SAML SSO 断言攻击测试：验证签名校验、断言包装…

当企业 SSO 使用 SAML 请求或响应，并出现 SAMLRequest、SAMLResponse、XML 断言或 ACS 端点时，用于排查断言信任边界与配置缺陷。

适用场景

解决思路

1. 捕获一次完整登录往返流程。
2. 检查哪些 XML 节点被签名，以及哪些属性驱动账号绑定。
3. 比较 SP-initiated 和 IdP-initiated 流程。
4. 测试重放、篡改属性、断言位置混淆。
5. 测试未签名断言是否被接受。
6. 测试被签名的节点是否正确，排查错误节点被签名（wrong node signed）。
7. 测试 signature wrapping，即签名包装/断言包装攻击。
8. 测试 Audience 校验是否薄弱。
9. 测试 Recipient 校验是否薄弱。
10. 测试 Destination 校验是否薄弱。
11. 测试 ACS 校验是否薄弱。
12. 测试是否接受错误 IdP。
13. 测试多租户 issuer 混淆。
14. 测试缺失 InResponseTo 时是否接受或处理不当。
15. 测试 NotBefore 的强制校验是否薄弱。
16. 测试 NotOnOrAfter 的强制校验是否薄弱。
17. 测试仅基于 email 绑定账号。
18. 测试大小写折叠（case folding）导致的账号映射问题。
19. 测试未验证属性被用于账号映射。
20. 测试 SAML 文档相关的 XML 解析器是否存在 XXE-like 问题。
21. 测试 SAML 文档周边是否存在不安全 transforms。
22. 需要 XML parser 攻击深度时，参考 xxe-xml-external-entity 技能：`../xxe-xml-external-entity/SKILL.md`。
23. 需要 OAuth 或 OIDC SSO 替代方案时，参考 oauth-oidc-misconfiguration 技能：`../oauth-oidc-misconfiguration/SKILL.md`。
24. 需要 SSO 后的认证边界问题，参考 authbypass-authentication-flaws 技能：`../authbypass-authentication-flaws/SKILL.md`。

适用边界 · 注意事项

• 目标不使用 SAML 类 SSO 时不要使用。
• 没有 SAML 请求/响应、XML 断言或 ACS 端点时不要加载。
• 登录流程只涉及 OAuth/OIDC 且无 SAML 断言语义时，应改用 OAuth/OIDC 相关技能。