Merge branch 'main' of https://github.com/whs-authz-authn-project/caido-plugin-test into sujin
This commit is contained in:
sultanofdisco
commit
e7f9d5684b
24 changed files with 2836 additions and 57 deletions
144
packages/backend/src/controller/PKCECheck.ts
Normal file
144
packages/backend/src/controller/PKCECheck.ts
Normal file
|
|
@ -0,0 +1,144 @@
|
|||
import type { SDK } from "caido:plugin";
|
||||
import { Body, RequestSpec, type Request } from "caido:utils";
|
||||
|
||||
export class PKCECheck {
|
||||
async test(sdk: SDK, req: Request): Promise<boolean> {
|
||||
const method = req.getMethod();
|
||||
if (method !== "GET") {
|
||||
sdk.console.log("[PKCEDowngradeCheck] Not a GET request. Skipping.");
|
||||
return false;
|
||||
}
|
||||
|
||||
const query = req.getQuery();
|
||||
const searchParams = new URLSearchParams(query);
|
||||
const requiredKeys = ["client_id", "response_type", "code_challenge", "code_challenge_method"];
|
||||
|
||||
if (!requiredKeys.every((key) => searchParams.has(key))) {
|
||||
sdk.console.log("[PKCEDowngradeCheck] Required PKCE parameters missing. Skipping.");
|
||||
return false;
|
||||
}
|
||||
|
||||
const url = req.getUrl();
|
||||
const isOpenID = searchParams.get("scope")?.includes("openid") || url.includes("id_token");
|
||||
const methodVal = searchParams.get("code_challenge_method");
|
||||
const challengeVal = searchParams.get("code_challenge");
|
||||
|
||||
if (!methodVal || !challengeVal) {
|
||||
sdk.console.log("[PKCEDowngradeCheck] code_challenge or method missing. Skipping.");
|
||||
await sdk.findings.create({
|
||||
title: isOpenID
|
||||
? "[WARN] OpenID Flow PKCE Parameters Missing"
|
||||
: "[WARN] OAuth2 Flow PKCE Parameters Missing",
|
||||
description: `PKCE parameters are missing or incomplete for ${url}. This may indicate a misconfiguration.`,
|
||||
request: req,
|
||||
reporter: "PKCE Checker",
|
||||
});
|
||||
return false;
|
||||
}
|
||||
|
||||
if (methodVal === "plain") {
|
||||
sdk.console.log("[PKCEDowngradeCheck] code_challenge_method is 'plain'. Skipping.");
|
||||
await sdk.findings.create({
|
||||
title: isOpenID
|
||||
? "[WARN] OpenID Flow PKCE Method is 'plain'"
|
||||
: "[WARN] OAuth2 Flow PKCE Method is 'plain'",
|
||||
description: `PKCE method is set to 'plain' for ${url}. This may indicate a downgrade vulnerability.`,
|
||||
request: req,
|
||||
reporter: "PKCE Checker",
|
||||
});
|
||||
return false;
|
||||
}
|
||||
|
||||
// Remove PKCE parameters to simulate a downgraded request
|
||||
searchParams.delete("code_challenge");
|
||||
searchParams.delete("code_challenge_method");
|
||||
const downgradedQuery = searchParams.toString();
|
||||
const scheme = req.getUrl().startsWith("https") ? "https" : "http";
|
||||
const downgradedUrl = `${scheme}://${req.getHost()}:${req.getPort()}${req.getPath()}?${downgradedQuery}`;
|
||||
|
||||
sdk.console.log(`${req.getHost()} Original URL: ` + url);
|
||||
sdk.console.log(`${req.getHost()} Downgraded URL: ` + downgradedUrl);
|
||||
|
||||
try {
|
||||
// Use Caido Replay SDK to replay the original request
|
||||
const spec = new RequestSpec(downgradedUrl);
|
||||
spec.setBody(req.getBody() as Body);
|
||||
for (const [key, value] of Object.entries(req.getHeaders())) {
|
||||
if (Array.isArray(value)) {
|
||||
spec.setHeader(key, value.join(', ')); // or another suitable delimiter
|
||||
} else {
|
||||
spec.setHeader(key, value);
|
||||
}
|
||||
}
|
||||
spec.setHost(req.getHost());
|
||||
spec.setMethod(req.getMethod());
|
||||
spec.setPath(req.getPath());
|
||||
spec.setQuery(downgradedQuery);
|
||||
spec.setTls(req.getTls());
|
||||
spec.setPort(req.getPort());
|
||||
|
||||
let sendDowngradedRequest = await sdk.requests.send(spec);
|
||||
|
||||
if (sendDowngradedRequest.response) {
|
||||
let domain = spec.getHost();
|
||||
let port = spec.getPort();
|
||||
let path = spec.getPath();
|
||||
let query = spec.getQuery();
|
||||
let id = sendDowngradedRequest.response.getId();
|
||||
let code = sendDowngradedRequest.response.getCode();
|
