🔐 SyncShield — Extensão de Navegador para Detecção de CVE-2018-5764

Detecte comandos Rsync inseguros antes que se tornem explorações

Uma extensão de navegador leve e focada em privacidade, desenvolvida como parte do Projeto de Ano Final NWS/129/23B para detetar a ausência da flag --protect-args em comandos Rsync — prevenindo a execução remota de comandos através de CVE-2018-5764.

✅ Funciona totalmente offline
✅ Sem conexões a servidores ou recolha de dados
✅ Digitalização e alertas em tempo real
✅ Foco educativo e em mitigação
✅ Construído para estudantes, administradores de sistemas e entusiastas de segurança

---

👥 Membros da Equipa

N.º	Nome	ID de Aluno	Função e Responsabilidades
1	Muhammad Nur Faiz Bin Ahmad Fauzi	NWS23070251	Gestor de Projeto & Líder de Testes
2	Wan Muhammad Afifuddin Bin Wan Ahmad	NWS23070157	Programador Backend & Funcionalidade
3	Waleed Adam Bin Riza Farouk	NWS23070265	Programador Frontend & UI/UX
4	Roshazne Elia Binti Mohd Roshidi	NWS23070105	Analista de Segurança & Coordenador de Recursos

Supervisor: Sir Amir Hakeem
Turma: Julho 2023 | Curso: CID (Informática e Dados)
Código do Projeto: NWS/129/23B
Submissão: Janeiro de 2025

---

🎯 Visão Geral do Projeto

Rsync é uma ferramenta poderosa para sincronização de ficheiros — mas se mal configurada (especialmente sem --protect-args), pode levar a execução remota de comandos através de nomes de ficheiros ou argumentos especialmente concebidos (CVE-2018-5764).

SyncShield ajuda os utilizadores a:

• ✅ Colar ou carregar comandos/scripts Rsync
• ✅ Detetar instantaneamente padrões inseguros (falta de --protect-args, entradas não entre aspas, etc.)
• ✅ Obter alertas claros e não técnicos e passos de mitigação
• ✅ Aprender práticas seguras de Rsync — sem necessidade de conhecimentos de CLI

⚠️ Âmbito: Focado apenas em CVE-2018-5764 — simples, direcionado e realizável dentro do prazo académico.

---

🎥 Demonstração do Projeto

Veja o SyncShield em ação:

---

🧩 Estrutura do Projeto

SyncShield/
├── docs/       # Código-fonte da Extensão e do Site
│   ├── css   
│   ├── images
│   ├── js
│   ├── extension   # Pasta da Extensão
│   └── index.html   # Código-fonte do Site
├── LICENSE          # Ficheiro da Licença MIT
└── README.md        # Está aqui

---

🌐 Site Oficial do SyncShield

https://syncshield.my

---

🛠️ Funcionalidades Principais

1. Analisador de Argumentos Rsync

Analisa comandos Rsync inseridos pelo utilizador para detetar a ausência de --protect-args — a flag crítica que previne injeção de shell.

2. Deteção de Padrões de Entrada Inseguros

Sinaliza variáveis não entre aspas, metacaracteres de shell e entradas de utilizador não sanitizadas que poderiam desencadear CVE-2018-5764.

3. Alertas em Tempo Real e Avisos de Risco

Fornece feedback visual imediato com:

• Nível de risco (Baixo/Médio/Alto)
• Explicação em linguagem simples
• Resumo do impacto

4. Orientação de Mitigação

Oferece correções acionáveis:

# ❌ Inseguro
rsync -av /src user@host:/dest

# ✅ Seguro
rsync -av --protect-args /src user@host:/dest

---

📖 Utilização

Depois de instalado, pode começar a usar o SyncShield:

1. Abra a Extensão
2. Clique no ícone de Extensões no seu navegador
3. Selecione SyncShield
4. Cole o seu comando Rsync:

rsync -av /src user@host:/dest

5. Execute uma Digitalização
   • Digitalização Local → verifica imediatamente no seu navegador
   • (Opcional) Digitalização Remota → testar contra um servidor (requer URL + token)

---

📦 Guia de Instalação

Siga estes passos para instalar o SyncShield no seu navegador:

1. Descarregue a Extensão
   Obter SyncShield no nosso site

• (Descarregue apenas no nosso site, caso contrário descarregará um ficheiro de extensão desatualizado)

3. Extraia os Ficheiros

   • Descompacte o ficheiro .zip transferido para uma pasta no seu computador.

4. Abra a Página de Extensões do Navegador

   • Chrome / Edge / Brave → Vá a chrome://extensions/
   • Firefox → Vá a about:debugging#/runtime/this-firefox

5. Ative o Modo de Programador

   • Chrome/Edge/Brave: Ative o interruptor no canto superior direito.
   • Firefox: Não é necessário ativar.

6. Carregue a Extensão

   • Chrome/Edge/Brave: Clique em Carregar expandida → Selecione a pasta SyncShield descompactada.
   • Firefox: Clique em Carregar Add-on Temporário → Selecione o ficheiro manifest.json dentro da pasta SyncShield.

7. Instalação Concluída 🎉

   • O SyncShield aparecerá agora na sua lista de extensões e na barra de ferramentas do navegador.

---

📦 Porque é que o Rsync é Importante e Porque é que o SyncShield é Importante

O que é o Rsync?

Rsync é uma ferramenta poderosa usada para copiar e sincronizar ficheiros entre computadores. É popular porque é rápida, eficiente e poupa largura de banda ao transferir apenas as alterações em vez do ficheiro inteiro.

O Problema

Se o Rsync não for usado com cuidado, pode causar problemas sérios:

• Um comando errado pode apagar ficheiros importantes.
• Atacantes podem abusar de servidores Rsync mal configurados para roubar dados.
• Problemas de segurança passados (como CVE-2018-5764) mostraram que o Rsync pode ser explorado se não estiver devidamente protegido.

Porque o SyncShield?

O SyncShield ajuda ao:

• ✅ Verificar comandos Rsync antes de os executar
• ✅ Avisar utilizadores sobre opções perigosas (como --delete ou substituir ficheiros)
• ✅ Dar dicas de segurança para prevenir perda de dados ou ataques

---

🧭 Guia do Utilizador

1. Iniciar o SyncShield

• Inicie o SyncShield a partir do menu de extensões do seu navegador.
• Verá três separadores: Digitalização de Comando, Histórico e Info.
• Separador predefinido: Digitalização de Comando

2. Introduza o Seu Comando Rsync

• Cole ou escreva um comando rsync na caixa Comando Rsync.
• Se o comando for inválido ou incompleto, o SyncShield avisá-lo-á:
  ⚠️ “Isto não parece um comando rsync.”
• Ações:
  • Clique em 🔍 Digitalização Local para analisar padrões inseguros.
  • Clique em ✨ Gerar Seguro para reescrever automaticamente o comando com --protect-args e outras práticas seguras.

3. Construir um Comando (Opcional)

• Não tem a certeza da sintaxe? Use o Construtor de Comandos:
  • Origem: Caminho para os ficheiros de origem (ex: /caminho/para/origem)
  • Destino: Localização de destino (ex: utilizador@servidor:/caminho/para/destino)
  • Opções disponíveis:
    • -a Arquivo
    • -v Verboso
    • -z Comprimir
    • --progress Mostrar progresso
    • --checksum Verificar integridade
• Clique em ⚡ Construir Comando Seguro para gerar automaticamente uma versão segura.

4. Digitalizar com Servidor Remoto (Opcional)

• Valide com um anfitrião remoto (opcional).
• (Esta funcionalidade requer URL + token — utilize apenas com servidores de confiança.)