Taken

الاستيلاء على النطاقات الفرعية باستخدام عناوين IP المرنة المعلقة في AWS والحصول على إثبات مفهوم (POC) عملي للاستيلاء على النطاقات الفرعية.

ما يمكنك فعله بالاستيلاء على النطاقات الفرعية:

• سرقة ملفات تعريف الارتباط (Cookies)، إذا تم تعيين نطاق (domain attribute) للنطاق الفرعي المخترق.
• طلبات CORS، إذا تم تعيين Access-Control-Allow-Origin للنطاق الفرعي المخترق.
• إعادة توجيه OAuth للحصول على رمز التفويض (authorization code)، إذا كان النطاق الفرعي المخترق مدرجًا في القائمة البيضاء.
• سياسات CSP لـ XSS، إذا كانت سياسة CSP تدرج هذا النطاق الفرعي في القائمة البيضاء.
• ClickJacking، إذا كان X-Frame-Options يدرج هذا النطاق الفرعي في القائمة البيضاء.
• رسائل بريد إلكتروني مزيفة (Spoof)، إذا كان سجل SPF يدرج هذا النطاق الفرعي في القائمة البيضاء.

فكرة الأتمتة كالتالي:

• الحصول على النطاقات الفرعية.
• إجراء بحث عكسي (reverse lookup) لحفظ عناوين IP الخاصة بـ AWS فقط.
• إعادة تشغيل مثيل EC2 كل دقيقة، ويتم تدوير عنوان IP العام مع كل إعادة تشغيل. قم بمطابقته مع قائمتك الحالية لعناوين IP الخاصة بالنطاقات الفرعية وستحصل على إثبات مفهوم (POC) عملي للاستيلاء على النطاق الفرعي.
• الإخطار عبر البريد الإلكتروني بمجرد الاستيلاء على نطاق فرعي.

الاستشهاد

يرجى الاستشهاد بهذا البرنامج إذا استخدمته في أوراقك البحثية أو مقالاتك إلخ.

@software{Agrawal_Taken_AWS_Subdomain_2020,
author = {Agrawal, Vaibhav},
month = oct,
title = {{Taken: AWS Subdomain TakeOver at Scale}},
url = {https://github.com/In3tinct/Taken},
version = {1.0},
year = {2020}
}

المتطلبات الأساسية

• حساب AWS
• معرفة بنظام Linux و Bash script

التقنية/الإطار المستخدم

بُني باستخدام

• Bash

الميزات

• جمع النطاقات الفرعية وإجراء بحث عكسي لاستهداف عناوين IP الخاصة بـ AWS فقط.
• تدوير عناوين IP عن طريق إعادة تشغيل مثيل EC2 حتى يتطابق مع أحد عناوين IP في القائمة.
• عند التطابق، يتم إضافة عنوان IP/المُضيف إلى ملف القائمة البيضاء، بحيث لا يتم تدويره مرة أخرى، وإرسال إشعار بالبريد الإلكتروني.

