OAUTHScan

Descrizione

OAUTHScan è un'estensione di Burp Suite scritta in Java con l'obiettivo di fornire alcuni controlli di sicurezza automatici, che possono essere utili durante il penetration testing di applicazioni che implementano gli standard OAUTHv2 e OpenID.

Il plugin cerca varie vulnerabilità OAUTHv2/OpenID e misconfigurazioni comuni (basate sulle specifiche ufficiali di entrambi i framework); molti dei controlli sono stati sviluppati in base ai seguenti riferimenti:

• https://datatracker.ietf.org/doc/html/rfc6749
• https://datatracker.ietf.org/doc/html/rfc6819
• https://datatracker.ietf.org/doc/html/rfc6750
• https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-09
• https://oauth.net/2/
• https://openid.net/connect/
• https://openid.net/specs/openid-connect-core-1_0.html
• https://portswigger.net/web-security/oauth
• https://portswigger.net/web-security/oauth/openid

Di seguito un elenco non esaustivo dei controlli eseguiti da OAUTHScan:

• Problemi di Open Redirect sul parametro Redirect_Uri
• Problemi di replay del codice di autorizzazione
• Perdita di segreti (es. Token, Codici, Client Secret)
• Misconfigurazioni PKCE
• Misconfigurazioni del parametro Nonce
• Misconfigurazione del parametro State
• Problemi di validazione dell'input sul parametro Scope
• Rilevamento di flussi intrinsecamente insicuri
• Problemi SSRF tramite il parametro Request_Uri
• Rilevamento delle risorse Well-Known e WebFinger
• E altri...

Installazione

Per prima cosa scarica/clona il progetto OAUTHScan da questo repository Github. Poi puoi compilarlo:

• tramite CLI usando il comando gradle: gradlew build fatJar;
• tramite GUI usando l'estensione "Gradle for Java" per VS-Code: Apri la cartella OAUTHScan con l'editor VS-Code. Quindi seleziona l'"icona dell'elefante" di Gradle nel pannello verticale di sinistra; nella sezione "gradle projects" clicca su "OauthScan" -> "Tasks" -> "build". Per compilare il progetto devi cliccare sulla freccia destra dell'opzione "build".

Infine usa la scheda Extender della GUI di Burp per importare il file 'OAUTHscan-X.Y.jar' generato, situato nella cartella "build/libs/" del progetto. In alternativa puoi aggiungere il plugin OAUTHScan direttamente dal BApp-Store ufficiale di Burpsuite (Nota: potrebbe non essere aggiornato).

Utilizzo

OAUTHScan è completamente integrato con lo scanner di Burp; dopo l'installazione su Burp devi solo lanciare scansioni passive o attive sulla richiesta che intendi analizzare.

In alternativa è anche possibile eseguirlo come scansione a singola estensione seguendo questi passaggi:

• Nel dashboard di Burp, clicca il pulsante "New scan" per aprire il pannello di configurazione "New Scan"
• Vai nella scheda "Scan configuration" e clicca il pulsante "Select from library"
• Poi scegli l'opzione "Audit checks - extensions only" e salva
• Su Burp disabilita ogni altra estensione (se applicabile) che esegue controlli di scansione attiva, così che venga eseguita solo la scansione attiva di OauthScan
• Fai clic destro sulla richiesta HTTP da scansionare e seleziona l'opzione "Scan" per aprire il sottomenu con la scansione a singola estensione precedentemente generata

Nota

I controlli di questo plugin Burp sono stati implementati seguendo le RFC di OAUTHv2 e OpenID. Questo può produrre falsi positivi quando usato per testare applicazioni con implementazioni personalizzate di questi standard. Il plugin nel repository Github dello sviluppatore originale potrebbe essere più aggiornato di quello nel repository Portswigger.

Versione

La versione corrente di OAUTHScan è la v1.2

Autore

• Il plugin OAUTHScan è stato sviluppato da Maurizio Siddu

Licenza GNU

Copyright (c) 2022 OAUTHScan

Questo programma è software libero: puoi ridistribuirlo e/o modificarlo secondo i termini della GNU General Public License come pubblicata dalla Free Software Foundation, versione 3 della licenza, o (a tua scelta) qualsiasi versione successiva.

Questo programma è distribuito nella speranza che sia utile, ma SENZA ALCUNA GARANZIA; senza nemmeno la garanzia implicita di COMMERCIABILITÀ o IDONEITÀ PER UN PARTICOLARE SCOPO. Vedere la GNU General Public License per maggiori dettagli.

Dovresti aver ricevuto una copia della GNU General Public License insieme a questo programma. Se non l'hai ricevuta, vedi http://www.gnu.org/licenses/.