ClickonceHunter

Herramienta publicada en combinación con la presentación de conferencia Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution / publicación de blog por 0xthirteen y por mí.

Web scraper escrito en Golang que utiliza tanto chromedp como peticiones HTTP normales para extraer de los motores de búsqueda aplicaciones ClickOnce publicadas. Incluye soporte para la rotación de IP de origen mediante AWS API Gateway y la posibilidad de especificar un proxy HTTP para la resolución de problemas. Actualmente se admiten los motores de búsqueda Google y Swisscows para el scraping.

Créditos

• Mike Felch - por el proyecto fireprox, que permitió una reimplementación en Golang mucho más sencilla
• Max Harley - por reimplementar la mayor parte de fireprox en Go para usarlo en este proyecto

Uso

La funcionalidad de ClickonceHunter se controla mediante config.yml. Actualmente la aplicación puede ejecutarse en dos modos:

• create - proporciona las claves de acceso y secreta de AWS en la configuración y ClickonceHunter creará endpoints de AWS API Gateway para usarlos con tus peticiones a los motores de búsqueda, y luego los eliminará al finalizar
• provided - crea tus endpoints de AWS API Gateway manualmente o con una herramienta como fireprox y complétalos en los campos awsapigateway de la configuración

Los valores del archivo config.yml relevantes para las peticiones a los motores de búsqueda incluyen:

• pages - la cantidad de páginas a solicitar con cada uno de los dorks especificados
  • los valores máximos sugeridos para estos se incluyen en un comentario dentro de la configuración
• iterations - la cantidad de veces que se solicita cada página para cada uno de los dorks especificados; a veces se devuelven resultados únicos al rotar la IP de origen
  • más allá de 3-5 iteraciones podría ser excesivo dependiendo de tu caso de uso
• dorks - búsquedas dirigidas que se realizarán en el motor de búsqueda especificado

Otros valores relevantes del archivo config.yml incluyen:

• http proxy - no se utilizará ningún proxy si este valor se deja en blanco; si se completa, todas las peticiones se enrutarán a través del proxy especificado e ignorarán las advertencias de certificados

Demo

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

Notas de Implementación

El scraping de Swisscows se ha implementado haciendo uso del protocolo Chrome DevTools con el proyecto chromedp. Las búsquedas realizadas en el motor de búsqueda Swisscows incluyen comprobaciones de integridad similares a CSRF, que aparecen en forma de las cabeceras X-Request-Signature y X-Request-Nonce. Para cada petición de dork, se utiliza un navegador chromium sin interfaz gráfica para navegar a la página de inicio de Swisscows mediante la función getSwissSecrets(), y se crea un evento de escucha con la función listenForSwissSecrets() para cuando se identifiquen estas cabeceras. Las cabeceras se completan entonces en nuestra petición de dork para superar la comprobación de integridad.

¿ClickonceHunter ya no analiza enlaces?!

La opción de proxy HTTP se añadió para ayudar a los usuarios a solucionar este problema para cuando los motores de búsqueda implementados, sin duda, cambien el formato de sus respuestas o los endpoints de API utilizados para realizar las peticiones. ¡Se aceptan PRs!

¿Por qué no hay multihilo entonces...

No se implementó soporte de multihilo / goroutines para las búsquedas realizadas. Para el propósito de encontrar aplicaciones ClickOnce publicadas, no parecía necesario.