FUSE

FUSE एक पेनिट्रेशन टेस्टिंग सिस्टम है जो अप्रतिबंधित निष्पादन योग्य फ़ाइल अपलोड (UEFU) कमजोरियों की पहचान करने के लिए डिज़ाइन किया गया है। परीक्षण रणनीति का विवरण हमारे पेपर, "FUSE: Finding File Upload Bugs via Penetration Testing" में है, जो NDSS 2020 में प्रकाशित हुआ था। FUSE को कॉन्फ़िगर और निष्पादित करने के तरीके के लिए, निम्नलिखित देखें।

सेटअप

स्थापना

FUSE वर्तमान में Ubuntu 18.04 और Python 2.7.15 पर काम करता है।

1. निर्भरताएँ स्थापित करें

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. FUSE को क्लोन और बनाएँ

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• यदि आप selenium का उपयोग करके हेडलेस ब्राउज़र सत्यापन का लाभ उठाने की योजना बनाते हैं, तो कृपया selenium दस्तावेज़ देखकर Chrome और Firefox वेब ड्राइवर स्थापित करें।

उपयोग

कॉन्फ़िगरेशन

• FUSE एक उपयोगकर्ता-प्रदत्त कॉन्फ़िगरेशन फ़ाइल का उपयोग करता है जो लक्ष्य PHP एप्लिकेशन के लिए पैरामीटर निर्दिष्ट करती है। किसी लक्ष्य वेब एप्लिकेशन का परीक्षण करने से पहले स्क्रिप्ट को भरना होगा। आप README फ़ाइल और उदाहरण कॉन्फ़िगरेशन फ़ाइलें देख सकते हैं।

• फ़ाइल मॉनिटर के लिए कॉन्फ़िगरेशन (वैकल्पिक)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- Web root of the target application
 11 MONITOR_PORT=20174            <- Default port of File Monitor
 12 EVENT_LIST_LIMITATION=8000    <- Maxium number of elements in EVENT_LIST
...

निष्पादन

• FUSE

$ python framework.py [Path of configuration file]

• फ़ाइल मॉनिटर

$ python filemonitor.py

• परिणाम
  • जब FUSE पेनिट्रेशन टेस्टिंग पूरा करता है, तो एक [HOST] निर्देशिका और एक [HOST_report.txt] फ़ाइल बनाई जाती है।
  • एक [HOST] फ़ोल्डर उन फ़ाइलों को संग्रहीत करता है जिन्हें अपलोड करने का प्रयास किया गया है।
  • एक [HOST_report.txt] फ़ाइल में परीक्षण परिणाम और U(E)FU को ट्रिगर करने वाली फ़ाइलों से संबंधित जानकारी होती है।

CVEs

यदि आप FUSE चलाकर UFU और UEFU बग ढूंढते हैं और CVE प्राप्त करते हैं, तो कृपया README.md के लिए PR भेजें।

लेखक

यह शोध परियोजना KAIST में WSP Lab द्वारा संचालित की गई है।

• Taekjin Lee
• Seongil Wi
• Suyoung Lee
• Sooel Son

FUSE का उद्धरण

हमारे पेपर का उद्धरण देने के लिए:

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}