POC difetto di certificate pinning

Semplice script POC per testare CVE-2016-2402 e difetti simili. Leggi il mio post sul blog per i dettagli.

Questa utility imposterà un server HTTPS che fornisce una catena di certificati dannosa al client per un dominio specifico.

Se il traffico di un'app con un'implementazione di certificate pinning vulnerabile viene reindirizzato a questo server, il controllo del pinning verrà bypassato e dovresti essere in grado di vedere una richiesta GET o POST nella console del server.

Per impostazione predefinita, utilizza un certificato CA e una chiave hardcoded (file CA_CERT.pem e CA_KEY.pem).

Puoi cambiarli, usa il seguente comando per generare una nuova coppia.

openssl req -x509 -days 1825 -nodes -newkey rsa:2048 -outform pem -keyout CA_KEY.key -out CA_CERT.pem

Dovrai inserire CA_CERT.pem nella piattaforma in fase di test.

John Kozyrakis