wsp-lab/fuseEin Penetrationstest-Werkzeug zum Auffinden von Datei-Upload-Fehlern (NDSS 2020)
FUSE ist ein Penetrationstestsystem, das dazu entwickelt wurde, Schwachstellen für uneingeschränkte ausführbare Datei-Uploads (UEFU) zu identifizieren. Die Details der Teststrategie finden Sie in unserem Paper, "FUSE: Finding File Upload Bugs via Penetration Testing", das auf der NDSS 2020 veröffentlicht wurde. Informationen zur Konfiguration und Ausführung von FUSE finden Sie im Folgenden.
FUSE funktioniert derzeit unter Ubuntu 18.04 und Python 2.7.15.
# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git
$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt
FUSE verwendet eine vom Benutzer bereitgestellte Konfigurationsdatei, die Parameter für eine PHP-Zielanwendung festlegt. Das Skript muss vor dem Testen einer Web-Zielanwendung ausgefüllt werden. Sie können die README-Datei und Beispielkonfigurationsdateien einsehen.
Konfiguration für Datei-Monitor (optional)
$ vim filemonitor.py
...
10 MONITOR_PATH='/var/www/html/' <- Web root of the target application
11 MONITOR_PORT=20174 <- Default port of File Monitor
12 EVENT_LIST_LIMITATION=8000 <- Maxium number of elements in EVENT_LIST
...
$ python framework.py [Path of configuration file]
$ python filemonitor.py
Wenn Sie UFU- und UEFU-Fehler finden und CVEs durch Ausführen von FUSE erhalten, senden Sie bitte einen PR für README.md
| Anwendung | CVEs |
|---|---|
| Elgg | CVE-2018-19172 |
| ECCube3 | CVE-2018-18637 |
| CMSMadeSimple | CVE-2018-19419, CVE-2018-18574 |
| CMSimple | CVE-2018-19062 |
| Concrete5 | CVE-2018-19146 |
| GetSimpleCMS | CVE-2018-19420, CVE-2018-19421 |
| Subrion | CVE-2018-19422 |
| OsCommerce2 | CVE-2018-18572, CVE-2018-18964, CVE-2018-18965, CVE-2018-18966 |
| Monstra | CVE-2018-6383, CVE-2018-18694 |
| XE | XEVE-2019-001 |
Dieses Forschungsprojekt wurde von WSP Lab an der KAIST durchgeführt.
Um unser Paper zu zitieren:
@INPROCEEDINGS{lee:ndss:2020,
author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
booktitle = {Proceedings of the Network and Distributed System Security Symposium},
year = 2020
}