OAUTHScan

Описание

OAUTHScan — это расширение Burp Suite, написанное на Java, предназначенное для выполнения автоматических проверок безопасности, которые могут быть полезны при пентесте приложений, реализующих стандарты OAUTHv2 и OpenID.

Плагин выявляет различные уязвимости OAUTHv2/OpenID и типичные ошибки конфигурации (на основе официальных спецификаций обеих платформ); многие проверки разработаны в соответствии со следующими источниками:

Ниже приведён неполный список проверок, выполняемых OAUTHScan:

Проблемы открытого перенаправления (Open Redirect) в параметре Redirect_Uri
Повторное использование кода авторизации (Authorization Code Replay)
Утечка секретов (например, токенов, кодов, клиентских секретов)
Ошибки конфигурации PKCE
Ошибки конфигурации параметра nonce
Ошибка конфигурации параметра state
Проблемы валидации ввода параметра Scope
Обнаружение небезопасных по своей сути потоков (Flows)
Проблемы SSRF через параметр Request_Uri
Обнаружение ресурсов Well-Known и WebFinger
И другие...

Установка

Сначала скачайте или склонируйте проект OAUTHScan из этого репозитория GitHub. Затем его можно собрать:

через CLI с помощью команды gradle: gradlew build fatJar;
через GUI с помощью расширения "Gradle for Java" для VS-Code: Откройте папку OAUTHScan в редакторе VS-Code. Затем выберите "значок слона" Gradle на левой вертикальной панели и в разделе "gradle projects" нажмите "OauthScan" -> "Tasks" -> "build". Чтобы собрать проект, нажмите на стрелку вправо у подпункта "build".

Затем используйте вкладку Extender в графическом интерфейсе Burp, чтобы импортировать сгенерированный файл 'OAUTHscan-X.Y.jar', расположенный в папке проекта "build/libs/". В качестве альтернативы вы можете добавить плагин OAUTHScan напрямую из официального BApp-Store Burp Suite (примечание: версия там может быть неактуальной).

Использование

OAUTHScan полностью интегрирован со сканером Burp Scanner: после установки в Burp достаточно запустить пассивное или активное сканирование целевого запроса.

Кроме того, его можно запустить как сканирование только этим расширением, выполнив следующие шаги:

На панели управления Burp нажмите кнопку "New scan", чтобы открыть панель конфигурации "New Scan"
Перейдите на вкладку "Scan configuration" и нажмите кнопку "Select from library"
Затем выберите опцию "Audit checks - extensions only" и сохраните настройки
В Burp отключите все остальные расширения (если применимо), выполняющие проверки активного сканирования, чтобы запускалось только активное сканирование OauthScan
Щёлкните правой кнопкой мыши по HTTP-запросу, который нужно отсканировать, и выберите пункт "Scan", чтобы открыть подменю с ранее созданным сканированием только этого расширения

Примечание

Проверки в этом плагине Burp реализованы в соответствии с RFC OAUTHv2 и OpenID. Это может приводить к ложным срабатываниям при тестировании приложений с собственными реализациями этих стандартов. Плагин в репозитории GitHub оригинального разработчика может быть более актуальным, чем в репозитории Portswigger.

Версия

Текущая версия OAUTHScan — v1.2

Автор

Плагин OAUTHScan разработан Маурицио Сидду (Maurizio Siddu)

Лицензия GNU

Эта программа является свободным программным обеспечением: вы можете распространять и/или изменять её в соответствии с условиями Стандартной общественной лицензии GNU в том виде, в каком она опубликована Фондом свободного программного обеспечения, либо версии 3 этой лицензии, либо (по вашему выбору) любой более поздней версии.

Эта программа распространяется в надежде, что она будет полезна, но БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ; даже без подразумеваемой гарантии КОММЕРЧЕСКОЙ ЦЕННОСТИ или ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЁННОЙ ЦЕЛИ. Подробнее см. в Стандартной общественной лицензии GNU.

Вы должны были получить копию Стандартной общественной лицензии GNU вместе с этой программой. Если это не так, см. http://www.gnu.org/licenses/.

oauth-scan

Популярное