||||
sdk.console.log(`REQ ${id}: ${domain}:${port}${path}${query} received a status code of ${code}`);
|
||||
}
|
||||
|
||||
if (sendDowngradedRequest.response?.getCode() === 302) {
|
||||
await sdk.findings.create({
|
||||
title: isOpenID
|
||||
? "[CRITICAL] OpenID Flow PKCE Downgrade Vulnerability"
|
||||
: "[CRITICAL] OAuth2 Flow PKCE Downgrade Vulnerability",
|
||||
description: `The request to ${url} is vulnerable to a PKCE downgrade attack. This may indicate a configuration error.`,
|
||||
request: req,
|
||||
reporter: "PKCE Checker",
|
||||
});
|
||||
}
|
||||
|
||||
/*
|
||||
sdk.console.log(`${req.getHost()} Original Status: ` + resOriginal.status);
|
||||
sdk.console.log(`${req.getHost()} Downgraded Status: ` + resDowngraded.status);
|
||||
|
||||
sdk.console.log(`${req.getHost()} Original Headers: ` + JSON.stringify(resOriginal.headers));
|
||||
sdk.console.log(`${req.getHost()} Downgraded Headers: ` + JSON.stringify(resDowngraded.headers));
|
||||
|
||||
// Caido Dev Docs 기준으로, 리다이렉트된 URL은 Response 객체의 url 속성에 저장되어 있음
|
||||
const locationOriginal = resOriginal.url ?? "";
|
||||
const locationDowngraded = resDowngraded.url ?? "";
|
||||
|
||||
sdk.console.log(`${req.getHost()} Original Location: ` + locationOriginal);
|
||||
sdk.console.log(`${req.getHost()} Downgraded Location: ` + locationDowngraded);
|
||||
|
||||
const statusEqual = resOriginal.status === resDowngraded.status;
|
||||
const codeInRedirects = locationOriginal.includes("code=") && locationDowngraded.includes("code=");
|
||||
|
||||
if (statusEqual && codeInRedirects) {
|
||||
const title = isOpenID
|
||||
? "[CRITICAL] OpenID Flow PKCE Downgraded to Plaintext"
|
||||
: "[CRITICAL] OAuth2 Flow PKCE Downgraded to Plaintext";
|
||||
const reference = isOpenID
|
||||
? "https://openid.net/specs/openid-igov-oauth2-1_0-02.html#rfc.section.3.1.7"
|
||||
: "https://datatracker.ietf.org/doc/html/rfc7636";
|
||||
|
||||
await sdk.findings.create({
|
||||
title,
|
||||
description: `PKCE downgrade detected for ${url}.\n\nDowngraded URL: ${downgradedUrl}\n\nRedirect contained code=.\n\nReference: ${reference}`,
|
||||
request: req,
|
||||
reporter: "",
|
||||
});
|
||||
|
||||
return true;
|
||||
}*/
|
||||
} catch (err) {
|
||||
sdk.console.error(`PKCE downgrade check failed for ${url}: ${String(err)}`);
|
||||
}
|
||||
|
||||
sdk.console.log("[PKCEDowngradeCheck] No PKCE downgrade detected.");
|
||||
return false;
|
||||
}
|
||||
}
|
||||
170
packages/backend/src/controller/accessTokenDetector.ts
Normal file
170
packages/backend/src/controller/accessTokenDetector.ts
Normal file
|
|
@ -0,0 +1,170 @@
|
|||
import type { Request, Response } from "caido:utils";
|
||||
import type { SDK, DefineAPI } from "caido:plugin";
|
||||
|
||||
// 토큰 누출 검사 결과를 담는 구조
|
||||
export interface TokenLeakResult {
|
||||
found: boolean; // 토큰이 발견되었는지 여부 (true/false)
|
||||
location: 'url' | 'body' | 'header'; // 토큰이 발견된 위치 (url, body, header 중 하나)
|
||||
title: string; // 경고 제목
|
||||
description: string; // 상세 설명
|
||||
value?: string; // 실제 발견된 값 (선택적)
|
||||
}
|
||||
|
||||
// 액세스 토큰 누출 검사 클래스
|
||||
export class AccessTokenLeakController {
|
||||
async testReq(sdk: SDK<DefineAPI<{}>>, request: Request): Promise<void> {
|
||||
const result = await this._scanRequest(request);
|
||||
if (result) {
|
||||
await sdk.findings.create({
|
||||
title: result.title,
|
||||
description: result.description,
|
||||
request,
|
||||
reporter: "",
|
||||
});
|
||||
}
|
||||
}
|
||||
|
||||
async testResp(sdk: SDK<DefineAPI<{}>>, response: Response, request: Request): Promise<void> {
|
||||
const result = await this._scanResponse(response);
|
||||
if (result) {
|
||||
await sdk.findings.create({
|
||||
title: result.title,
|
||||
description: result.description,
|
||||
request,
|
||||
reporter: "",
|
||||
});
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* @param request - 검사할 HTTP 요청 객체
|
||||
* @returns 토큰이 발견되면 결과 객체, 없으면 null
|
||||
*/
|
||||
async _scanRequest(request: Request): Promise<TokenLeakResult | null> {
|
||||
