FUSE

FUSE هو نظام اختبار اختراق مصمم لتحديد ثغرات رفع الملفات القابلة للتنفيذ غير المقيدة (UEFU). تفاصيل استراتيجية الاختبار موجودة في ورقتنا العلمية، بعنوان "FUSE: العثور على ثغرات رفع الملفات عبر اختبار الاختراق"، والتي قُدمت في NDSS 2020. لمعرفة كيفية تكوين وتنفيذ FUSE، انظر ما يلي.

الإعداد

التثبيت

يعمل FUSE حاليًا على Ubuntu 18.04 و Python 2.7.15.

1. تثبيت التبعيات

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. استنساخ وبناء FUSE

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• إذا كنت تخطط لاستخدام التحقق من المتصفح بدون واجهة رسومية باستخدام selenium، فيرجى تثبيت برنامج تشغيل Chrome و Firefox بالرجوع إلى وثيقة selenium.

الاستخدام

الإعدادات

• يستخدم FUSE ملف تكوين يقدمه المستخدم يحدد معلمات لتطبيق PHP مستهدف. يجب ملء البرنامج النصي قبل اختبار تطبيق الويب المستهدف. يمكنك مراجعة ملف README وملفات التكوين النموذجية.

• إعدادات مراقب الملفات (اختياري)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- الدليل الجذر للويب للتطبيق المستهدف
 11 MONITOR_PORT=20174            <- المنفذ الافتراضي لمراقب الملفات
 12 EVENT_LIST_LIMITATION=8000    <- الحد الأقصى لعدد العناصر في EVENT_LIST
...

التنفيذ

• FUSE

$ python framework.py [مسار ملف التكوين]

• مراقب الملفات

$ python filemonitor.py

• النتيجة
  • عند اكتمال اختبار الاختراق بواسطة FUSE، يتم إنشاء دليل [HOST] وملف [HOST_report.txt].
  • يخزن مجلد [HOST] الملفات التي تمت محاولة رفعها.
  • يحتوي ملف [HOST_report.txt] على نتائج الاختبار والمعلومات المتعلقة بالملفات التي تسبب ثغرات U(E)FU.

CVEs

إذا وجدت ثغرات UFU و UEFU وحصلت على CVEs عند تشغيل FUSE، فيرجى إرسال طلب سحب (PR) لـ README.md

المؤلف

تم إجراء هذا المشروع البحثي بواسطة WSP Lab في KAIST.

• تايكجين لي (Taekjin Lee)
• سيونج إيل وي
• سويونج لي
• سوإيل سون

الاستشهاد بـ FUSE

لاستشهاد بورقتنا العلمية:

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}