SAML安全测试方法论 - 第一部分：基础概念与工作流程

1. SAML基础概念

1.1 SAML简介

安全断言标记语言(SAML)是一种基于XML的标准，用于实现单点登录(SSO)功能。它由结构化信息标准促进组织(OASIS)发布，主要应用于基于Web的多域SSO场景。

1.2 核心组件

• SAML断言(SAML Assertion): 包含用户身份和属性的XML消息
• 身份提供商(IdP): 执行身份验证并发出断言的服务
• 服务提供商(SP): 用户希望访问的Web应用程序

1.3 类比解释

SAML流程类似于护照验证：

• 护照 = SAML断言
• 美国政府 = IdP
• 德国 = SP

2. SAML认证工作流程(SP-Initiated)

2.1 完整流程

1. 用户尝试访问受保护资源
2. SP生成SAML请求并重定向用户到IdP
3. IdP接收SAML请求
4. IdP提供身份验证方法(如登录表单)
5. IdP创建SAML响应(包含断言)
6. IdP将用户重定向回SP的ACS URL
7. SP验证SAML响应
8. 用户获得访问权限

2.2 关键步骤详解

2.2.1 SAML请求生成

SP生成的SAML请求示例：

<?xml version="1.0"?>
<samlp:AuthnRequest 
  xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
  AssertionConsumerServiceURL="https://sp.example.com/SAML2/POST"
  Destination="https://idp.example.com/SAML2/SSO"
  ID="_123456" 
  IssueInstant="2019-03-12T20:54:58Z"
  ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
  Version="2.0">
  <saml:Issuer>https://sp.example.com</saml:Issuer>
  <samlp:NameIDPolicy AllowCreate="1"/>
</samlp:AuthnRequest>

关键元素：

• AssertionConsumerServiceURL: IdP响应发送地址
• Destination: IdP地址
• ProtocolBinding: 传输机制
• saml:Issuer: 请求生成者标识

2.2.2 重定向到IdP

SP通过302重定向发送SAML请求：

HTTP/1.1 302 Found
Location: https://idp.example.com/SAML2/SSO?SAMLRequest=encoded_request&RelayState=state_info

SAML请求经过Deflate压缩和Base64编码。

2.2.3 SAML响应生成

IdP生成的SAML响应示例：

<?xml version="1.0" encoding="UTF-8"?>
<samlp:Response 
  Destination="https://sp.example.com/SAML2/POST"
  ID="_response123" 
  InResponseTo="_request123"
  IssueInstant="2019-03-12T20:54:54.061Z"
  Version="2.0">
  
  <saml:Issuer>https://idp.example.com</saml:Issuer>
  
  <ds:Signature>
    <!-- 签名信息 -->
  </ds:Signature>
  
  <samlp:Status>
    <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
  </samlp:Status>
  
  <saml:Assertion ID="_assertion123" IssueInstant="2019-03-13T22:44:33Z">
    <!-- 断言内容 -->
  </saml:Assertion>
</samlp:Response>

关键元素：

• ds:Signature: XML签名，保护完整性
• saml:Assertion: 包含用户身份信息
• saml:Subject: 断言主体
• saml:Conditions: 断言有效期和受众限制
• saml:AuthnStatement: 认证声明
• saml:AttributeStatement: 用户属性

2.2.4 重定向回SP

IdP通过302重定向将用户带回SP：

HTTP/1.1 302 Moved Temporarily
Location: https://sp.example.com/SAML2/POST

POST请求包含SAMLResponse和RelayState参数。

3. XML签名机制

3.1 签名类型

3.1.1 被封装的签名(Enveloped Signature)

签名是其签名资源的后代：

<samlp:Response>
  <ds:Signature>
    <ds:SignedInfo>
      <ds:Reference URI="#response_id"/>
    </ds:SignedInfo>
  </ds:Signature>
</samlp:Response>

3.1.2 封装的签名(Enveloping Signature)

签名包含被签名的数据：

<ds:Signature>
  <ds:SignedInfo>
    <ds:Reference URI="#response_id"/>
  </ds:SignedInfo>
  <samlp:Response ID="response_id"/>
</ds:Signature>

3.1.3 分离式签名(Detached Signature)

签名与签名资源分离：

<samlp:Response ID="response_id"/>
<ds:Signature>
  <ds:SignedInfo>
    <ds:Reference URI="#response_id"/>
  </ds:SignedInfo>
</ds:Signature>

3.2 签名验证过程

1. 规范化XML数据(Canonicalization)
2. 应用转换(如enveloped-signature)
3. 计算摘要(Digest)
4. 验证签名值

4. 关键安全考虑

1. 签名验证: SP必须正确验证IdP的签名
2. 断言有效期: 必须检查Conditions元素中的时间限制
3. 受众限制: 确保断言只对特定SP有效
4. 重放攻击防护: 使用唯一ID和时间戳
5. 传输安全: 使用HTTPS防止中间人攻击

5. 测试准备

1. 熟悉SAML协议规范
2. 准备SAML测试工具(如Burp Suite SAML Raider)
3. 了解XML签名机制
4. 掌握HTTP请求/响应分析技能

6. 后续方向

下一部分将深入探讨：

• SAML常见漏洞类型
• 实际测试方法
• Burp Suite SAML Raider插件的使用
• 高级攻击技术

这份文档详细介绍了SAML的基础概念、工作流程和XML签名机制，为后续的安全测试奠定了理论基础。关键点包括SAML的三方交互模型、SP-Initiated流程的详细步骤、XML签名的不同类型及其安全意义。