|
||||
// === 1. URL에서 토큰 검사 ===
|
||||
const url = request.getUrl();
|
||||
|
||||
const extractedTokenFromUrl = this.extractTokenFromText(url);
|
||||
|
||||
if (extractedTokenFromUrl) {
|
||||
return {
|
||||
found: true,
|
||||
location: 'url',
|
||||
title: "Access Token Leak in URL",
|
||||
description: `요청 URL에 토큰이 포함되어 있습니다. (토큰: ${extractedTokenFromUrl.substring(0, 20)}...)`,
|
||||
value: url
|
||||
};
|
||||
}
|
||||
|
||||
// === 2. 요청 본문(Body)에서 토큰 검사 ===
|
||||
const body = request.getBody();
|
||||
|
||||
if (body) {
|
||||
const bodyText = await body.toText();
|
||||
|
||||
const extractedTokenFromBody = this.extractTokenFromText(bodyText);
|
||||
|
||||
if (extractedTokenFromBody) {
|
||||
return {
|
||||
found: true,
|
||||
location: 'body',
|
||||
title: "Access Token Leak in Request Body",
|
||||
description: `요청 Body에 토큰이이 포함되어 있습니다. (토큰: ${extractedTokenFromBody.substring(0, 20)}...)`,
|
||||
value: bodyText
|
||||
};
|
||||
}
|
||||
}
|
||||
|
||||
return null;
|
||||
}
|
||||
|
||||
/**
|
||||
* HTTP 응답에서 액세스 토큰 누출 검사
|
||||
* @param response - 검사할 HTTP 응답 객체
|
||||
* @returns 토큰이 발견되면 결과 객체, 없으면 null
|
||||
*/
|
||||
async _scanResponse(response: Response): Promise<TokenLeakResult | null> {
|
||||
|
||||
// === 1. Location 헤더에서 토큰 검사 ===
|
||||
const locationHeader = response.getHeader("Location");
|
||||
|
||||
const locationHeaderStr = Array.isArray(locationHeader) ? locationHeader.join(', ') : locationHeader;
|
||||
|
||||
if (locationHeaderStr) {
|
||||
const extractedTokenFromHeader = this.extractTokenFromText(locationHeaderStr);
|
||||
|
||||
if (extractedTokenFromHeader) {
|
||||
return {
|
||||
found: true,
|
||||
location: 'header',
|
||||
title: "Access Token Leak in Redirect URL",
|
||||
description: `Location 헤더에 토큰이 노출되었습니다: ${locationHeaderStr} (토큰: ${extractedTokenFromHeader.substring(0, 20)}...)`,
|
||||
value: locationHeaderStr
|
||||
};
|
||||
}
|
||||
}
|
||||
|
||||
// === 2. 응답 본문에서 토큰 검사 ===
|
||||
const bodyBytes = response.getBody();
|
||||
|
||||
if (bodyBytes) {
|
||||
const bodyText = await bodyBytes.toText();
|
||||
|
||||
const extractedTokenFromBody = this.extractTokenFromText(bodyText);
|
||||
|
||||
if (extractedTokenFromBody) {
|
||||
return {
|
||||
found: true,
|
||||
location: 'body',
|
||||
title: "Access Token Leak in Response Body",
|
||||
description: `HTTP 응답 본문에 토큰이 노출되었습니다. (토큰: ${extractedTokenFromBody.substring(0, 20)}...)`,
|
||||
value: bodyText
|
||||
};
|
||||
}
|
||||
}
|
||||
|
||||
return null;
|
||||
}
|
||||
|
||||
/**
|
||||
* 텍스트에서 실제 토큰 값을 추출
|
||||
* @param text - 검사할 텍스트
|
||||
* @returns 토큰 값이 있으면 해당 값, 없으면 null
|
||||
*/
|
||||
private extractTokenFromText(text: string): string | null {
|
||||
// 토큰 관련 키워드 리스트
|
||||
const tokenKeys = [
|
||||
'access_token',
|
||||
'id_token',
|
||||
'auth_token',
|
||||
'token',
|
||||
'jwt',
|
||||
'session_token'
|
||||
];
|
||||
|
||||
// 정규표현식 패턴 리스트 생성
|
||||
const tokenPatterns: RegExp[] = [];
|
||||
|
||||
for (const key of tokenKeys) {
|
||||
// 1. key=token 또는 key: token
|
||||
tokenPatterns.push(new RegExp(`${key}[=:]\\s*([a-zA-Z0-9\\-._~+/]+=*)`, 'i'));
|
||||
|
||||
// 2. JSON 형태의 "key": "token"
|
||||
tokenPatterns.push(new RegExp(`"${key}"\\s*:\\s*"([^"]+)"`, 'i'));
|
||||
}
|
||||
|
||||
// 3. Authorization: Bearer <token> 형태
|
||||
tokenPatterns.push(/bearer\s+([a-zA-Z0-9\-._~+/]+=*)/i);
|
||||
|
||||
// 모든 패턴에 대해 검사
|
||||
for (const pattern of tokenPatterns) {
|
||||
const match = pattern.exec(text);
|
||||
if (match && match[1]) {
|
||||
return match[1];
|
||||
}
|
||||
}
|
||||
|
||||
return null;
|
||||
}
|
||||
}
|
||||
181
packages/backend/src/controller/csrfCheck.ts
Normal file
181
packages/backend/src/controller/csrfCheck.ts
Normal file
|
|
@ -0,0 +1,181 @@
|
|||
import type { Request, Response } from "caido:utils";
|
||||
import type { SDK, DefineAPI } from "caido:plugin";
|
||||
import { HttpUtils } from "../utils/http";
|
||||
|
||||
const httpUtils = new HttpUtils();
|
||||
|
||||
export class CsrfCheck {
|
||||
