Angenommen, Sie wollen einen kerberisierten Web-Service aufrufen: Der Response wird nun mit dem Status-Code HTTP/ OK beantwortet.

Transkript

1 Quickstart Angenommen, Sie wollen einen kerberisierten Web-Service aufrufen: Setzen Sie einen SOAP-Request direkt gegen das kerberisierte Backend ab. Ohne Übergabe eines Kerberos-Tickets wird der Endpunkt mit einem Fehler antworten ( HTTP/401 Authorization Required ): <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> <html><head> <title>401 Authorization Required</title> </head><body> <h1>authorization Required</h1> <p>this server could not verify that you are authorized to access the document requested. Either you supplied the wrong credentials (e.g., bad password), or your browser doesn't understand how to supply the credentials required.</p> </body></html> Die Ursache liegt darin, dass der Endpunkt ein Kerberos-Ticket verlangt, das in Ihrem Request aber nicht mit auf den Weg gegeben wurde. Zeit für den NegotiateProxy! Starten Sie den NegotiateProxy lokal auf Ihrem Client-Rechner: C:\>NegotiateProxy kerberized.webservices.com Standardmäßig lauscht der Proxy auf dem lokalen Port 6268 auf eingehende Service-Requests und reicht diese dann in kerberisierter Form an den spezifizierten Zielserver weiter (Port 443, HTTPS). Setzen Sie Ihren SOAP-Request nun erneut ab, diesmal jedoch gegen den lokalen NegotiateProxy: Der Response wird nun mit dem Status-Code HTTP/ OK beantwortet. So einfach. Mission completed Manu Carus manu.carus@ethical-hacking.de Seite 1 / 8

2 Einsatzszenarien Der NegotiateProxy unterstützt jede Windows-Client-Software, die Web-Services gegen ein Kerberos/SPNEGO-Backend aufrufen muss. Die Client-Software selbst muss hierfür nicht angepasst werden. Einzig der aufgerufene Endpunkt muss auf localhost:<port> umgestellt werden. In den meisten Fällen ist dies konfigurativ in der Client-Software möglich. Auch komplexe Anwendungen können mit der Unterstützung des NegotiateProxy gegen einen Kerberos-Endpunkt arbeiten. Smart Clients bspw., die mehrere verschiedene Endpunkte ansteuern, können über mehrere Instanzen des NegotiateProxy laufen: Starten Sie einfach eine Instanz des NegotiateProxy für jeden einzelnen Endpunkt! So wird für jeden Kerberos-Endpunkt ein separater, lokaler Port eingerichtet. Kommandozeilenparameter Starten Sie den NegotiateProxy ohne Kommandozeilenparameter, um eine Übersicht über alle Einstellmöglichkeiten zu erhalten: C:\>NegotiateProxy NegotiateProxy - Reverse proxy to handle SPNEGO / Kerberos communication locally and transparently on behalf of client applications that are themselves not SPNEGO/Kerberos-aware. Copyright (c) 2012 Manu Carus (mailto:manu.carus@ethical-hacking.de) Reverse proxy to handle SPNEGO communication according to RfC 4559, 2478, 4178 (see for details). Use locally to transparently support client applications which are not aware of Kerberos/SPNEGO. Usage: NegotiateProxy [<localport>:]<remotehost>[:<remoteport>][:<protocol>] [options] or: NegotiateProxy [options] e.g. Options: NegotiateProxy kerberos.foo.com NegotiateProxy 8043:kerberos.foo.com:9043:https NegotiateProxy 8080:kerberos.foo.com:80:http -lh,--localhost:<host> local host to bind to (default: ) -lp,--localport:<port> local port to bind to (default: 6268) -rh,--remotehost:<host> remote host to redirect to (mandatory) (allowed values: host name or IP address) -rp,--remoteport:<port> remote port to connect to (default: 443) -p, --protocol:<http[s]> protocol to use (http or https) (default: https) Manu Carus manu.carus@ethical-hacking.de Seite 2 / 8

