FUSE

FUSE è un sistema di penetration testing progettato per identificare vulnerabilità di caricamento di file eseguibili non limitati (UEFU). I dettagli della strategia di test sono descritti nel nostro articolo, "FUSE: Finding File Upload Bugs via Penetration Testing", presentato a NDSS 2020. Per informazioni su come configurare ed eseguire FUSE, consultare le sezioni seguenti.

Setup

Installazione

FUSE funziona attualmente su Ubuntu 18.04 e Python 2.7.15.

1. Installare le dipendenze

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. Clonare e compilare FUSE

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• Se si intende utilizzare la verifica headless del browser tramite selenium, installare i driver web di Chrome e Firefox facendo riferimento alla documentazione di selenium.

Utilizzo

Configurazione

• FUSE utilizza un file di configurazione fornito dall'utente che specifica i parametri per un'applicazione PHP target. Lo script deve essere compilato prima di testare un'applicazione web target. È possibile consultare il file README e i file di configurazione di esempio.

• Configurazione per File Monitor (Opzionale)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- Radice web dell'applicazione target
 11 MONITOR_PORT=20174            <- Porta predefinita di File Monitor
 12 EVENT_LIST_LIMITATION=8000    <- Numero massimo di elementi in EVENT_LIST
...

Esecuzione

• FUSE

$ python framework.py [Percorso del file di configurazione]

• File Monitor

$ python filemonitor.py

• Risultato
  • Al completamento del penetration testing da parte di FUSE, vengono creati una directory [HOST] e un file [HOST_report.txt].
  • La cartella [HOST] memorizza i file che sono stati tentati di caricare.
  • Il file [HOST_report.txt] contiene i risultati dei test e le informazioni relative ai file che innescano U(E)FU.

CVE

Se si trovano bug UFU e UEFU e si ottengono CVE eseguendo FUSE, si prega di inviare una PR per README.md

Autori

Questo progetto di ricerca è stato condotto da WSP Lab presso KAIST.

• Taekjin Lee
• Seongil Wi
• Suyoung Lee
• Sooel Son

Citare FUSE

Per citare il nostro articolo:

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}