private isOauthUri(request: Request): boolean {
|
||||
const query = request.getQuery() || "";
|
||||
|
||||
// Check if the request is an OAuth authorization request
|
||||
if (
|
||||
query.includes("client_id=") &&
|
||||
(query.includes("response_type=") ||
|
||||
query.includes("grant_type=") ||
|
||||
query.includes("redirect_uri=") ||
|
||||
query.includes("scope=") ||
|
||||
query.includes("state="))
|
||||
) {
|
||||
return true;
|
||||
}
|
||||
|
||||
return false;
|
||||
}
|
||||
|
||||
private isOauthRedirectResponse(response: Response): boolean {
|
||||
const status = response.getCode();
|
||||
const locationHeader = httpUtils.getHeaderValue(
|
||||
response.getHeaders(),
|
||||
"location"
|
||||
);
|
||||
|
||||
if (
|
||||
status >= 300 &&
|
||||
status < 400 &&
|
||||
locationHeader &&
|
||||
(locationHeader.includes("client_id=") ||
|
||||
locationHeader.includes("response_type=") ||
|
||||
locationHeader.includes("grant_type=") ||
|
||||
locationHeader.includes("redirect_uri=") ||
|
||||
locationHeader.includes("scope=") ||
|
||||
locationHeader.includes("state=") ||
|
||||
locationHeader.includes("code=")) // code is also common in OAuth redirects
|
||||
) {
|
||||
return true;
|
||||
}
|
||||
return false;
|
||||
}
|
||||
|
||||
private isStateInQuery(request: Request): boolean {
|
||||
const query = request.getQuery();
|
||||
const stateValue = httpUtils.getQueryParam(query || "", "state");
|
||||
if (!stateValue) {
|
||||
return false;
|
||||
}
|
||||
return true;
|
||||
}
|
||||
|
||||
private checkStateAtResponseLocationHeader(
|
||||
request: Request,
|
||||
response: Response
|
||||
): string[] | 0 {
|
||||
if (
|
||||
!(
|
||||
this.isOauthUri(request) &&
|
||||
this.isStateInQuery(request) &&
|
||||
this.isOauthRedirectResponse(response)
|
||||
)
|
||||
) {
|
||||
return 0; // Not a target, no CSRF risk
|
||||
}
|
||||
|
||||
// 요청에서 보낸 state 추출
|
||||
const query = request.getQuery() || "";
|
||||
const originalState = httpUtils.getQueryParam(query, "state");
|
||||
|
||||
// 리다이렉트 URL에서 쿼리 부분만 추출
|
||||
const locationHeader = httpUtils.getHeaderValue(
|
||||
response.getHeaders(),
|
||||
"location"
|
||||
);
|
||||
const responseState = httpUtils.getQueryParamFromURI(
|
||||
locationHeader || "",
|
||||
"state"
|
||||
);
|
||||
|
||||
// state가 없거나, 요청값과 다르면 CSRF 위험
|
||||
if (!responseState) {
|
||||
// missing state
|
||||
return ["state parameter is missing in the response location header"];
|
||||
}
|
||||
if (originalState !== responseState) {
|
||||
// mismatch
|
||||
return ["state parameter mismatch between request and response"];
|
||||
}
|
||||
|
||||
return 0; // no CSRF risk detected
|
||||
}
|
||||
|
||||
// private async checkStateReuse(
|
||||
// request: Request,
|
||||
// originResponse: Response
|
||||
// ): Promise<string[] | 0> {
|
||||
// // uri에 oauth 관련 파라미터가 없지만, 응답이 oauth 리다이렉트 응답인지 확인
|
||||
// // 즉, 처음으로 state를 발급한 요청인지 확인
|
||||
// if (
|
||||
// !(
|
||||
// !this.isOauthUri(request) &&
|
||||
// this.isOauthRedirectResponse(originResponse)
|
||||
// )
|
||||
// ) {
|
||||
// return 0; // Not a target, no CSRF risk
|
||||
// }
|
||||
|
||||
// const originResponseLocationHeader = httpUtils.getHeaderValue(
|
||||
// originResponse.getHeaders(),
|
||||
// "location"
|
||||
// );
|
||||
// const originState = httpUtils.getQueryParamFromURI(
|
||||
// originResponseLocationHeader || "",
|
||||
// "state"
|
||||
// );
|
||||
|
||||
// const requestHeaders = request.getHeaders();
|
||||
// const noCookieHeaders = httpUtils.removeHeaders(requestHeaders, ["cookie"]);
|
||||
// const newResponse = await httpUtils.resend(request, {
|
||||
// headers: noCookieHeaders,
|
||||
// });
|
||||
// const newLocationHeader = httpUtils.getHeaderValue(
|
||||
// newResponse.getHeaders(),
|
||||
// "location"
|
||||
// );
|
||||
// const newState = httpUtils.getQueryParamFromURI(
|
||||
// newLocationHeader || "",
|
||||
// "state"
|
||||
// );
|
||||
|
||||
// if (originState === newState) {
|
||||
// return [
|
||||