3 -pr,--preauthentication:<sec> -lc,--libcurl -c, --curl -l, --log:<file> -v, --verbose -d, --dump -q, --quiet -l, --licence -h, --help kerberos ticket cache (default: (12 hours)) use libcurl for Kerberos/Negotiation (default) use curl instead of libcurl for Kerberos/Negotiation file to log to (default: stdout) verbose mode (use multiple times for more details) dump mode (maximum verbose level, acts like -v -v -v) quiet mode (default: false) displays the terms of licence for this software displays this text e.g. NegotiateProxy -rh:kerberos.foo.com -p:http NegotiateProxy -lh: lp:8081 -rh:kerberos.foo.com -rp:80 -v -v SSL Options (for --libcurl only): -sv,--ssl-version:<version> -vh,--verify-host:<flag> (default) -vp,--no-verify-peer -ca,--ca-path:<path> ssl version (default, TLSv1, SSLv3) 0: do not verify host 1: check existence 2: ensure that it matches the provided hostname do not verify the peer's certificate directory holding CA certificates to verify the peer (must be prepared with the openssl c_rehash utility) (default:.\certs) e.g. NegotiateProxy 8043:kerberos.foo.com:443 --ca-path:c:\certs NegotiateProxy 8043:kerberos.foo.com:443 --ssl-version:tlsv1 --verify-host:1 --ca-path:c:\certs Logging Standardmäßig werden alle Proxy-Nachrichten auf die Standardausgabe geschrieben (stdout). Sie können den Detailgrad dieser Nachrichten über den Parameter -v steuern (Verbose-Level); eine wiederholte Angabe erhöht den Detailgrad umso mehr (bspw. -v -v). Der Parameter dump stellt den maximalen Detailgrad ein. Falls Sie stattdessen in eine Ausgabedatei schreiben wollen, nutzen Sie den Parameter --file:<log_file>. Standardmäßig werden dann alle Nachrichten sowohl in die Datei als auch auf die Standardausgabe geschrieben. Bei Angabe des Parameters quit wird auf die Standardausgabe verzichtet. Manu Carus Seite 3 / 8

4 Debug-Ausgaben (Verbosity) default: Standardmäßig werden keine Debug-Ausgaben erzeugt. -v: Eingehende Service-Requests und ausgehende Service-Responses werden in die Ausgabe protokolliert. -v -v: Zusätzlich werden wichtige HTTP-Header aus eingehenden Service-Requests protokolliert (POST, Content-Type, SOAPAction, Host, sowie (bei Verwendung von curl) die curl-parameter). -v -v -v: Zusätzlich wird der gesamte ein- und ausgehende HTTP-Traffic in lokale Dateien gespeichert (eine Datei je Request/Response). Die Namen der erzeugten Dateien wird in der Ausgabe protokolliert. Der NegotiateProxy unterstützt sowohl libcurl als auch curl. Standardmäßig werden alle Proxy-Verbindungen durch die libcurl.dll verarbeitet. Falls Sie sehen wollen, was unter der Haube passiert, dann geben Sie den Parameter dump für die Ausgabe aller internen libcurl-debug-ausgaben an. Falls Sie den NegotiateProxy als einen HTTP-Layer-7-Sniffer einsetzen und die abgesetzten Service-Requests zu einem späteren Zeitpunkt erneut gegen das Service-Backend absetzen wollen, dann gehen Sie über den Parameter curl in den curl-modus über. Im curl-modus werden alle Proxy-Verbindungen über einen dedizierten curl-prozess verarbeitet (und nicht mehr über die In- Process-DLL libcurl), d.h. für jeden eingehenden Service-Request wird ein neuer curl.exe Prozess erzeugt und ausgeführt. Durch die Kombination der Parameter curl und dump werden die ausgeführten curl-kommandozeilenparameter inkl. SOAP-Anfragen und -Inhalten in lokale Dateien gespeichert. Beispiel: C:\>NegotiateProxy your-kerberized.webservices.com --curl --dump C:\>dir *addresscheck* /B _114707_507559_serviceName_curl.cmd.txt _114707_507559_serviceName_request.curl.param.txt _114707_507559_serviceName_request_from_client.txt _114707_507559_serviceName_response_from_curl.txt _114707_507559_serviceName_response_to_client.txt Manu Carus Seite 4 / 8

