XML Signature Wrapping (XSW) Burp Suite Extension

L'estensione XSW per Burp Suite automatizza il processo di verifica delle vulnerabilità di Signature Wrapping sugli endpoint SAML.

Come fare

1. Fai clic con il tasto destro sulla richiesta di autenticazione in Burp Suite e scegli "WRAP Attack".
2. Configura i parametri della finestra di dialogo e avvia il test.
3. L'estensione genera automaticamente molteplici payload XML costruiti ad hoc e li invia all'endpoint di destinazione.
4. I risultati vengono registrati nella scheda Extensions Organizer di Burp Suite per ulteriori analisi.

Impostazioni

• Name ID - L'identità utente da impersonare (tipicamente un indirizzo email).
• Assertion URL (target) - Opzionale. L'URL dell'Assertion Consumer Service (ACS) da attaccare, se non è già incluso nell'AuthnRequest.
• Metadata URL (signed XML source) - Opzionale. URL del documento di metadati firmato (solitamente i metadati firmati dell'IdP).
• Timeout - Opzionale. Ritardo tra le richieste, in millisecondi.
• Always Refresh Metadata - Opzionale. Quando abilitato, l'estensione recupera un documento di metadati firmato aggiornato per ogni caso di test.

Attacchi

L'estensione verifica molteplici classi di vulnerabilità di Signature Wrapping, tra cui:

• Attribute Pollution - discrepanze del parser tra libxml2 e REXML.
• Namespace Confusion - bypass basati sulla ridefinizione dei namespace e sull'ambiguità dei prefissi.
• Void Canonicalization - sfrutta i limiti della c14n di libxml2

Esempi

Golden-SAMLResponse.xml

Riferimenti

Questa estensione è ispirata all'estensione SAMLRaider e basata sulle tecniche introdotte nel paper di ricerca: The Fragile Lock: Novel Bypasses for SAML Authentication di Zak Fedotkin

Demo

Il seguente progetto docker-compose gitlab-ee:17.8.4 può essere utilizzato per riprodurre il problema solo a scopo dimostrativo. Sostituisci quanto segue con i tuoi valori IdP:

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'