्ट: सक्षम)
  • Intruder (डिफ़ॉल्ट: सक्षम)
  • Repeater (डिफ़ॉल्ट: सक्षम)

  प्रॉक्सी डिफ़ॉल्ट रूप से अक्षम है। अन्य टूल्स डिफ़ॉल्ट रूप से सक्षम हैं। प्रॉक्सी टूल को आमतौर पर केवल इंटरसेप्ट सुविधा का उपयोग करते समय सक्षम किया जाना चाहिए। अक्षम होने पर एक्सटेंशन सिग्नेचर को अपडेट नहीं करेगा।

• डीबग लॉग सक्षम करें: इस चेकबॉक्स को सक्षम करने पर मानक आउटपुट पर डीबग लॉग प्रिंट होंगे। आउटपुट को Burp Suite में Extender -> Extensions के अंतर्गत कॉन्फ़िगर किया जा सकता है, फिर Signing HTTP Messages एक्सटेंशन चुनें। Output टैब में आप चुन सकते हैं कि मानक आउटपुट कहाँ दिखाया जाएगा। डिफ़ॉल्ट Shown in UI है जहाँ आउटपुट Burp Suite के भीतर प्रदर्शित किया जाएगा।

उदाहरण कॉन्फ़िगरेशन

ActivityPub

ActivityPub HTTP Signatures का उपयोग सर्वर-से-सर्वर प्रमाणीकरण और प्राधिकरण के लिए करता है।

• हेडर नाम: Signature
• keyId: keyId को एक्टर से लिंक होना चाहिए ताकि publicKey फ़ील्ड प्राप्त की जा सके: https://mastodon.online/users/viktor. आप कुंजी प्राप्त करने के लिए curl का उपयोग कर सकते हैं: curl https://mastodon.online/users/viktor -H 'Accept: application/activity+json'|jq
• निजी कुंजी फ़ाइल नाम और पथ: /home/user/private_key.pem
• Digest हेडर नाम: digest
• हस्ताक्षर करने के लिए हेडर नाम: GET: date (request-target) host
• हस्ताक्षर करने के लिए हेडर नाम: HEAD: date (request-target) host
• हस्ताक्षर करने के लिए हेडर नाम: DELETE: date (request-target) host
• हस्ताक्षर करने के लिए हेडर नाम: PUT: date (request-target) host content-length content-type digest
• हस्ताक्षर करने के लिए हेडर नाम: POST: date (request-target) host content-length content-type digest

Oracle Cloud Infrastructure (OCI)

सभी Oracle Cloud Infrastructure (OCI) API अनुरोधों को HTTP Signatures की आवश्यकता होती है। कार्यान्वयन कुछ संशोधनों के साथ मसौदा विनिर्देश पर आधारित है।

• हेडर नाम: Authorization
• keyId: <TENANCY OCID>/<USER OCID>/<KEY FINGERPRINT>, जैसे ocid1.tenancy.oc1..<unique_ID>/ocid1.user.oc1..<unique_ID>/<key_fingerprint>
• निजी कुंजी फ़ाइल नाम और पथ: /home/user/private_key.pem
• Digest हेडर नाम: x-content-sha256
• हस्ताक्षर करने के लिए हेडर नाम: GET: date (request-target) host
• हस्ताक्षर करने के लिए हेडर नाम: HEAD: date (request-target) host
• हस्ताक्षर करने के लिए हेडर नाम: DELETE: date (request-target) host
• हस्ताक्षर करने के लिए हेडर नाम: PUT: date (request-target) host content-length content-type x-content-sha256
• हस्ताक्षर करने के लिए हेडर नाम: POST: date (request-target) host content-length content-type x-content-sha256
• Signature में क्वेरी पैरामीटर शामिल करें:

IntelliJ IDEA के साथ बिल्ड करना

1. इस रिपॉज़िटरी को क्लोन करें और IntelliJ IDEA में HTTPSignatures फ़ोल्डर को Open or Import करें।
2. प्रोजेक्ट संकलित करें (Build -> Build Project)
3. Burp Suite में आयात करने के लिए एक JAR फ़ाइल बनाएं: File -> Project Structure पर जाएं, Project Settings -> Artifacts चुनें।
4. "From modules with dependencies" प्रकार की नई JAR फ़ाइल बनाने के लिए प्लस चिह्न पर क्लिक करें और OK पर क्लिक करें।
5. प्रोजेक्ट बनाते समय स्वचालित रूप से JAR फ़ाइल बनाने के लिए "Include in project build" चेकबॉक्स चुनें और OK पर क्लिक करें।
6. प्रोजेक्ट को फिर से बिल्ड करें (Ctrl+F9 या ⌘+F9)।
7. JAR फ़ाइल प्रोजेक्ट फ़ोल्डर में out/artifacts/HTTPSignatures_jar/HTTPSignatures.jar पर बनाई जाती है।
8. Extender Tab -> Extensions -> Add के माध्यम से JAR फ़ाइल को Burp में लोड करें।

कमांड लाइन पर Maven का उपयोग करके बिल्ड करना

1. इस रिपॉज़िटरी को क्लोन करें।
2. प्रोजेक्ट को संकलित करें और mvn package assembly:single कमांड के साथ एक JAR फ़ाइल बनाएं।
3. JAR फ़ाइल प्रोजेक्ट फ़ोल्डर में target/HTTPSignatures-1.0-SNAPSHOT-jar-with-dependencies.jar पर बनाई जाती है।
4. Extender Tab -> Extensions -> Add के माध्यम से JAR फ़ाइल को Burp में लोड करें।

निर्भरताएँ

Java प्रोजेक्ट बनाने के लिए तीन निर्भरताएँ आवश्यक हैं:

• Apache HttpClient (https://hc.apache.org/httpcomponents-client-ga/)
• Tomitribe का HTTP Signatures Java Client (https://github.com/tomitribe/http-signatures-java)
• Burp Extender API (https://github.com/PortSwigger/burp-extender-api)