ClickonceHunter

Outil publié en combinaison avec la présentation Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution conférence / article de blog par 0xthirteen et moi-même.

Scraper web en Golang qui utilise à la fois chromedp ainsi que des requêtes HTTP normales pour extraire des moteurs de recherche les applications ClickOnce publiées. Inclut la prise en charge de la rotation de l'adresse IP source via AWS API Gateway et la possibilité de spécifier un proxy HTTP pour le dépannage. Les moteurs de recherche Google et Swisscows sont actuellement pris en charge pour le scraping.

Crédits

• Mike Felch - pour le projet fireprox qui a permis une réimplémentation en Golang beaucoup plus facile
• Max Harley - pour avoir réimplémenté la majeure partie de fireprox en Go afin de l'utiliser dans ce projet

Utilisation

Les fonctionnalités de ClickonceHunter sont contrôlées par config.yml. Il existe actuellement deux modes dans lesquels l'application peut s'exécuter :

• create - fournissez les clés d'accès et secrètes AWS dans la configuration et ClickonceHunter créera des points de terminaison AWS API Gateway à utiliser avec vos requêtes de moteur de recherche, puis les supprimera une fois terminé
• provided - créez vos points de terminaison AWS API Gateway manuellement ou à l'aide d'un outil comme fireprox et renseignez-les dans les champs awsapigateway de la configuration

Les valeurs du fichier config.yml pertinentes pour les requêtes de moteur de recherche incluent :

• pages - le nombre de pages à demander pour chacun des dorks spécifiés
  • les valeurs maximales suggérées sont incluses dans un commentaire dans la configuration
• iterations - le nombre de fois où chaque page doit être demandée pour chacun des dorks spécifiés ; des résultats uniques peuvent parfois être renvoyés lors de la rotation de l'adresse IP source
  • au-delà de 3 à 5 itérations, cela pourrait être excessif selon votre cas d'utilisation
• dorks - recherches ciblées à effectuer sur le moteur de recherche spécifié

Les autres valeurs pertinentes du fichier config.yml incluent :

• http proxy - aucun proxy ne sera utilisé si cette valeur est laissée vide ; si elle est renseignée, toutes les requêtes passeront par le proxy spécifié et ignoreront les avertissements de certificat

Démo

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

Remarques d'implémentation

Le scraping de Swisscows a été implémenté en utilisant le protocole Chrome DevTools avec le projet chromedp. Le moteur de recherche Swisscows inclut des contrôles d'intégrité de type CSRF dans les recherches, qui se présentent sous la forme des en-têtes X-Request-Signature et X-Request-Nonce. Pour chaque requête de dork, un navigateur chromium sans tête est utilisé pour naviguer vers la page d'accueil de Swisscows à l'aide de la fonction getSwissSecrets(), et un événement d'écoute est créé avec la fonction listenForSwissSecrets() pour le moment où ces en-têtes sont identifiés. Les en-têtes sont ensuite renseignés pour notre requête de dork afin de passer le contrôle d'intégrité.

ClickonceHunter ne parse plus les liens ?!

L'option de proxy HTTP a été ajoutée pour aider les utilisateurs à diagnostiquer ce problème si/quand les moteurs de recherche implémentés changent inévitablement le format de leurs réponses ou les points de terminaison d'API utilisés pour les requêtes. Les PR sont les bienvenues !

Pourquoi pas de threading alors...

La prise en charge du multithreading / des goroutines pour les recherches n'a pas été implémentée. Pour le but de trouver des applications ClickOnce publiées, cela ne semblait pas nécessaire.