POC ошибки привязки сертификатов

Простой POC скрипт для тестирования CVE-2016-2402 и подобных ошибок. Подробнее читайте в моём блоге.

Эта утилита запускает HTTPS сервер, который предоставляет клиенту вредоносную цепочку сертификатов для определенного домена.

Если трафик от приложения с уязвимой реализацией привязки сертификатов перенаправляется на этот сервер, контроль привязки будет обойден, и вы сможете увидеть GET или POST запрос в консоли сервера.

По умолчанию используются жестко заданные сертификат и ключ CA (файлы CA_CERT.pem и CA_KEY.pem).

Вы можете изменить их, используя следующую команду для генерации новой пары.

openssl req -x509 -days 1825 -nodes -newkey rsa:2048 -outform pem -keyout CA_KEY.key -out CA_CERT.pem

Вам потребуется вставить CA_CERT.pem в тестируемую платформу.

John Kozyrakis