OAUTHScan

Описание

OAUTHScan — это расширение Burp Suite, написанное на Java, предназначенное для выполнения автоматических проверок безопасности, которые могут быть полезны при тестировании на проникновение приложений, реализующих стандарты OAUTHv2 и OpenID.

Плагин ищет различные уязвимости OAUTHv2/OpenID и типичные ошибки конфигурации (на основе официальных спецификаций обеих платформ); многие проверки разработаны в соответствии со следующими справочными материалами:

• https://datatracker.ietf.org/doc/html/rfc6749
• https://datatracker.ietf.org/doc/html/rfc6819
• https://datatracker.ietf.org/doc/html/rfc6750
• https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-09
• https://oauth.net/2/
• https://openid.net/connect/
• https://openid.net/specs/openid-connect-core-1_0.html
• https://portswigger.net/web-security/oauth
• https://portswigger.net/web-security/oauth/openid

Ниже приведён неполный перечень проверок, выполняемых OAUTHScan:

• Проблемы Open Redirect в параметре Redirect_Uri
• Проблемы повторного использования Authorization Code
• Утечка секретов (например, токенов, кодов, секретов клиента)
• Ошибки конфигурации PKCE
• Ошибки конфигурации параметра Nonce
• Ошибка конфигурации параметра State
• Проблемы проверки входных данных в параметре Scope
• Обнаружение изначально небезопасных потоков (Flows)
• Проблемы SSRF через параметр Request_Uri
• Обнаружение ресурсов Well-Known и WebFinger
• И другие...

Установка

Сначала загрузите или склонируйте проект OAUTHScan из этого репозитория Github. Затем вы можете собрать его:

• через CLI с помощью команды gradle: gradlew build fatJar;
• через GUI с помощью расширения «Gradle for Java» для VS-Code: Откройте папку OAUTHScan в редакторе VS-Code. Затем выберите «значок слона» Gradle на левой вертикальной панели, после чего в разделе «gradle projects» нажмите на «OauthScan» -> «Tasks» -> «build». Чтобы собрать проект, нажмите на стрелку вправо у подпункта «build».

Наконец, используйте вкладку Extender в графическом интерфейсе Burp, чтобы импортировать сгенерированный файл 'OAUTHscan-X.Y.jar', расположенный в папке проекта "build/libs/". В качестве альтернативы вы можете добавить плагин OAUTHScan напрямую из официального BApp-Store Burpsuite (примечание: версия там может быть устаревшей).

Использование

OAUTHScan полностью интегрирован с Burp Scanner: после установки в Burp вам останется лишь запустить пассивное или активное сканирование целевого запроса.

Кроме того, его можно запустить как сканирование одного расширения, выполнив следующие шаги:

• На панели управления Burp нажмите кнопку «New scan», чтобы открыть панель конфигурации «New Scan»
• Перейдите на вкладку «Scan configuration» и нажмите кнопку «Select from library»
• Затем выберите параметр «Audit checks - extensions only» и сохраните
• В Burp отключите все остальные расширения (если применимо), выполняющие проверки активного сканирования, чтобы работало только активное сканирование OauthScan
• Щёлкните правой кнопкой мыши по HTTP-запросу, который нужно просканировать, и выберите пункт «Scan», чтобы открыть подменю с ранее созданным сканированием одного расширения

Примечание

Проверки в этом плагине Burp реализованы в соответствии с RFC стандартов OAUTHv2 и OpenID. Это может приводить к ложным срабатываниям при тестировании приложений с нестандартной реализацией этих стандартов. Плагин в Github-репозитории оригинального разработчика может быть более актуальным, чем версия в репозитории Portswigger.

Версия

Текущая версия OAUTHScan — v1.2

Автор

• Плагин OAUTHScan разработан Маурицио Сидду (Maurizio Siddu)

Лицензия GNU

Copyright (c) 2022 OAUTHScan

Эта программа является свободным программным обеспечением: вы можете распространять и/или изменять её в соответствии с условиями Стандартной общественной лицензии GNU (GNU General Public License), опубликованной Фондом свободного программного обеспечения, либо версии 3 этой лицензии, либо (по вашему выбору) любой более поздней версии.

Эта программа распространяется в надежде, что она будет полезной, но БЕЗ ВСЯКИХ ГАРАНТИЙ; даже без подразумеваемой гарантии КОММЕРЧЕСКОЙ ЦЕННОСТИ или ПРИГОДНОСТИ ДЛЯ КОНКРЕТНОЙ ЦЕЛИ. Подробнее см. в Стандартной общественной лицензии GNU.

Вы должны были получить копию Стандартной общественной лицензии GNU вместе с этой программой. Если это не так, см. http://www.gnu.org/licenses/.