ClickonceHunter

Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution カンファレンスプレゼンテーション / ブログ記事 に合わせて、0xthirteen と私がリリースしたツールです。

公開されている ClickOnce アプリケーションを検索エンジンからスクレイピングするために、通常の HTTP リクエストに加えて chromedp の両方を使用する Golang 製 Web スクレイパーです。AWS API Gateway のソース IP ローテーションと、トラブルシューティング用の HTTP プロキシ指定に対応しています。現在、スクレイピングに対応している検索エンジンは Google と Swisscows です。

クレジット

• Mike Felch - fireprox プロジェクトにより、Golang での再実装がはるかに容易になりました
• Max Harley - このプロジェクトで使用するために fireprox の大部分を Go で再実装してくれました

使用法

ClickonceHunter の機能は config.yml によって制御されます。現在、アプリケーションが実行されるモードは2つあります:

• create - 設定ファイルに AWS アクセスキーとシークレットキーを指定すると、ClickonceHunter が検索エンジンリクエストに使用する AWS API Gateway エンドポイントを作成し、完了後にそれらをクリーンアップします
• provided - AWS API Gateway エンドポイントを手動で、または fireprox のようなツールを使って作成し、設定内の awsapigateway フィールドにそれらを設定します

検索エンジンリクエストに関連する config.yml の値は次のとおりです:

• pages - 指定された各 dork でリクエストするページ数
  • これらの推奨最大値は、設定ファイル内のコメントに含まれています
• iterations - 指定された各 dork について各ページをリクエストする回数。ソース IP をローテーションすると一意の結果が返されることがあります
  • ユースケースによっては、3〜5回を超える反復は過剰になる可能性があります
• dorks - 指定された検索エンジンに対して実行されるターゲット検索

config.yml 内のその他の関連値は次のとおりです:

• http proxy - この値が空白の場合はプロキシは使用されず、設定されている場合はすべてのリクエストが指定されたプロキシを経由し、証明書の警告を無視します

デモ

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

実装メモ

Swisscows のスクレイピングは、chromedp プロジェクトを使用した Chrome DevTools プロトコルを利用して実装されています。Swisscows 検索エンジンで行われる検索には CSRF に似た整合性チェックが含まれており、X-Request-Signature および X-Request-Nonce ヘッダーの形で現れます。各 dork リクエストについて、ヘッドレス Chromium ブラウザーを使用して getSwissSecrets() 関数で Swisscows のランディングページにアクセスし、これらのヘッダーが識別されたときに listenForSwissSecrets() 関数でリッスンイベントを作成します。その後、これらのヘッダーが dork リクエストに設定され、整合性チェックを通過します。

ClickonceHunter がリンクを解析しなくなった?!

HTTP プロキシオプションは、実装されている検索エンジンが必然的にレスポンス形式やリクエストに使用する API エンドポイントを変更した場合に、ユーザーがこの問題をトラブルシューティングできるようにするために追加されました。PR は歓迎します!

なぜスレッド化しないのか...

検索に対するマルチスレッド / goroutine サポートは実装されていませんでした。公開されている ClickOnce アプリケーションを見つけるという目的には、必要ではないと思われたからです。