// "State parameter reused in the response location header, indicating a potential CSRF risk",
|
||||
// ];
|
||||
// }
|
||||
|
||||
// return 0; // no CSRF risk detected
|
||||
// }
|
||||
|
||||
async checker(
|
||||
sdk: SDK<DefineAPI<{}>, {}>,
|
||||
request: Request,
|
||||
response: Response
|
||||
): Promise<void> {
|
||||
let result = ``;
|
||||
|
||||
// 쿼리에 state 파라미터가 없으면 CSRF 위험
|
||||
if (this.isOauthUri(request) && !this.isStateInQuery(request)) {
|
||||
result += "CSRF risk: missing state parameter"; // CSRF risk: missing state parameter
|
||||
}
|
||||
|
||||
// location 헤더에 state 파라미터가 없거나, 요청에서 보낸 state와 다르면 CSRF 위험
|
||||
const stateAtResponseLocationHeaderCheck =
|
||||
this.checkStateAtResponseLocationHeader(request, response);
|
||||
if (stateAtResponseLocationHeaderCheck !== 0) {
|
||||
result += `, ${stateAtResponseLocationHeaderCheck.join(", ")}`;
|
||||
}
|
||||
|
||||
// // 처음으로 state를 발급한 요청에서 state 파라미터를 바꿔서 보내기
|
||||
// const reusedStateCheck = await this.checkStateReuse(request, response);
|
||||
// if (reusedStateCheck !== 0) {
|
||||
// result += `, ${reusedStateCheck.join(", ")}`;
|
||||
// }
|
||||
|
||||
if (result) {
|
||||
await sdk.findings.create({
|
||||
title: "csrf vuln",
|
||||
description: `SSO-related parameters detected in response:\n\n${request.getMethod()} ${request.getUrl()} : ${result}`,
|
||||
request,
|
||||
reporter: "csrf reporter",
|
||||
});
|
||||
}
|
||||
}
|
||||
}
|
||||
83
packages/backend/src/controller/scopeDetection.ts
Normal file
83
packages/backend/src/controller/scopeDetection.ts
Normal file
|
|
@ -0,0 +1,83 @@
|
|||
import type { SDK } from "caido:plugin";
|
||||
import { RequestSpec } from "caido:utils";
|
||||
|
||||
export class ScopeDetection {
|
||||
async scan(
|
||||
sdk: SDK,
|
||||
url: string
|
||||
): Promise<{ data: string }> {
|
||||
sdk.console.log(`들어온 url : ${url}`); // url이 잘 들어왔는지 확인함요
|
||||
|
||||
// url이 string이 아니고 , 값이 없거나 그럴 때 유효한 값 넣으라고 출력.
|
||||
if (!url || typeof url !== "string") {
|
||||
sdk.console.log("이상한 url 입력함.");
|
||||
return { data: "알맞은 URL을 입력하세요." };
|
||||
}
|
||||
|
||||
try {
|
||||
const spec = new RequestSpec(url); // url에 GET 요청 보낼거긔.
|
||||
spec.setMethod("GET");
|
||||
spec.setHeader("User-Agent", "Caido Scanner");
|
||||
spec.setHeader("Accept", "*/*");
|
||||
sdk.console.log(`요청 URL: ${url}`);
|
||||
|
||||
const res = await sdk.requests.send(spec); // 요청 보내고 응답 받음.
|
||||
sdk.console.log('[SCAN] 응답 :', res);
|
||||
sdk.console.log(`[SCAN] 요청 성공:${(res as any).status}`);
|
||||
sdk.console.log(`[SCAN] body: ${(res as any).body ? (res as any).body.toString().substring(0, 100) : "없음"}`);
|
||||
|
||||
const html = (res as any).body ? (res as any).body.toString() : "";
|
||||
|
||||
// <a href= 형태 링크 찾을거임.
|
||||
const anchorRegex = /<a\s+[^>]*href="([^"]+)"[^>]*>/gi;
|
||||
const anchors: string[] = [];
|
||||
let match;
|
||||
while ((match = anchorRegex.exec(html)) !== null) { // html에서 a href 찾아 배열에 저장함.
|
||||
if (typeof match[1] === "string") {
|
||||
anchors.push(match[1]);
|
||||
}
|
||||
}
|
||||
sdk.console.log(`찾아진 a href 개수: ${anchors.length}`);
|
||||
|
||||
// 5. scope 탐지
|
||||
const results: string[] = [];
|
||||
anchors.forEach((href) => { // 추출한 a href 링크 하나씩 검사드감.
|
||||
try {
|
||||
const absHref = new URL(href, url).href; // 상대경로라면 url 기준으로 절대 URL 바꿔줌줌
|
||||
sdk.console.log(`[SCAN] 절대 URL 변환: ${href} -> ${absHref}`); //
|
||||
|
||||
if (/oauth|authorize|login|accounts|auth/i.test(absHref)) { // url에 이런 OAuth 키워드가 있는지 필터링.
|
||||
let u: URL;
|
||||
try {
|
||||
u = new URL(absHref); // 필터링된 url을 url 객체로 파싱. 정식 url인 경우 변수 u에 저장.
|
||||
} catch (err) { // 파싱 실패하면
|
||||
sdk.console.log(
|
||||
`URL 파싱 실패 : ${absHref} (${err instanceof Error ? err.message : err})`
|
||||
);
|
||||
return;
|
||||
}
|
||||
|
||||
try {
|
||||
const scope = u.searchParams.get("scope"); // url에 scope있긔?scope값 가져와.
|
||||
if (scope && /all|\*/i.test(scope)) { // scope가 존재하고 all, *있다면.
|
||||
results.push(`위험한 scope 발견: ${scope}\n -> ${absHref}`); // results에 경고 메시지 전달.
