ClickonceHunter

Tool, das in Kombination mit der Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution Konferenzpräsentation / Blogbeitrag von 0xthirteen und mir veröffentlicht wurde.

Golang-Webscraper, der sowohl chromedp als auch normale HTTP-Anfragen nutzt, um Suchmaschinen nach veröffentlichten ClickOnce-Anwendungen zu durchsuchen. Unterstützt die Rotation der Quell-IP über das AWS API Gateway sowie die Angabe eines HTTP-Proxys zur Fehlersuche. Derzeit werden die Suchmaschinen Google und Swisscows zum Scraping unterstützt.

Credits

• Mike Felch – für das fireprox-Projekt, das eine wesentlich einfachere Golang-Neuimplementierung ermöglichte
• Max Harley – für die Neuimplementierung des Großteils von fireprox in Go, um es in diesem Projekt zu verwenden

Usage

Die Funktionalität von ClickonceHunter wird über config.yml gesteuert. Die Anwendung kann derzeit in zwei Modi ausgeführt werden:

• create – AWS-Zugangs- und Secret-Keys in der Konfiguration angeben; ClickonceHunter erstellt dann AWS-API-Gateway-Endpunkte für deine Suchanfragen und räumt sie nach Abschluss wieder auf
• provided – erstelle deine AWS-API-Gateway-Endpunkte manuell oder mit einem Tool wie fireprox und trage sie in die awsapigateway-Felder in der Konfiguration ein

Für Suchmaschinenanfragen relevante Werte in der config.yml-Datei sind:

• pages – die Anzahl der Seiten, die für jeden angegebenen Dork angefordert werden
  • empfohlene Maximalwerte hierfür sind in einem Kommentar in der Konfiguration enthalten
• iterations – die Anzahl der Anforderungen pro Seite für jeden angegebenen Dork; manchmal werden bei Rotation der Quell-IP eindeutige Ergebnisse zurückgegeben
  • alles über 3-5 Iterationen könnte je nach Anwendungsfall übertrieben sein
• dorks – gezielte Suchanfragen für die angegebene Suchmaschine

Weitere relevante Werte in der config.yml-Datei sind:

• http proxy – wenn dieses Feld leer bleibt, wird kein Proxy verwendet; ist es ausgefüllt, laufen alle Anfragen über den angegebenen Proxy und ignorieren Zertifikatswarnungen

Demo

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

Implementierungshinweise

Das Swisscows-Scraping wurde mithilfe des Chrome-DevTools-Protokolls mit dem chromedp-Projekt implementiert. Bei Suchanfragen auf der Suchmaschine Swisscows sind CSRF-ähnliche Integritätsprüfungen enthalten, die in Form der X-Request-Signature- und X-Request-Nonce-Header auftreten. Für jede Dork-Anfrage wird ein Headless-Chromium-Browser verwendet, um mit der Funktion getSwissSecrets() zur Swisscows-Landingpage zu navigieren. Mit der Funktion listenForSwissSecrets() wird ein Listener-Ereignis erstellt, das ausgelöst wird, wenn diese Header identifiziert werden. Die Header werden dann für unsere Dork-Anfrage gesetzt, um die Integritätsprüfung zu bestehen.

ClickonceHunter parst keine Links mehr?!

Die HTTP-Proxy-Option wurde hinzugefügt, um den Nutzern bei der Fehlersuche zu helfen, falls/wenn die implementierten Suchmaschinen zweifellos ihre Antwortformatierung oder die für Anfragen verwendeten API-Endpunkte ändern. PRs sind willkommen!

Warum eigentlich kein Threading...

Multithreading-/Goroutine-Unterstützung für die durchgeführten Suchanfragen wurde nicht implementiert. Für den Zweck, veröffentlichte ClickOnce-Anwendungen zu finden, schien es nicht notwendig.