STEWS: Teste de Segurança e Enumeração de WebSockets

STEWS é um conjunto de ferramentas para testes de segurança de WebSockets

Esta pesquisa foi apresentada pela primeira vez no OWASP Global AppSec US 2021

Funcionalidades

O STEWS oferece a capacidade de:

• Descobrir: encontrar endpoints WebSockets na web testando uma lista de domínios
• Identificar: determinar qual servidor WebSockets está rodando no endpoint
• Detecção de Vulnerabilidades: testar se o servidor WebSockets é vulnerável a uma vulnerabilidade conhecida de WebSockets

O whitepaper incluído neste repositório fornece mais detalhes da pesquisa realizada. A apresentação de slides incluída foi apresentada no OWASP AppSec US 2021.

Repositórios complementares criados como parte desta pesquisa incluem:

• O repositório Awesome WebSocket Security, que compila informações de segurança de WebSockets para futuros pesquisadores
• O repositório WebSockets-Playground, que é um script para iniciar facilmente vários servidores WebSocket locais em paralelo

Instalação e Uso

Cada parte do STEWS (descoberta, identificação, detecção de vulnerabilidades) possui instruções separadas. Consulte o README em cada pasta respectiva.

Descoberta de WebSocket

Veja o README de descoberta

Identificação de WebSocket

Veja o README de identificação

Detecção de Vulnerabilidades em WebSocket

Veja o README de detecção de vulnerabilidades

Por que esta ferramenta?

Servidores WebSocket têm sido amplamente ignorados nos círculos de segurança. Isso se deve parcialmente a três obstáculos que não foram claramente abordados para endpoints WebSocket:

1. Descoberta
2. Enumeração/identificação
3. Detecção de vulnerabilidades

O STEWS tenta abordar esses três pontos. Uma ferramenta personalizada foi necessária porque há uma clara falta de suporte para testes de WebSocket configurados manualmente nas ferramentas atuais de teste de segurança:

1. Há uma falta geral de ferramentas de teste de segurança WebSocket suportadas e programáveis (por exemplo, a ferramenta não suportada wssip da NCC, a falta de suporte WebSocket do nuclei, e a falta de suporte WebSocket do nmap)
2. O Burp Suite carece de suporte para extensões WebSocket (por exemplo, veja este tópico do fórum PortSwigger e este outro).
3. Há uma falta de pesquisa de segurança mais aprofundada específica de WebSocket (o repositório Awesome WebSocket Security lista pesquisas de segurança publicadas sobre WebSockets)
4. A proliferação de WebSockets na web moderna (como visto nos resultados da ferramenta de descoberta do STEWS)