ClickonceHunter

Strumento rilasciato in combinazione con la presentazione conference Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution presentazione conference / articolo del blog di 0xthirteen e me stesso.

Web scraper in Golang che utilizza sia chromedp che normali richieste HTTP per fare scraping dei motori di ricerca alla ricerca di applicazioni ClickOnce pubblicate. Include il supporto per la rotazione degli IP sorgente dell'API gateway AWS e la possibilità di specificare un proxy HTTP per la risoluzione dei problemi. I motori di ricerca Google e Swisscows sono attualmente supportati per lo scraping.

Crediti

• Mike Felch - per il progetto fireprox che ha permesso una reimplementazione in Golang molto più semplice
• Max Harley - per aver reimplementato la maggior parte di fireprox in Go per essere utilizzato in questo progetto

Utilizzo

Il funzionamento di ClickonceHunter è controllato da config.yml. Ci sono attualmente due modalità in cui l'applicazione può essere eseguita:

• create - fornisci le chiavi di accesso e segrete AWS nella configurazione e ClickonceHunter creerà endpoint dell'API gateway AWS da utilizzare con le tue richieste ai motori di ricerca, poi li pulirà al termine
• provided - crea i tuoi endpoint dell'API gateway AWS manualmente o utilizzando uno strumento come fireprox e inseriscili nei campi awsapigateway all'interno della configurazione

Valori nel file config.yml rilevanti per le richieste ai motori di ricerca includono:

• pages - il numero di pagine da richiedere per ciascuno dei dorks specificati
  • i valori massimi suggeriti sono inclusi in un commento all'interno della configurazione
• iterations - il numero di volte in cui richiedere ogni pagina per ciascuno dei dorks specificati, a volte risultati unici verranno restituiti quando si ruota l'IP sorgente
  • qualsiasi valore oltre 3-5 iterazioni potrebbe essere eccessivo a seconda del caso d'uso
• dorks - ricerche mirate da condurre per il motore di ricerca specificato

Altri valori rilevanti nel file config.yml includono:

• http proxy - non verrà utilizzato alcun proxy se questo valore viene lasciato vuoto e, se valorizzato, tutte le richieste verranno instradate attraverso il proxy specificato ignorando gli avvisi di certificato

Demo

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

Note di implementazione

Lo scraping di Swisscows è stato implementato utilizzando il protocollo Chrome DevTools con il progetto chromedp. Ci sono controlli di integrità simili a CSRF inclusi nelle ricerche effettuate sul motore di ricerca Swisscows, che si presentano sotto forma degli header X-Request-Signature e X-Request-Nonce. Per ogni richiesta dork, viene utilizzato un browser chromium headless per navigare alla pagina iniziale di Swisscows usando la funzione getSwissSecrets(), e viene creato un evento in ascolto con la funzione listenForSwissSecrets() per quando questi header vengono identificati. Gli header vengono poi popolati per la nostra richiesta dork per superare il controllo di integrità.

ClickonceHunter non analizza più i link?!

L'opzione del proxy HTTP è stata aggiunta per aiutare gli utenti a risolvere questo problema per quando i motori di ricerca implementati cambieranno senza dubbio la formattazione delle risposte o gli endpoint API utilizzati per effettuare le richieste. Le PR sono benvenute!

Perché nessun threading però...

Il supporto al multithreading / alle goroutine per le ricerche effettuate non è stato implementato. Ai fini della ricerca di applicazioni ClickOnce pubblicate, non sembrava necessario.