FUSE

FUSE는 제한되지 않은 실행 파일 업로드(UEFU) 취약점을 식별하도록 설계된 침투 테스트 시스템입니다. 테스트 전략에 대한 자세한 내용은 NDSS 2020에 게재된 논문 "FUSE: Finding File Upload Bugs via Penetration Testing"에 있습니다. FUSE를 구성하고 실행하는 방법은 아래를 참조하십시오.

설정

설치

FUSE는 현재 Ubuntu 18.04 및 Python 2.7.15에서 작동합니다.

1. 종속성 설치

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. FUSE 클론 및 빌드

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• Selenium을 사용한 헤드리스 브라우저 확인을 활용하려면 selenium 문서를 참고하여 Chrome 및 Firefox 웹 드라이버를 설치하십시오.

사용법

구성

• FUSE는 대상 PHP 애플리케이션의 매개변수를 지정하는 사용자 제공 구성 파일을 사용합니다. 대상 웹 애플리케이션을 테스트하기 전에 스크립트를 작성해야 합니다. README 파일과 예제 구성 파일을 확인할 수 있습니다.

• 파일 모니터 구성 (선택 사항)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- 대상 애플리케이션의 웹 루트
 11 MONITOR_PORT=20174            <- 파일 모니터의 기본 포트
 12 EVENT_LIST_LIMITATION=8000    <- EVENT_LIST의 최대 요소 수
...

실행

• FUSE

$ python framework.py [구성 파일 경로]

• 파일 모니터

$ python filemonitor.py

• 결과
  • FUSE가 침투 테스트를 완료하면 [HOST] 디렉터리와 [HOST_report.txt] 파일이 생성됩니다.
  • [HOST] 폴더는 업로드가 시도된 파일을 저장합니다.
  • [HOST_report.txt] 파일에는 U(E)FU를 유발하는 파일과 관련된 테스트 결과 및 정보가 포함됩니다.

CVE

FUSE를 실행하여 UFU 및 UEFU 버그를 찾고 CVE를 받은 경우 README.md에 PR을 보내주세요.

저자

이 연구 프로젝트는 KAIST의 WSP Lab에서 수행되었습니다.

• 이택진
• 위성일
• 이수영
• 손수엘

FUSE 인용

논문을 인용하려면:

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}