OAUTHScan

설명

OAUTHScan은 OAUTHv2 및 OpenID 표준을 구현하는 애플리케이션에 대한 침투 테스트 중 유용한 자동 보안 검사 기능을 제공하기 위해 Java로 작성된 Burp Suite 확장 프로그램입니다.

이 플러그인은 다양한 OAUTHv2/OpenID 취약점과 일반적인 오설정(두 프레임워크의 공식 사양 기반)을 탐지하며, 많은 검사 항목은 다음 참고 자료에 따라 개발되었습니다:

다음은 OAUTHScan이 수행하는 검사 항목 중 일부 목록입니다(전체 목록이 아님):

Redirect_Uri 매개변수의 Open Redirect 문제
Authorization Code 재생(Replay) 문제
비밀 정보 유출(예: 토큰(Token), 코드(Code), 클라이언트 시크릿(Client Secret))
PKCE 오설정
Nonce 매개변수 오설정
State 매개변수 오설정
Scope 매개변수의 입력 검증 문제
본질적으로 안전하지 않은 흐름(Flow) 탐지
Request_Uri 매개변수를 통한 SSRF 문제
Well-Known 및 WebFinger 리소스 탐지
기타...

설치

먼저 이 Github 저장소에서 OAUTHScan 프로젝트를 다운로드하거나 클론합니다. 그런 다음 다음과 같이 빌드할 수 있습니다:

CLI에서 gradle 명령어 사용: gradlew build fatJar;
VS-Code용 "Gradle for Java" 확장 프로그램을 사용한 GUI 방식: VS-Code 편집기로 OAUTHScan 폴더를 엽니다. 그런 다음 왼쪽 세로 패널에서 Gradle의 "코끼리 아이콘"을 선택하고, "gradle projects" 섹션에서 "OauthScan" -> "Tasks" -> "build"를 클릭합니다. 프로젝트를 빌드하려면 "build" 하위 옵션의 오른쪽 화살표를 클릭해야 합니다.

마지막으로 Burp GUI Extender 탭을 사용하여 "build/libs/" 프로젝트 폴더에 있는 생성된 'OAUTHscan-X.Y.jar' 파일을 가져옵니다. 또는 공식 Burpsuite BApp-Store에서 OAUTHScan 플러그인을 직접 추가할 수도 있습니다(참고: 최신 버전이 아닐 수 있음).

사용법

OAUTHScan은 Burp Scanner와 완전히 통합되어 있으므로, Burp에 설치한 후 대상 요청에 대해 Passive 또는 Active 스캔을 실행하기만 하면 됩니다.

또는 다음 단계에 따라 단일 확장 프로그램 스캔으로 실행할 수도 있습니다:

Burp 대시보드에서 "New scan" 버튼을 클릭하여 "New Scan" 구성 패널을 엽니다
"Scan configuration" 탭으로 이동하여 "Select from library" 버튼을 클릭합니다
그런 다음 "Audit checks - extensions only" 옵션을 선택하고 저장합니다
Burp에서 활성 스캔 검사를 수행하는 다른 모든 확장 프로그램(해당되는 경우)을 비활성화하여 OauthScan 활성 스캔만 실행되도록 합니다
스캔할 HTTP 요청을 마우스 오른쪽 버튼으로 클릭하고 "Scan" 옵션을 선택하여 이전에 생성한 단일 확장 프로그램 스캔이 포함된 하위 메뉴를 엽니다

참고

이 Burp 플러그인의 검사 항목은 OAUTHv2 및 OpenID의 RFC를 따라 구현되었습니다. 이러한 표준을 사용자 지정으로 구현한 애플리케이션을 테스트할 때는 오탐(false positive)이 발생할 수 있습니다. 원래 개발자의 Github 저장소에 있는 플러그인은 Portswigger 저장소에 있는 플러그인보다 더 최신 버전일 수 있습니다.

버전

OAUTHScan 현재 버전은 v1.2입니다.

저자

OAUTHScan 플러그인은 Maurizio Siddu가 개발했습니다.

GNU 라이선스

이 프로그램은 자유 소프트웨어입니다: 자유 소프트웨어 재단(Free Software Foundation)이 공표한 GNU 일반 공중 사용 허가서(GNU General Public License) 버전 3 또는 (선택에 따라) 이후 버전의 조건에 따라 이 프로그램을 재배포하거나 수정할 수 있습니다.

이 프로그램은 유용하게 사용될 수 있으리라는 희망으로 배포되지만, 어떠한 보증도 제공되지 않습니다. 상품성 또는 특정 목적에의 적합성에 대한 묵시적 보증조차도 제공되지 않습니다. 자세한 내용은 GNU 일반 공중 사용 허가서를 참조하십시오.

이 프로그램과 함께 GNU 일반 공중 사용 허가서의 사본을 받았을 것입니다. 받지 못했다면 http://www.gnu.org/licenses/를 참조하십시오.

oauth-scan

인기