Расширение Burp Suite для обхода XML-подписи (XSW)

Расширение XSW для Burp Suite автоматизирует процесс проверки SAML-эндпоинтов на наличие уязвимостей обхода подписи (Signature Wrapping).

Как использовать

1. Щёлкните правой кнопкой мыши по запросу аутентификации в Burp Suite и выберите "WRAP Attack".
2. Настройте параметры диалогового окна и запустите тест.
3. Расширение автоматически генерирует несколько специально сформированных XML-полезных нагрузок и отправляет их на целевой эндпоинт.
4. Результаты записываются во вкладку Extensions Organizer в Burp Suite для дальнейшего анализа.

Настройки

• Name ID — идентификатор пользователя для имперсонации (обычно адрес электронной почты).
• Assertion URL (target) — Необязательно. URL Assertion Consumer Service (ACS) для атаки, если он ещё не включён в AuthnRequest.
• Metadata URL (signed XML source) — Необязательно. URL подписанного документа метаданных (обычно подписанные метаданные IdP).
• Timeout — Необязательно. Задержка между запросами в миллисекундах.
• Always Refresh Metadata — Необязательно. Если включено, расширение извлекает свежий подписанный документ метаданных для каждого тестового случая.

Атаки

Расширение проверяет несколько классов уязвимостей обхода подписи (Signature Wrapping), включая:

• Attribute Pollution — расхождения парсеров между libxml2 и REXML.
• Namespace Confusion — обходы на основе переопределения пространств имён и неоднозначности префиксов.
• Void Canonicalization — эксплуатация ограничений c14n в libxml2

Примеры

Golden-SAMLResponse.xml

Ссылки

Это расширение вдохновлено расширением SAMLRaider и основано на техниках, представленных в исследовательской работе: The Fragile Lock: Novel Bypasses for SAML Authentication от Zak Fedotkin

Демонстрация

Следующий проект docker-compose для gitlab-ee:17.8.4 можно использовать для воспроизведения проблемы исключительно в демонстрационных целях. Замените следующие значения на собственные значения вашего IdP:

• idp_cert_fingerprint: "<idp_cert_fingerprint>"
• idp_sso_target_url: "<idp_sso_target_url>"

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ee:17.8.4-ee.0
    container_name: gitlab
    restart: always
    hostname: 'gitlab.lab.local'
    environment:
      GITLAB_OMNIBUS_CONFIG: |
        external_url 'https://gitlab.lab.local'
        nginx['listen_port'] = 443
        nginx['redirect_http_to_https'] = true
        nginx['ssl_certificate'] = "/etc/ssl/certs/gitlab/server-cert.pem"
        nginx['ssl_certificate_key'] = "/etc/ssl/certs/gitlab/server-key.pem"
        nginx['ssl_protocols'] = "TLSv1.1 TLSv1.2"
        nginx['logrotate_frequency'] = "weekly"
        nginx['logrotate_rotate'] = 52
        nginx['logrotate_compress'] = "compress"
        nginx['logrotate_method'] = "copytruncate"
        nginx['logrotate_delaycompress'] = "delaycompress"
        gitlab_rails['gitlab_shell_ssh_port'] = 2424
        gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']
        gitlab_rails['omniauth_block_auto_created_users'] = false
        gitlab_rails['omniauth_auto_link_saml_user'] = true
        gitlab_rails['omniauth_providers'] = [
          {
            name: "saml",
            label: "Okta login",
            args: {
              assertion_consumer_service_url: "https://gitlab.lab.local/users/auth/saml/callback",
              idp_cert_fingerprint: "<idp_cert_fingerprint>",
              idp_sso_target_url: "<idp_sso_target_url>",
              issuer: "https://gitlab.lab.local",
              name_identifier_format: "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            }
          }
        ]
    ports:
      - '80:80'
      - '443:443'
      - '2424:22'
    volumes:
      - '/srv/gitlab/config:/etc/gitlab'
      - '/srv/gitlab/logs:/var/log/gitlab'
      - '/srv/gitlab/data:/var/opt/gitlab'
      - './volume_data/ssl:/etc/ssl/certs/gitlab'
    shm_size: '256m'