5 Die Datei *_request_from_client.txt enthält den SOAP-Request in der Form, wie er vom Proxy empfangen und von der Client-Anwendung abgesetzt wurde. Die Datei *_request.curl.param.txt enthält den vollständigen SOAP-Request (inkl. Body), wie er vom Proxy empfangen und modifiziert an die interne (lib)curl-verarbeitung übergeben wurde. Die Datei *_curl.cmd.txt enhält das ausgeführte curl-kommando inkl. vollständiger Kommandozeilenparameter. Die Datei *_response_from_curl.txt enthält den SOAP-Response in der Form, wie der Proxy ihn von dem curl-prozess empfangen hat. Die Datei *_response_to_client.txt enthält den SOAP-Response in der Form, wie er vom Proxy an die aufrufende Client-Anwendung zurückgeliefert wird. Beispiel: C:\>type _114707_507559_serviceName_curl.cmd.txt curl.exe --header "Content-Type: text/xml;charset=utf-8" --header "SOAPAction: \"\"" --insecure --request POST --include --negotiate --user : Manu Carus manu.carus@ethical-hacking.de Seite 5 / 8

6 TLS Sie können den Reverse Proxy so konfigurieren, dass die Service-Requests via HTTP weitergeleitet werden anstatt über HTTPS (was nicht empfohlen wird). Beispiel: C:\>NegotiateProxy 8080:kerberos.foo.com:80:http Standardmäßig verbindet sich der Reverse Proxy mit dem entfernten Endpunkt jedoch via TLS (HTTPS), d.h. der Proxy überprüft das Server-Zertifikat gegen eine interne Zertifikatsliste von Servern, denen der Proxy vertraut. Diese Zertifikatsliste muss in einem lokalen Verzeichnis abgelegt werden (bspw. C:\certs), und der Dateiname eines jeden Zertifikats muss über das OpenSSL-Tool c_rehash bestimmt werden (bspw. c_rehash C:\certs\Class 2 Public Primary Certification Authority.pem ergibt den Zertifikats-Dateinamen 0f11b315.0 ). Falls Sie die TLS-Verifikation zur Laufzeit lockern wollen, stehen Ihnen die folgenden Optionen zur Verfügung (nur bei libcurl): -sv,--ssl-version:<version> -vh,--verify-host:<flag> -vp,--no-verify-peer -ca,--ca-path:<path> Beispiele: ssl version (default, TLSv1, SSLv3) 0: do not verify host 1: check existence 2: ensure that it matches the provided hostname (default) do not verify the peer's certificate directory holding CA certificates to verify the peer with (must be prepared with the openssl c_rehash utility) (default:.\certs) C:\NegotiateProxy 8043:kerberos.foo.com:443 --ca-path:c:\certs C:\NegotiateProxy 8043:kerberos.foo.com:443 --ssl-version:tlsv1 --verify-host:1 --capath:c:\certs Manu Carus manu.carus@ethical-hacking.de Seite 6 / 8

7 COPYRIGHT und Lizenzbedingungen NegotiateProxy NegotiateProxy Reverse proxy to handle SPNEGO / Kerberos communication locally and transparently on behalf of client applications that are themselves not SPNEGO/Kerberos-aware. Copyright (c) 2012 by Manu Carus (mailto:manu.carus@ethical-hacking.de) The Initial Developer of the Original Code is Manu Carus. All rights reserved. Permission to use, copy, modify, and distribute this software for any purpose, subject to the provisions described below, without fee is hereby granted, provided that this entire notice is included in all copies of any software that is or includes a copy or modification of this software and in all copies of the supporting documentation for such software. THIS SOFTWARE IS PROVIDED AS IS, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OF THIRD-PARTY RIGHTS. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR INCONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE. Except as contained in this notice, the name of a copyright holder shall not be used in advertising or otherwise to promote the sale, use or other dealings in this Software without prior written permission of the copyright holder. Manu Carus manu.carus@ethical-hacking.de Seite 7 / 8

8 libcurl COPYRIGHT AND PERMISSION NOTICE Copyright (c) 2004, 2005 Jeff Phillips, All rights reserved. Permission to use, copy, modify, and distribute this software for any purpose with or without fee is hereby granted, provided that the above copyright notice and this permission notice appear in all copies. THIS SOFTWARE IS PROVIDED AS IS, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OF THIRD-PARTY RIGHTS. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR INCONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE. Except as contained in this notice, the name of a copyright holder shall not be used in advertising or otherwise to promote the sale, use or other dealings in this Software without prior written permission of the copyright holder. Manu Carus manu.carus@ethical-hacking.de Seite 8 / 8