الخطوات التفصيلية للاستخدام

1. إنشاء مثيل واحد t2.medium (جهاز الهجوم)، مجاني 24*365.
2. إنشاء 5-10 مثيلات من نوع t3a.nano، وربما تكون الأقل تكلفة (كلما زاد العدد زادت الفرص ولكن زادت التكاليف حوالي 60 دولارًا شهريًا لـ 10 أجهزة) في منطقة واحدة أو أكثر، يستغرق 5 دقائق، وتكون مجموعة الأمان مفتوحة فقط لعنوان IP العام الخاص بك.
3. إنشاء مفاتيح API لـ AWS لإيقاف/تشغيل المثيلات.
4. الاتصال بـ SSH بجهاز الهجوم الخاص بك.
5. تثبيت أداة الإشعارات البريدية SSMTP. https://www.digitalocean.com/community/questions/how-to-send-emails-from-a-bash-script-using-ssmtp
6. تثبيت أدوات subfinder و sublist3r.py لجمع النطاقات الفرعية. (أو أي أدوات أخرى تريدها ولكن سيتطلب منك إضافتها في script جمع النطاقات الفرعية) اتبع الخطوات لإعداد هذه الأدوات: https://github.com/aboul3la/Sublist3r https://github.com/projectdiscovery/subfinder
7. استنساخ مستودع Taken وفتح جلسة screen لتشغيل script جمع النطاقات الفرعية. إذا كنت لا تعرف كيفية استخدام جلسة screen - https://linuxize.com/post/how-to-use-linux-screen/
8. إنشاء ملف نصي يحتوي على جميع النطاقات التي تريد استهدافها، واحفظه باسم "alldomains" في نفس الدليل، ثم قم بتشغيل script جمع النطاقات الفرعية. يستخدم هذا البرنامج النصي subfinder و sublist3r.py. سينشئ هذا قائمة بجميع النطاقات الفرعية لواحد أو أكثر من النطاقات بتنسيق "subdomain:IP" في كل سطر. والتي سيتم استخدامها لاحقًا للمطابقة والإخطار.
9. افتح جلسة screen أخرى وقم بتصدير بيانات اعتماد AWS في تلك الجلسة. تصدير مفاتيح AWS. export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE مفتاح الوصول لحساب AWS الخاص بك.
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY مفتاح الوصول السري لحساب AWS الخاص بك.
   قم بتشغيل script الاستيلاء في جلسة screen مختلفة. يمكنك أيضًا تشغيله لكل منطقة في جلسة screen مختلفة (انظر لقطة الشاشة أدناه).
   السبب - كل منطقة في AWS لها شبكات فرعية مختلفة لعناوين IP. لاستهداف الشركات الموجودة في الولايات المتحدة، هناك احتمالات كبيرة أنها تعمل في أي من مناطق الولايات المتحدة، ولكن قد يكون لديها أيضًا أصول في مناطق أخرى مثل أيرلندا وفرانكفورت إلخ. لذا بدلاً من تشغيل 10 أصول في منطقة واحدة، حاول تشغيل 5 أصول في المنطقة التي يقع فيها مقر الشركة و 5 أخرى في مناطق مختلفة.

مثال على جلسة screen:

الإخطار البريد الإلكتروني:

تم الاستيلاء على نطاق فرعي، ماذا بعد - اتصل بـ SSH بهذا المضيف، وأنشئ ملف HTML بسيط وابدأ خادم Python وستحصل على إثبات مفهوم (POC) قيد التشغيل. (أخطط لأتمتة هذا أيضًا في الإصدار التالي)

التشغيل على نطاق واسع

قمت بجمع جميع البرامج العامة في HackerOne و Bugcrowd وأفضل 500 شركة SaaS من Forbes/SaaS، وجمعت نطاقاتها الفرعية وبدأت الهجوم. خلال 24 ساعة تمكنت من الاستيلاء على 3 نطاقات فرعية. إجمالي المثيلات قيد التشغيل 10 في 3 مناطق مختلفة. يعتمد معدل النجاح بشكل كبير على عدد المثيلات قيد التشغيل. نظرًا لأن البرنامج النصي يغير حوالي 1440 عنوان IP في 24 ساعة، فإن ذلك سيجعل حوالي 14400 عنوان IP مع 10 مثيلات في 24 ساعة.

المراجع

الأدوات المستخدمة لجمع النطاقات الفرعية: https://github.com/projectdiscovery/subfinder
https://github.com/aboul3la/Sublist3r

المساهمة

• الإبلاغ عن الأخطاء.
• اقتراحات للتحسين.
• اقتراحات للتوسعات المستقبلية.

التوسعات المستقبلية

• إنشاء مثيلات EC2 باستخدام نفس البرنامج النصي.
• إضافة نشر تلقائي لخدمة HTTP باستخدام AWS Beanstalk.

الترخيص

رخصة GNU V3 © [In3tinct]