FUSE

FUSE est un système de test d'intrusion conçu pour identifier les vulnérabilités de téléversement de fichiers exécutables non restreints (UEFU). Les détails de la stratégie de test se trouvent dans notre article, "FUSE: Finding File Upload Bugs via Penetration Testing", présenté à NDSS 2020. Pour savoir comment configurer et exécuter FUSE, voir les sections suivantes.

Configuration

Installation

FUSE fonctionne actuellement sur Ubuntu 18.04 et Python 2.7.15.

1. Installer les dépendances

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. Cloner et construire FUSE

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• Si vous prévoyez d'utiliser la vérification de navigateur headless avec Selenium, veuillez installer le pilote Chrome et Firefox en vous référant à la documentation de Selenium.

Utilisation

Configuration

• FUSE utilise un fichier de configuration fourni par l'utilisateur qui spécifie les paramètres pour une application PHP cible. Le script doit être rempli avant de tester une application Web cible. Vous pouvez consulter le fichier README et les exemples de fichiers de configuration.

• Configuration du moniteur de fichiers (Optionnel)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- Web root of the target application
 11 MONITOR_PORT=20174            <- Default port of File Monitor
 12 EVENT_LIST_LIMITATION=8000    <- Maxium number of elements in EVENT_LIST
...

Exécution

• FUSE

$ python framework.py [Path of configuration file]

• Moniteur de fichiers

$ python filemonitor.py

• Résultat
  • Lorsque FUSE termine le test d'intrusion, un répertoire [HOST] et un fichier [HOST_report.txt] sont créés.
  • Un dossier [HOST] stocke les fichiers qui ont été tentés d'être téléversés.
  • Un fichier [HOST_report.txt] contient les résultats des tests et les informations relatives aux fichiers qui déclenchent U(E)FU.

CVEs

Si vous trouvez des bogues UFU et UEFU et obtenez des CVE en exécutant FUSE, veuillez envoyer une PR pour README.md

Auteur

Ce projet de recherche a été mené par le WSP Lab à KAIST.

• Taekjin Lee
• Seongil Wi
• Suyoung Lee
• Sooel Son

Citation de FUSE

Pour citer notre article :

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}