STEWS: वेबसॉकेट्स की सुरक्षा जांच और गणना

STEWS वेबसॉकेट्स की सुरक्षा जांच के लिए एक उपकरण सूट है।

यह शोध पहली बार OWASP Global AppSec US 2021 में प्रस्तुत किया गया था।

विशेषताएँ

STEWS निम्नलिखित क्षमताएँ प्रदान करता है:

• खोज: डोमेन की सूची का परीक्षण करके वेब पर वेबसॉकेट एंडपॉइंट खोजें
• फिंगरप्रिंट: एंडपॉइंट पर चल रहे वेबसॉकेट सर्वर का निर्धारण करें
• भेद्यता का पता लगाना: परीक्षण करें कि वेबसॉकेट सर्वर किसी ज्ञात वेबसॉकेट भेद्यता के प्रति संवेदनशील है या नहीं

इस रिपॉजिटरी में शामिल श्वेतपत्र किए गए शोध के आगे के विवरण प्रदान करता है। शामिल स्लाइड डेक OWASP AppSec US 2021 में प्रस्तुत किया गया था।

इस शोध के भाग के रूप में बनाए गए पूरक रिपॉजिटरी में शामिल हैं:

• द Awesome WebSocket Security repository, जो भविष्य के शोधकर्ताओं के लिए वेबसॉकेट सुरक्षा जानकारी संकलित करता है
• द WebSockets-Playground repository, जो समानांतर में कई स्थानीय वेबसॉकेट सर्वरों को आसानी से शुरू करने के लिए एक स्क्रिप्ट है

स्थापना और उपयोग

STEWS का प्रत्येक भाग (खोज, फिंगरप्रिंटिंग, भेद्यता का पता लगाना) के अलग-अलग निर्देश हैं। कृपया प्रत्येक संबंधित फ़ोल्डर में README देखें।

वेबसॉकेट खोज

देखें खोज README

वेबसॉकेट फिंगरप्रिंटिंग

देखें फिंगरप्रिंटिंग README

वेबसॉकेट भेद्यता का पता लगाना

देखें भेद्यता का पता लगाने का README

यह उपकरण क्यों?

वेबसॉकेट सर्वरों को सुरक्षा क्षेत्रों में काफी हद तक नजरअंदाज किया गया है। यह आंशिक रूप से तीन बाधाओं के कारण है जो वेबसॉकेट एंडपॉइंट के लिए स्पष्ट रूप से संबोधित नहीं किए गए हैं:

1. खोज
2. गणना/फिंगरप्रिंटिंग
3. भेद्यता का पता लगाना

STEWS इन तीन बिंदुओं को संबोधित करने का प्रयास करता है। एक कस्टम उपकरण की आवश्यकता थी क्योंकि वर्तमान सुरक्षा परीक्षण उपकरणों में मैन्युअल रूप से कॉन्फ़िगर किए गए वेबसॉकेट परीक्षण के लिए समर्थन की स्पष्ट कमी है:

1. समर्थित और स्क्रिप्ट करने योग्य वेबसॉकेट सुरक्षा परीक्षण उपकरणों की सामान्य कमी है (उदाहरण के लिए, NCC का असमर्थित wssip टूल, nuclei का वेबसॉकेट समर्थन का अभाव, और nmap का वेबसॉकेट समर्थन का अभाव)
2. Burp Suite में वेबसॉकेट एक्सटेंशन के लिए समर्थन का अभाव है (उदाहरण के लिए, देखें यह PortSwigger फोरम थ्रेड और यह)।
3. गहन वेबसॉकेट-विशिष्ट सुरक्षा अनुसंधान का अभाव है (Awesome WebSocket Security repository प्रकाशित वेबसॉकेट सुरक्षा अनुसंधान को सूचीबद्ध करता है)
4. आधुनिक वेब पर वेबसॉकेट का प्रसार (जैसा कि STEWS खोज उपकरण के परिणामों में देखा गया)