Extensão do Burp Suite para XML Signature Wrapping (XSW)

A Extensão do Burp Suite XSW automatiza o processo de sondagem de endpoints SAML em busca de vulnerabilidades de Signature Wrapping.

Como usar

1. Clique com o botão direito na requisição de Autenticação no Burp Suite e escolha "WRAP Attack".
2. Configure os parâmetros do diálogo e inicie o teste.
3. A extensão gera automaticamente múltiplos payloads XML elaborados e os envia ao endpoint de destino.
4. Os resultados são registrados na aba Extensions Organizer do Burp Suite para análise posterior.

Configurações

• Name ID - A identidade do usuário a ser personificada (normalmente um endereço de e-mail).
• Assertion URL (target) - Opcional. A URL do Assertion Consumer Service (ACS) a ser utilizada como alvo, caso ainda não esteja incluída na AuthnRequest.
• Metadata URL (signed XML source) - Opcional. URL do documento de metadados assinado (geralmente os metadados assinados do IdP).
• Timeout - Opcional. Atraso entre requisições, em milissegundos.
• Always Refresh Metadata - Opcional. Quando habilitado, a extensão busca um documento de metadados assinado atualizado para cada caso de teste.

Ataques

A extensão sonda múltiplas classes de vulnerabilidades de Signature Wrapping, incluindo:

• Attribute Pollution - discrepâncias de parser entre libxml2 e REXML.
• Namespace Confusion - bypasses baseados em redefinição de namespace e ambiguidade de prefixo.
• Void Canonicalization - explora limitações do c14n do libxml2

Exemplos

Golden-SAMLResponse.xml

Referência

Esta extensão é inspirada na extensão SAMLRaider e baseada em técnicas introduzidas no artigo de pesquisa: The Fragile Lock: Novel Bypasses for SAML Authentication por Zak Fedotkin

Demonstração

O seguinte projeto docker-compose gitlab-ee:17.8.4 pode ser usado para reproduzir o problema apenas para fins de demonstração. Substitua o seguinte pelos seus próprios valores de IdP:

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'