一、引言
在计算机领域，SAML认证流程是一种常见的身份验证方式。有时候，我们可能会遇到没有任何商业调试器的情况，但仍然需要完整还原SAML认证流程。这时候，借助浏览器开发者工具加本地代理抓包解码断言内容就成为了一种可行的方法。
二、浏览器开发者工具的使用
2.1 打开开发者工具
大多数浏览器都提供了开发者工具，比如Chrome、Firefox等。在Chrome中，我们可以通过按下F12键或者右键点击页面选择“检查”来打开开发者工具。
2.2 查看网络请求
在开发者工具中，我们可以切换到“Network”选项卡，这里会显示所有的网络请求。当我们进行SAML认证时，相关的请求也会在这里显示出来。 例如，我们假设一个简单的SAML认证场景，用户在浏览器中访问一个需要认证的应用。
// 用户访问应用
fetch('https://example.com/login');
在浏览器开发者工具的“Network”选项卡中，我们可以看到这个请求以及后续的认证相关请求。
2.3 分析请求和响应
我们可以查看每个请求的详细信息，包括请求头、请求体、响应头和响应体等。对于SAML认证流程，我们重点关注与认证相关的响应内容。 比如，一个SAML响应可能包含以下内容：
<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
ID="response123" Version="2.0" IssueInstant="2023-01-01T12:00:00Z">
<saml:Issuer>https://idp.example.com</saml:Issuer>
<samlp:Status>
<samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
</samlp:Status>
<saml:Assertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
ID="assertion123" Version="2.0" IssueInstant="2023-01-01T12:00:00Z">
<saml:Issuer>https://idp.example.com</saml:Issuer>
<saml:Subject>
<saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">user123</saml:NameID>
<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
<saml:SubjectConfirmationData InResponseTo="request123"
NotOnOrAfter="2023-01-01T12:10:00Z"
Recipient="https://sp.example.com/acs"/>
</saml:SubjectConfirmation>
</saml:Subject>
<saml:Conditions NotBefore="2023-01-01T12:00:00Z" NotOnOrAfter="2023-01-01T12:10:00Z">
<saml:AudienceRestriction>
<saml:Audience>https://sp.example.com</saml:Audience>
</saml:AudienceRestriction>
</saml:Conditions>
<saml:AuthnStatement AuthnInstant="2023-01-01T12:00:00Z"
SessionIndex="session123">
<saml:AuthnContext>
<saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef>
</saml:AuthnContext>
</saml:AuthnStatement>
<saml:AttributeStatement>
<saml:Attribute Name="email" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname - format:basic">
<saml:AttributeValue>user@example.com</saml:AttributeValue>
</saml:Attribute>
</saml:AttributeStatement>
</saml:Assertion>
</samlp:Response>
我们可以通过分析这个响应来了解认证的结果、用户信息等。
三、本地代理抓包
3.1 选择代理工具
有很多本地代理工具可供选择，比如Charles、Fiddler等。这里我们以Charles为例。
3.2 配置代理
安装并打开Charles后，我们需要配置代理。通常，我们需要将浏览器的代理设置指向Charles的代理地址和端口。 例如，在Chrome中，我们可以在“设置” - “网络” - “代理”中进行设置。
3.3 抓包分析
当我们配置好代理后，再次进行SAML认证时，Charles就会捕获到相关的网络包。我们可以在Charles中查看这些包的详细信息，包括请求和响应的内容。 比如，我们可以看到一个SAML请求包：
<samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
ID="request123" Version="2.0" IssueInstant="2023-01-01T12:00:00Z"
Destination="https://idp.example.com/SSO.saml2">
<saml:Issuer>https://sp.example.com</saml:Issuer>
<samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:2.0:nameid - format:persistent"
AllowCreate="true"/>
<samlp:RequestedAuthnContext Comparison="exact">
<saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef>
</samlp:RequestedAuthnContext>
</samlp:AuthnRequest>
通过分析这个请求包，我们可以了解到服务提供商（SP）向身份提供商（IDP）发送的认证请求的具体内容。
四、解码断言内容
4.1 了解断言结构
SAML断言是SAML认证流程中的重要部分，它包含了关于用户的身份信息、认证信息等。我们需要了解断言的结构，以便进行解码。 如前面示例中的断言内容，它包含了Issuer、Subject、Conditions、AuthnStatement、AttributeStatement等部分。
4.2 使用工具解码
有一些工具可以帮助我们解码SAML断言，比如SAML Tracer等。我们可以将捕获到的SAML响应中的断言内容输入到这些工具中进行解码。 例如，我们将前面的断言内容输入到SAML Tracer中，它会以更直观的方式展示断言中的各项信息。
五、应用场景
- 当我们在开发一个需要与SAML认证集成的应用时，没有商业调试器的情况下，可以通过这种方法来调试和理解认证流程。
- 对于安全审计人员，这种方法可以帮助他们分析SAML认证过程中的数据传输和安全性。
六、技术优缺点
6.1 优点
- 不需要额外的商业调试器，降低了成本。
- 浏览器开发者工具和本地代理抓包工具都是常用的工具，容易获取和使用。
- 可以深入了解SAML认证流程中的数据传输和交互。
6.2 缺点
- 对于复杂的SAML认证场景，可能需要花费较多的时间和精力来分析和理解。
- 依赖于工具的准确性，如果工具出现错误，可能会导致分析结果不准确。
七、注意事项
- 在使用本地代理抓包工具时，要注意配置正确的代理地址和端口，否则可能无法捕获到网络包。
- 对于敏感信息，如用户密码等，在分析过程中要注意保护，避免泄露。
- 要了解SAML认证的相关标准和规范，以便更好地理解和分析断言内容。
八、文章总结
通过浏览器开发者工具加本地代理抓包解码断言内容，我们可以在没有商业调试器的情况下完整还原SAML认证流程。这种方法在应用开发和安全审计等场景中都有一定的应用价值。同时，我们也需要注意其优缺点和相关的注意事项，以便更好地使用这种方法。
评论
围绕“没有任何商业调试器也能完整还原SAML认证流程，借助浏览器开发者工具加本地代理抓包解码断言内容”参与讨论