SAML 断言篡改 ping 联邦
SAML Assertion tampering ping federate
在 IDP(PF) 生成 SAML 断言。它在 SP(PF) 处消耗。 saml断言篡改可能吗？如果是这样，如何测试它？我正在尝试跟踪 get & post 请求。
当我 post 生成对 https://machine_name:port_no/sp/ACS.saml2 的 SAML 响应时，我收到 404 错误。我知道我们不能点击 url.when 我给目标资源 url，资源页面是 opened.But 我在我的服务器日志中没有找到响应。
我想 post 生成的响应稍作修改并测试它是否抛出任何错误。不应允许入侵者获取资源。虽然我修改了响应，但我可以点击 url 并访问 page.I，为此我正在使用 POSTMAN chrome 扩展。
注意：我正在从无代理集成套件示例中提取 saml 响应 application.so 目标 url 是 https://machine_name:port_no/AgentlessIntegrationKitSampleSP
谢谢，
阿斯维尼 J
如果您想在浏览器中篡改 SAML 数据，您应该使用 Firefox 的 Tamper Data 扩展。它将允许您逐步执行每个事务并有选择地修改数据。
但是，您无法成功篡改 SAML 响应，因为它是经过数字签名（并且可以选择加密）的消息。对签名数据的任何篡改都会使消息无效，PingFederate 将不允许消息通过。这是 PF 严格执行的 SAML XMLDig 规范的强制要求。
PingFederate (SP) 和 QuickStartApp (SP) 之间交换的信息不是 SAML -- 它是一个 "one time use" 引用令牌，引用存储在 PingFederate 运行时内存中的信息。如果修改此值，PF 将抛出错误，因为它不会引用任何已知数据。
在 IDP(PF) 生成 SAML 断言。它在 SP(PF) 处消耗。 saml断言篡改可能吗？如果是这样，如何测试它？我正在尝试跟踪 get & post 请求。
当我 post 生成对 https://machine_name:port_no/sp/ACS.saml2 的 SAML 响应时，我收到 404 错误。我知道我们不能点击 url.when 我给目标资源 url，资源页面是 opened.But 我在我的服务器日志中没有找到响应。
我想 post 生成的响应稍作修改并测试它是否抛出任何错误。不应允许入侵者获取资源。虽然我修改了响应，但我可以点击 url 并访问 page.I，为此我正在使用 POSTMAN chrome 扩展。
注意：我正在从无代理集成套件示例中提取 saml 响应 application.so 目标 url 是 https://machine_name:port_no/AgentlessIntegrationKitSampleSP
谢谢， 阿斯维尼 J
如果您想在浏览器中篡改 SAML 数据，您应该使用 Firefox 的 Tamper Data 扩展。它将允许您逐步执行每个事务并有选择地修改数据。
但是，您无法成功篡改 SAML 响应，因为它是经过数字签名（并且可以选择加密）的消息。对签名数据的任何篡改都会使消息无效，PingFederate 将不允许消息通过。这是 PF 严格执行的 SAML XMLDig 规范的强制要求。
PingFederate (SP) 和 QuickStartApp (SP) 之间交换的信息不是 SAML -- 它是一个 "one time use" 引用令牌，引用存储在 PingFederate 运行时内存中的信息。如果修改此值，PF 将抛出错误，因为它不会引用任何已知数据。