Caddy SSO插件安全漏洞分析
漏洞概述
我们在Caddy服务器的caddy-security插件中发现了10个安全漏洞，这些漏洞可能导致客户端代码执行、OAuth重放攻击和未授权资源访问等高危攻击。
技术背景
Caddy（又称Caddy Server或Caddy 2）是用Golang编写的现代开源Web服务器，注重易用性和可配置性。caddy-security作为其中间件插件，提供包括表单认证、OAuth 2.0、SAML等多种安全功能。
详细发现
问题1：反射型XSS攻击
严重性：高
通过构造特殊API调用（如/admin%22%3E%3Cscript%3Ealert(document.domain)%3C/script%3E/admin/login）可触发警报。攻击者可利用此漏洞在目标用户浏览器中执行任意JavaScript代码。
即时修复方案：
- 使用
safehtml/template包对所有字符串值进行转义处理 - 在单元测试中加入恶意XSS载荷
- 扩展文档推荐安全头部（特别是CSP头部）
问题2：不安全随机数生成
严重性：高
插件使用基于Unix时间戳种子的math/rand库生成OAuth流程中的随机数，可能被暴力破解预测。
修复方案：
- 改用
crypto/rand加密安全随机数生成器 - 创建统一的
secureRandomString函数 - 在CI/CD中集成Semgrep检测规则
问题3：X-Forwarded-For头部IP欺骗
严重性：中
攻击者可通过操纵X-Forwarded-For头部伪造用户IP地址，可能导致未授权访问。
问题4：基于Referer的XSS
严重性：中
通过重写Referer头部可触发XSS漏洞，虽然利用难度较高但仍存在风险。
问题5：开放重定向漏洞
严重性：中
登录用户点击包含redirect_url参数的特制链接时，可能被重定向到外部恶意网站。
长期安全建议
- 对所有用户提供头部进行严格验证
- 实施Golang原生模糊测试
- 使用Burp Suite Professional进行动态测试
- 扩展安全文档提高用户安全意识
协调披露时间线
- 2023年8月7日：向插件维护者报告漏洞
- 2023年8月23日：维护者确认无近期修复计划
- 2023年9月18日：正式发布披露报告
Golang安全资源
我们持续开发Golang相关的Semgrep规则和技术资源，欢迎社区联系我们探讨Go代码库安全实践。
本文涉及的技术细节和修复方案适用于所有基于SSO的系统开发，建议开发者参考实施相应的安全措施。