NachoVPN 🌮🔒

NachoVPN هو إثبات مفهوم (Proof of Concept) يوضح استغلال عملاء SSL-VPN باستخدام خادم VPN خادع.

يستخدم بنية قائمة على الإضافات بحيث يمكن للمجتمع المساهمة في دعم منتجات SSL-VPN إضافية. وهو يدعم حاليًا العديد من منتجات VPN المؤسسية الشائعة، مثل Cisco AnyConnect وSonicWall NetExtender وPalo Alto GlobalProtect وIvanti Connect Secure.

لمزيد من التفاصيل، راجع مقالة المدونة، وعرض HackFest Hollywood 2024 [الشرائح|الفيديو].

التثبيت

المتطلبات

• Python 3.9 أو أحدث
• Docker (اختياري)
• osslsigncode (لينكس فقط)
• msitools (لينكس فقط)
• python3-netfilter (لينكس فقط)
• git

الإعداد على لينكس

تم بناء NachoVPN واختباره على Ubuntu 22.04.

• ثبّت python3-nftables و nftables

• اختياريًا، استخدم setcap لتجنب الحاجة إلى sudo:

  sudo setcap 'cap_net_raw,cap_net_bind_service,cap_net_admin=eip' /usr/bin/python3.10
  

• فعّل إعادة توجيه IP:

  sudo sysctl -w net.ipv4.ip_forward=1
  

التثبيت من المصدر

يمكن تثبيت NachoVPN من GitHub باستخدام pip. لاحظ أن هذا يتطلب تثبيت git.

أولاً، أنشئ بيئة افتراضية.

على لينكس، تأكد من أن البيئة الافتراضية لديها إمكانية الوصول إلى site-packages الخاصة بالنظام، حتى يعمل nftables:

python3 -m venv env --system-site-packages
source env/bin/activate

على ويندوز، تكون nftables (وبالتالي إعادة توجيه الحزم) معطلة، لذا استخدم:

python -m venv env
.\env\Scripts\activate

ثم ثبّت NachoVPN:

pip install git+https://github.com/AmberWolfCyber/NachoVPN.git

إذا كنت تفضل استخدام Docker، يمكنك سحب الحاوية من GitHub Container Registry:

docker pull ghcr.io/AmberWolfCyber/nachovpn:release

البناء للتوزيع

بناء ملف wheel

أولاً، استنسخ هذا المستودع، وثبّت setuptools و wheel عبر pip. يمكنك بعد ذلك تشغيل السكربت setup.py:

git clone https://github.com/AmberWolfCyber/NachoVPN
pip install -U setuptools wheel
python setup.py bdist_wheel

سيؤدي هذا إلى إنشاء ملف wheel في مجلد dist، والذي يمكن تثبيته باستخدام pip:

pip install dist/nachovpn-1.0.0-py3-none-any.whl

البناء للتطوير المحلي

بدلاً من ذلك، للتطوير المحلي يمكنك تثبيت الحزمة في الوضع القابل للتحرير باستخدام:

pip install -e .

بناء صورة حاوية

يمكنك بناء صورة الحاوية باستخدام الأمر التالي:

docker build -t nachovpn:latest .

التشغيل

لتشغيل الخادم بشكل مستقل، استخدم:

python -m nachovpn.server

بدلاً من ذلك، يمكنك تشغيل الخادم باستخدام Docker:

docker run -e SERVER_FQDN=connect.nachovpn.local -e EXTERNAL_IP=1.2.3.4 -v ./certs:/app/certs -p 80:80 -p 443:443 --rm -it nachovpn

سيؤدي هذا إلى إنشاء شهادة لـ SERVER_FQDN باستخدام certbot، وحفظها في مجلد certs، الذي قمنا بتركيبه داخل الحاوية.

بدلاً من ذلك، ولأغراض الاختبار، يمكنك تخطي إنشاء الشهادة عن طريق تعيين متغير البيئة SKIP_CERTBOT.

سيؤدي هذا إلى إنشاء شهادة موقّعة ذاتيًا بدلاً من ذلك.

docker run -e SERVER_FQDN=connect.nachovpn.local -e SKIP_CERTBOT=1 -e EXTERNAL_IP=1.2.3.4 -p 443:443 --rm -it nachovpn

يتم أيضًا توفير ملف docker-compose كمثال للراحة.

التصحيح

يمكنك تشغيل nachovpn باستخدام وسيطات سطر الأوامر -d أو --debug لزيادة مستوى تفصيل السجلات، مما يساعد في التصحيح.

