PoC CVE-2023-0264 — 프론트 (OIDC 세션 하이재킹)

Keycloak을 대상으로 OIDC (authorization code) 플로우를 실행하고 PoC의 session_id 하이재킹 훅을 노출하는 정적 프론트입니다. 팀 사용을 위해 nginx로 5174 포트에서 제공됩니다.

VPS에서 실행하기

cd vps/pocCVE0264
docker compose up -d --build

http://maquina:5174에서 확인할 수 있습니다. 공급업체 방화벽에서 5174/TCP를 열어두세요(8443에서 했던 것과 동일하게).

Keycloak URL은 환경 변수로 주입됩니다(HTML에 하드코딩되어 있지 않음). docker-compose.yml에서 KEYCLOAK_URL/REALM/CLIENT_ID를 수정하고 재시작하세요 — 재빌드 없이.

⚠️ Keycloak 필수 설정 (없으면 login/token이 실패함)

poc realm, client1 클라이언트에서 (Admin Console → Clients → client1):

1. Valid redirect URIs → http://maquina:5174/* 추가 (추가하지 않으면 Keycloak이 "Invalid parameter: redirect_uri" 오류와 함께 리다이렉션을 거부합니다).
2. Web origins → http://maquina:5174 추가 (추가하지 않으면 /token 엔드포인트로의 fetch가 CORS 때문에 실패하여 로그인이 중간에 끊깁니다).

⚠️ 자체 서명(Self-signed) 인증서

Keycloak은 8443 포트에서 자체 서명 인증서를 사용합니다. 팀 구성원 각자는 처음에 브라우저에서 https://maquina:8443을 열고 인증서를 한 번 수락해야 합니다. 그렇지 않으면 프론트에서 Keycloak으로의 호출이 조용히 실패합니다.

PoC 사용 방법

1. http://maquina:5174에 접속 → Keycloak 로그인으로 리다이렉트됩니다.
2. code를 가지고 돌아오면 prompt가 현재 session_id를 표시하고 이를 다른 세션의 것으로 교체할 수 있게 합니다 (CVE-2023-0264 PoC의 핵심).
3. 교환이 완료되면 토큰은 주입된 세션에 바인딩됩니다. 보안 에이전트(agente/ 폴더)가 이 패턴을 감지하고 경고합니다.

참고 사항

• HTTP (5174)로 서빙, Keycloak은 HTTPS (8443): http→https 요청이 허용되므로 플로우는 정상 동작합니다. 프론트를 HTTPS로 제공하려면 인증서/리버스 프록시가 필요합니다.
• 자신의 Keycloak에 대해 승인된 테스트를 수행하는 PoC 도구입니다. 공개적으로 노출하는 경우, 누구에게나 열린 하이재킹 클라이언트가 되지 않도록 접근을 제한(IP, 프록시의 기본 인증)하는 것을 고려하세요.
• Keycloak 인스턴스 변경 = compose에서 KEYCLOAK_URL 수정 + up -d.