|
||||
}
|
||||
} catch (err) {
|
||||
sdk.console.log(`searchParams.get 실패`);
|
||||
}
|
||||
}
|
||||
} catch (e) {
|
||||
sdk.console.log(
|
||||
`URL 파싱 실패 (absHref 단계): ${href} (${e instanceof Error ? e.message : e})`
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
const resultStr = results.join("\n") || "위험한 scope가 발견되지 않았습니다.";
|
||||
return { data: resultStr }; // 성공했는지 실패했는지 App.vue한테 전달할 메시지.
|
||||
} catch (e) {
|
||||
sdk.console.log(`백엔드 에러: ${e instanceof Error ? e.message : e}`);
|
||||
return { data: "백엔드 에러: " + (e instanceof Error ? e.message : String(e)) }; // App.vue에 전달할 메시지.
|
||||
}
|
||||
};
|
||||
}
|
||||
|
|
@ -1,60 +1,56 @@
|
|||
import type { SDK, DefineAPI } from "caido:plugin";
|
||||
import type { Request, Response } from "caido:utils";
|
||||
import { ImplicitGrantController } from "./controller/implictGrant";
|
||||
import { AuthZCodeGrantController } from "./controller/authZCodeGrant";
|
||||
import { NonceCheckController } from "./controller/nonceCheck";
|
||||
// import { ImplicitGrantController } from "./controller/implictGrant";
|
||||
// import { AuthZCodeGrantController } from "./controller/authZCodeGrant";
|
||||
import { CsrfCheck } from "./controller/csrfCheck";
|
||||
import { PKCECheck } from "./controller/PKCECheck";
|
||||
import { AccessTokenLeakController } from "./controller/accessTokenDetector";
|
||||
import { ScopeDetection } from "./controller/scopeDetection";
|
||||
|
||||
export type API = DefineAPI<{}>;
|
||||
|
||||
const implicitGrantController = new ImplicitGrantController();
|
||||
const authZCodeGrantController = new AuthZCodeGrantController();
|
||||
const nonceCheckController = new NonceCheckController();
|
||||
|
||||
// function matchSSORequest(req: Request): boolean {
|
||||
// const raw = req.getRaw().toString();
|
||||
|
||||
// // 조건 3: Raw request에 SAMLRequest 또는 SAMLResponse 포함
|
||||
// if (raw.includes("SAMLRequest=") || raw.includes("SAMLResponse=")) {
|
||||
// return true;
|
||||
// }
|
||||
|
||||
// return false;
|
||||
// }
|
||||
|
||||
// function matchAccessTokenResponse(resp: Response): boolean {
|
||||
// const raw = resp.getRaw().toString();
|
||||
|
||||
// const match = /"access_token"\s*:\s*"([^"]+)"/.exec(raw);
|
||||
// return !!match;
|
||||
// }
|
||||
const csrfCheck = new CsrfCheck();
|
||||
// const implicitGrantController = new ImplicitGrantController();
|
||||
// const authZCodeGrantController = new AuthZCodeGrantController();
|
||||
const pkceCheckController = new PKCECheck();
|
||||
const tokenCheck = new AccessTokenLeakController();
|
||||
const ScopeDetectionController = new ScopeDetection();
|
||||
|
||||
export function init(sdk: SDK<API>) {
|
||||
// 요청 이벤트
|
||||
sdk.events.onInterceptRequest(async (sdk, req) => {
|
||||
const result =
|
||||
authZCodeGrantController.testReq(req) ||
|
||||
implicitGrantController.testReq(req);
|
||||
// sdk.events.onInterceptRequest(async (sdk, req: Request) => {
|
||||
// const result = csrfCheck.checker(req);
|
||||
|
||||
if (result) {
|
||||
await sdk.findings.create({
|
||||
title: "Possible SSO Request Detected",
|
||||
description: `SSO-related parameters detected in request:\n\n${req.getMethod()} ${req.getUrl()} : ${result}`,
|
||||
request: req,
|
||||
reporter: "",
|
||||
});
|
||||
// if (result) {
|
||||
// await sdk.findings.create({
|
||||
// title: "Possible SSO Request Detected",
|
||||
// description: `SSO-related parameters detected in request:\n\n${req.getMethod()} ${req.getUrl()} : ${result}`,
|
||||
// request: req,
|
||||
// reporter: "",
|
||||
// });
|
||||
// }
|
||||
// });
|
||||
|
||||
sdk.events.onInterceptResponse(
|
||||
async (sdk: SDK<DefineAPI<{}>, {}>, req: Request, resp: Response) => {
|
||||
await csrfCheck.checker(sdk, req, resp);
|
||||
await pkceCheckController.test(sdk, req);
|
||||
await tokenCheck.testReq(sdk, req);
|
||||
await tokenCheck.testResp(sdk, resp, req);
|
||||
await ScopeDetectionController.scan(sdk, req.getUrl());
|
||||
// sdk.events.onInterceptRequest(async (sdk, req: Request) => {
|
||||
// const result =
|
||||
// authZCodeGrantController.testReq(req) ||
|
||||
// implicitGrantController.testReq(req);
|
||||
|
||||
// if (result) {
|
||||
// await pkceCheckController.test(sdk, req);
|
||||
|
||||
// await sdk.findings.create({
|
||||
// title: "Possible SSO Request Detected",
|
||||
// description: `SSO-related parameters detected in request:\n\n${req.getMethod()} ${req.getUrl()} : ${result}`,
|
||||
// request: req,
|
||||
// reporter: "",
|
||||
// });
|
||||
}
|
||||
});
|
||||
|
||||
// 응답 이벤트
|
||||
sdk.events.onInterceptResponse(async (sdk, req, res) => {
|
||||
|
||||
if (NonceCheckController.isOidcFlow(req, res)) {
|
||||
await sdk.findings.create({
|
||||
title: "OIDC Flow Detected",
|
||||
description: "The request appears to be part of an OIDC flow.",
|
||||
request: req,
|
||||
reporter: "",
|
||||
});
|
||||
}
|
||||
});
|
||||
);
|
||||
}
|
||||
210
packages/backend/src/utils/http.ts
Normal file
210
packages/backend/src/utils/http.ts
Normal file
|
|
@ -0,0 +1,210 @@
|
|||
let instance: HttpUtils | null = null;
|
||||
export class HttpUtils {
|
||||
/**
|
||||
* 싱글턴 인스턴스를 생성합니다.