بدلاً من ذلك، إذا كانت السجلات مزعجة للغاية، يمكنك استخدام وسيطة سطر الأوامر q أو --quiet بدلاً من ذلك.

الإضافات

يدعم NachoVPN الإضافات والإمكانيات التالية:

الإضافة	المنتج	CVE	RCE على ويندوز	RCE على macOS	صلاحيات مميزة	معالج URI	التقاط الحزم	عرض توضيحي
Cisco	Cisco AnyConnect	N/A	✅	✅	❌	❌	✅	ويندوز / macOS
SonicWall	SonicWall NetExtender	CVE-2024-29014	✅	❌	✅	✅	❌	ويندوز
PaloAlto	Palo Alto GlobalProtect	CVE-2024-5921 (إصلاح جزئي)	✅	✅	✅	❌	✅	ويندوز / macOS / iOS
PulseSecure	Ivanti Connect Secure	CVE-2020-8241 (تم تجاوزه)	✅	✅	✅	✅ (ويندوز فقط - معطّل افتراضيًا في 22.8R1)	✅	ويندوز
Netskope	Netskope	CVE-2025-0309	✅	❌	✅	❌	❌	ويندوز
Delinea	Protocol Handler	CVE-2026-????	✅	✅	❌	✅	❌	ويندوز

معالجات URI

• يمكن تشغيل معالج URI الخاص بـ Ivanti Connect Secure (Pulse Secure) بزيارة الرابط /pulse على خادم NachoVPN.
• يمكن تشغيل معالج URI الخاص بـ SonicWall NetExtender بزيارة الرابط /sonicwall على خادم NachoVPN. يتطلب ذلك تثبيت SonicWall Connect Agent على جهاز العميل.
• يمكن تشغيل معالج URI الخاص بـ Delinea بزيارة الرابط /delinea على خادم NachoVPN.

ملاحظات التشغيل

• يُوصى باستخدام شهادة TLS موقعة من مرجع شهادات موثوق. تقوم حاوية Docker بأتمتة هذه العملية نيابةً عنك باستخدام certbot. إذا لم تستخدم شهادة موثوقة، فسيقوم NachoVPN بتوليد شهادة موقّعة ذاتيًا بدلاً من ذلك، الأمر الذي سيؤدي في معظم الحالات إما إلى ظهور تحذير شهادة للعميل، أو رفض الاتصال ما لم تعدّل إعدادات العميل لقبول الشهادات الموقّعة ذاتيًا. بالنسبة لإضافة Palo Alto GlobalProtect، سيؤدي هذا أيضًا إلى فشل مثبّت MSI.
• من أجل محاكاة شهادة توقيع كود صالحة لإضافة SonicWall، سيقوم NachoVPN بتوقيع الحمولة NACAgent.exe بشهادة موقّعة ذاتيًا. لأغراض الاختبار، يمكنك تنزيل وتثبيت شهادة المرجع المصدق (CA) هذه من /sonicwall/ca.crt قبل تشغيل الاستغلال. لحالات الاستخدام في الإنتاج، ستحتاج إلى الحصول على شهادة توقيع كود صالحة من مرجع مصدق عام، وتوقيع الحمولة NACAgent.exe الخاصة بك، ووضعها في مجلد payloads (أو تركيبها كوحدة تخزين في /app/payloads، إذا كنت تستخدم Docker).
• للراحة، يتم توليد حمولة NACAgent.exe افتراضية لإضافة SonicWall، وكتابتها في مجلد payloads. تقوم هذه الحمولة ببساطة بتشغيل عملية cmd.exe جديدة على سطح مكتب المستخدم الحالي، بصلاحيات SYSTEM.
• تتطلب إضافة Palo Alto GlobalProtect وجود مثبتات MSI وملف msi_version.txt في مجلد downloads. يمكنك إضافتها يدويًا، أو تشغيل السكربت msi_downloader.py لتنزيلها.
• لتنفيذ هجوم تخفيض الإصدار (downgrade) على Palo Alto GlobalProtect، تأكد من وجود GlobalProtect.msi.old و GlobalProtect64.msi.old في مجلد downloads. يجب أن تحتوي هذه الملفات على مثبتات MSI غير معدّلة لإصدار أقدم من 6.2.6 (مثل 6.2.5).

تعطيل إضافة

لتعطيل إضافة، أضفها إلى متغير البيئة DISABLED_PLUGINS. على سبيل المثال:

DISABLED_PLUGINS=CiscoPlugin,SonicWallPlugin

متغيرات البيئة