CakeFuzzer

Última versión: 1.0
Licencia: GNU GPL v3.0

Cake Fuzzer es un proyecto diseñado para ayudar a descubrir vulnerabilidades de forma automática y continua en aplicaciones web creadas sobre frameworks específicos, con una tasa muy limitada de falsos positivos. Actualmente está implementado para dar soporte al framework Cake PHP.

Si deseas conocer más sobre el proceso de investigación, consulta esta serie de artículos: Investigación en Ciberseguridad de Aplicaciones CakePHP

🏆 Errores reportados 🏆

A continuación se muestra una lista de algunos de los errores descubiertos por Cake Fuzzer:

Título	Severidad	Enlace
Inyección SQL ciega en Cerebrate	9.8 Crítico	https://zigrin.com/advisories/cerebrate-blind-sql-injection/
Inyección SQL en el componente CRUD	8.8 Alto	https://zigrin.com/advisories/misp-sql-injection-in-crud-component/
XSS basado en DOM	6.1 Medio	https://zigrin.com/advisories/misp-dom-based-xss/
Inyección SQL ciega en el parámetro order	8.8 Alto	https://zigrin.com/advisories/misp-blind-sql-injection-in-order-parameter/
Inyección SQL ciega en parámetros de entrada tipo array	8.8 Alto	https://zigrin.com/advisories/misp-blind-sql-injection-in-array-input-parameters/
Inyección SQL basada en tiempo en /Logs/index	7.2 Alto	https://zigrin.com/advisories/misp-time-based-sql-injection-in-logs-index/

Objetivos del proyecto

Los enfoques típicos para descubrir vulnerabilidades mediante herramientas automatizadas en aplicaciones web son:

• Static Application Security Testing (SAST) – Método en el que un escáner detecta vulnerabilidades basándose en el código fuente sin ejecutar la aplicación.
• Dynamic Application Security Testing (DAST) – Método que incorpora un escáner de vulnerabilidades que ataca la aplicación en ejecución e identifica las vulnerabilidades en función de las respuestas de la aplicación.

Ambos métodos tienen desventajas. SAST produce un alto porcentaje de falsos positivos: hallazgos que no son vulnerabilidades o no son explotables. DAST produce menos falsos positivos, pero descubre menos vulnerabilidades debido a la información limitada. También requiere cierto conocimiento de la aplicación y experiencia en seguridad por parte de la persona que ejecuta el escaneo, lo que a menudo implica una configuración de escaneo personalizada por aplicación para que funcione correctamente.

El proyecto Cake Fuzzer pretende combinar las ventajas de ambos enfoques y eliminar las desventajas mencionadas. Este enfoque se denomina Interactive Application Security Testing (IAST).

Los objetivos del proyecto son:

• Crear un proceso automatizado para descubrir vulnerabilidades en aplicaciones basadas en el framework CakePHP.
• No requerir conocimiento previo de la aplicación ni preconfiguración de la misma.
• Obtener resultados con una cantidad mínima o cercana a 0 de falsos positivos.
• Requerir conocimientos mínimos de seguridad para ejecutar el escáner.

Nota: Algunas clases de vulnerabilidades no son el objetivo de Cake Fuzzer, por lo que no podrán ser detectadas. Ejemplos de estas clases son las vulnerabilidades de lógica de negocio y los problemas de control de acceso.

Arquitectura

Vista general

Drawio: Arquitectura de Cake Fuzzer

Cake Fuzzer consta de 3 servidores principales (bastante independientes) que en conjunto permiten realizar pruebas dinámicas de vulnerabilidades en aplicaciones CakePHP.

• AttackQueue - Programación y ejecución de escenarios de ataque.
• Monitors - Monitoreo de entidades dadas (salidas del ejecutor / contenidos de archivos / procesos / errores).
• Registry - Almacenamiento y clasificación de las vulnerabilidades encontradas. Funcionan de forma independiente. AttackQueue puede agregar nuevos escáneres a los Monitors, y los Monitors pueden programar nuevos ataques (por ejemplo, basándose en una vulnerabilidad encontrada para atacar más a fondo la aplicación).

Otros componentes incluyen:

• Fuzzer - define y programa ataques en AttackQueue (sirve como punto de entrada)
• Configuration - configura la información dependiente de la aplicación (por ejemplo, la ruta a la aplicación CakePHP).
• Instrumentation - basándose en la configuración, define los cambios en la aplicación / SO para preparar el terreno para los ataques.

Enfoque

Cake Fuzzer se basa en el concepto de Interactive Application Security Testing (IAST). Contiene un conjunto predefinido de ataques que se modifican aleatoriamente antes de su ejecución. Cake Fuzzer tiene conocimiento de los aspectos internos de la aplicación gracias al framework Cake PHP, por lo que los ataques se lanzarán sobre todos los puntos de entrada posibles de la aplicación.

Durante el ataque, Cake Fuzzer monitorea varios aspectos de la aplicación y del sistema subyacente, como:

• conexión de red,
• sistema de archivos,
• respuesta de la aplicación,
• registros de errores.

Estas fuentes de información permiten a Cake Fuzzer identificar más vulnerabilidades y reportarlas con mayor certeza.

Requisitos

• Aplicación web CakePHP instalada, configurada y en ejecución. Ejemplos de aplicaciones web CakePHP: MISP (https://github.com/MISP/MISP), Cerebrate (https://github.com/cerebrate-project/cerebrate)
• PHP CLI

Entorno de desarrollo usando MISP en máquina virtual VMWare

La siguiente sección describe los pasos para configurar un entorno de desarrollo de Cake Fuzzer donde el objetivo es una versión antigua de MISP v2.4.146, vulnerable a CVE-2021-41326.

Requisitos

• VMWare Workstation (se puede usar otra plataforma de virtualización siempre que admita compartir/montar directorios entre el sistema anfitrión y el invitado).

Pasos

Ejecuta los siguientes comandos en tu sistema operativo anfitrión para descargar una MV de MISP desactualizada:

cd ~/Downloads # O donde quieras almacenar la MV de MISP
wget https://vm.misp-project.org/MISP_v2.4.146@0c25b72/[email protected] -O MISP.zip
unzip MISP.zip
rm MISP.zip
mv VMware/ MISP-2.4.146

Realiza las siguientes acciones en la interfaz gráfica de VMWare para preparar el uso compartido de los archivos de Cake Fuzzer entre tu SO anfitrión y MISP:

1. Abre la máquina virtual en VMWare y ve a > Configuración > Opciones > Carpetas compartidas > Agregar.
2. Monta el directorio donde tienes Cake Fuzzer en tu SO anfitrión y nómbralo cake_fuzzer en la MV.
3. Inicia la MV.
4. Anota la dirección IP que se muestra en la ventana de VMWare después de que MISP arranque completamente.

Ejecuta los siguientes comandos en tu SO anfitrión (reemplaza MISP_IP_ADDRESS con la dirección IP anotada anteriormente):

ssh-copy-id misp@MISP_IP_ADDRESS
ssh misp@MISP_IP_ADDRESS