|
||||
*/
|
||||
public constructor() {
|
||||
if (instance) {
|
||||
return instance;
|
||||
}
|
||||
instance = this;
|
||||
return instance;
|
||||
}
|
||||
|
||||
/**
|
||||
* URI 디코딩 후 소문자로 변환하는 헬퍼 함수
|
||||
* @param value - 디코딩하고 소문자로 변환할 문자열
|
||||
* @returns 디코딩 및 소문자 변환된 문자열
|
||||
*/
|
||||
decodeAndLower(value: string): string {
|
||||
try {
|
||||
return decodeURIComponent(value).toLowerCase();
|
||||
} catch {
|
||||
return value.toLowerCase();
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* 헤더 객체의 키와 값을 전부 소문자로 변환합니다.
|
||||
* @param headers - Record<string, string | string[]> 형태의 헤더 맵
|
||||
* @returns - 키와 값이 모두 소문자로 변환된 새 헤더 맵
|
||||
*/
|
||||
lowerCaseAllHeaders(
|
||||
headers: Record<string, string | string[]>
|
||||
): Record<string, string | string[]> {
|
||||
const result: Record<string, string | string[]> = {};
|
||||
|
||||
for (const [rawKey, rawValue] of Object.entries(headers)) {
|
||||
const key = this.decodeAndLower(rawKey);
|
||||
|
||||
if (Array.isArray(rawValue)) {
|
||||
result[key] = rawValue.map((v) => this.decodeAndLower(v));
|
||||
} else {
|
||||
result[key] = this.decodeAndLower(rawValue);
|
||||
}
|
||||
}
|
||||
|
||||
return result;
|
||||
}
|
||||
|
||||
getQueryParamFromURI(uri: string, key: string): string | null {
|
||||
uri = uri.toLowerCase();
|
||||
key = key.toLowerCase();
|
||||
try {
|
||||
const urlObj = new URL(uri);
|
||||
return urlObj.searchParams.get(key);
|
||||
} catch (e) {
|
||||
return null;
|
||||
}
|
||||
}
|
||||
|
||||
// Query
|
||||
/**
|
||||
* 주어진 쿼리 문자열(query)에서 key에 해당하는 값을 반환합니다.
|
||||
* @param query - "a=1&b=2..." 형태의 쿼리 문자열 (맨 앞 ? 는 없어야 합니다)
|
||||
* @param key - 가져오고 싶은 파라미터 이름
|
||||
* @returns - 해당 파라미터 값, 없으면 null
|
||||
*/
|
||||
getQueryParam(query: string, key: string): string | null {
|
||||
query = query.toLowerCase();
|
||||
key = key.toLowerCase();
|
||||
|
||||
const params = new URLSearchParams(query);
|
||||
return params.get(key);
|
||||
}
|
||||
|
||||
/**
|
||||
* 주어진 쿼리 문자열(query)에 key=value를 설정하고, 전체 쿼리 문자열을 반환합니다.
|
||||
* - 이미 key가 있으면 덮어쓰기(set), 없으면 새로 추가합니다.
|
||||
* @param query - "a=1&b=2..." 형태의 쿼리 문자열 (맨 앞 ? 는 없어야 합니다)
|
||||
* @param key - 설정할 파라미터 이름
|
||||
* @param value - 설정할 값
|
||||
* @returns - "a=1&b=2&c=3..." 형태의 새로운 쿼리 문자열
|
||||
*/
|
||||
setQueryParam(query: string, key: string, value: string): string {
|
||||
query = query.toLowerCase();
|
||||
key = key.toLowerCase();
|
||||
value = value.toLowerCase();
|
||||
|
||||
const params = new URLSearchParams(query);
|
||||
params.set(key, value);
|
||||
return params.toString();
|
||||
}
|
||||
|
||||
/**
|
||||
* 주어진 쿼리 문자열(query)에서 key에 해당하는 파라미터를 삭제(delete)하고,
|
||||
* 전체 쿼리 문자열을 반환합니다.
|
||||
* @param query - "a=1&b=2..." 형태의 쿼리 문자열 (맨 앞 ? 는 없어야 합니다)
|
||||
* @param key - 삭제할 파라미터 이름
|
||||
* @returns - 삭제된 상태의 새로운 쿼리 문자열
|
||||
*/
|
||||
removeQueryParam(query: string, key: string): string {
|
||||
query = query.toLowerCase();
|
||||
key = key.toLowerCase();
|
||||
|
||||
const params = new URLSearchParams(query);
|
||||
params.delete(key);
|
||||
return params.toString();
|
||||
}
|
||||
|
||||
// Headers
|
||||
/**
|
||||
* 주어진 헤더 맵에서 name에 해당하는 첫 번째 헤더 값을 반환합니다.
|
||||
* @param headers - Response.getHeaders() 가 반환하는 객체
|
||||
* @param name - 꺼내고 싶은 헤더 이름 (예: "location", "Content-Type")
|
||||
* @returns - 해당 헤더의 첫 번째 값, 없으면 null
|
||||
*/
|
||||
getHeaderValue(
|
||||
headers: Record<string, string | string[]>,
|
||||
name: string
|
||||
): string | null {
|
||||
const normalized = this.lowerCaseAllHeaders(headers);
|
||||
const target = name.toLowerCase();
|
||||
|
||||
for (const [key, value] of Object.entries(normalized)) {
|
||||
if (key === target) {
|
||||
let rawValue: string | null = null;
|
||||
|
||||
if (Array.isArray(value)) {
|
||||
rawValue = value.length > 0 && value[0] ? value[0] : null;
|
||||
} else {
|
||||
rawValue = value.length > 0 ? value : null;
|
||||
}
|
||||
|
||||
if (rawValue !== null) {
|
||||
try {
|
||||
return decodeURIComponent(rawValue);
|
||||
} catch {
|
||||
return rawValue;
|
||||
}
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
return null;
|
||||
}
|
||||
|
||||
/**
|
||||
* 주어진 헤더 맵에서 name에 해당하는 헤더 값을 value로 변경한 새 맵을 반환합니다.
|
||||
* - 기존 헤더 이름의 대소문자를 보존합니다.
|
||||
* - value가 string인 경우 [value] 형태로, string[]인 경우 그대로 사용합니다.
|
||||
* - 기존에 해당 헤더가 없으면 새로 추가합니다.
|
||||
*
|
||||
* @param headers - 키가 헤더 이름, 값이 문자열 배열인 헤더 맵
|
||||
* @param name - 변경할 헤더 이름 (예: "Authorization", "X-Custom-Header")
|
||||
* @param value - 새로 설정할 값 (string 또는 string[])
|
||||
* @returns - 지정된 헤더가 업데이트된 새로운 헤더 맵
|
||||
*/
|
||||
setHeaderValue(
|
||||
headers: Record<string, string | string[]>,
|
||||
name: string,
|
||||
value: string | string[]
|
||||
): Record<string, string[]> {
|
||||
headers = this.lowerCaseAllHeaders(headers);
|
||||
const lowerName = name.toLowerCase();
|
||||
const newHeaders: Record<string, string[]> = {};
|
||||
|
||||
// 1) 기존 헤더 복사하되, name과 일치하는 항목은 value로 대체
|
||||
for (const [key, vals] of Object.entries(headers)) {
|
||||
if (key.toLowerCase() === lowerName) {
|
||||
newHeaders[key] = Array.isArray(value) ? value : [value];
|
||||
} else {
|
||||
newHeaders[key] = Array.isArray(vals) ? vals : [vals];
|
||||
}
|
||||
}
|
||||
|
||||
// 2) 해당 헤더가 원래 없었다면 새로 추가
|
||||
const exists = Object.keys(newHeaders).some(
|
||||
(k) => k.toLowerCase() === lowerName
|
||||
);
|
||||
if (!exists) {
|
||||
newHeaders[name] = Array.isArray(value) ? value : [value];
|
||||
}
|
||||
|
||||
return newHeaders;
|
||||
}
|
||||
|
||||
/**
|
||||
* 주어진 헤더 맵에서 특정 이름(들)에 해당하는 헤더를 제거한 새 맵을 반환합니다.
|
||||
* @param headers - 키가 헤더 이름, 값이 문자열 배열인 헤더 맵
|
||||
* @param namesToRemove - 제거할 헤더 이름(하나 혹은 배열). 대소문자 구분 없이 매칭됩니다.
|
||||
* @returns - 지정된 헤더가 제외된 새로운 헤더 맵
|
||||
*/
|
||||
removeHeaders(
|
||||
headers: Record<string, string | string[]>,
|
||||
namesToRemove: string | string[]
|
||||
): Record<string, string[]> {
|
||||
headers = this.lowerCaseAllHeaders(headers);
|
||||
const toRemove = Array.isArray(namesToRemove)
|
||||
? namesToRemove.map((n) => n.toLowerCase())
|
||||
: [namesToRemove.toLowerCase()];
|
||||
|
||||
const filtered: Record<string, string[]> = {};
|
||||
for (const [key, vals] of Object.entries(headers)) {
|
||||
if (!toRemove.includes(key.toLowerCase())) {
|
||||
filtered[key] = Array.isArray(vals) ? vals : [vals];
|
||||
}
|
||||
}
|
||||
return filtered;
|
||||
}
|
||||
}
|
||||
|
|
@ -1,7 +1,7 @@
|
|||
{
|
||||
"extends": "../../tsconfig.json",
|
||||
"compilerOptions": {
|
||||
"types": ["@caido/sdk-backend"]
|
||||
"types": ["@caido/sdk-backend"],
|
||||
},
|
||||
"include": ["./src/**/*.ts"]
|
||||
}
|
||||
|
|
|
|||
Loading…
Add table
Add a link
Reference in a new issue