FUSE

FUSE é um sistema de teste de penetração projetado para identificar vulnerabilidades de Upload de Arquivo Executável Irrestrito (UEFU). Os detalhes da estratégia de teste estão em nosso artigo, "FUSE: Finding File Upload Bugs via Penetration Testing", que foi apresentado no NDSS 2020. Para ver como configurar e executar o FUSE, veja a seguir.

Configuração

Instalação

Atualmente, o FUSE funciona no Ubuntu 18.04 e Python 2.7.15.

1. Instalar dependências

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. Clonar e compilar o FUSE

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• Se você planeja utilizar verificação de navegador headless com selenium, instale o driver web do Chrome e do Firefox consultando a documentação do selenium.

Uso

Configuração

• O FUSE utiliza um arquivo de configuração fornecido pelo usuário que especifica parâmetros para uma aplicação PHP alvo. O script deve ser preenchido antes de testar uma aplicação Web alvo. Você pode consultar o arquivo README e os arquivos de configuração de exemplo.

• Configuração para o Monitor de Arquivos (Opcional)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- Web root of the target application
 11 MONITOR_PORT=20174            <- Default port of File Monitor
 12 EVENT_LIST_LIMITATION=8000    <- Maxium number of elements in EVENT_LIST
...

Execução

• FUSE

$ python framework.py [Caminho do arquivo de configuração]

• Monitor de Arquivos

$ python filemonitor.py

• Resultado
  • Quando o FUSE completa o teste de penetração, um diretório [HOST] e um arquivo [HOST_report.txt] são criados.
  • Uma pasta [HOST] armazena arquivos cujo upload foi tentado.
  • Um arquivo [HOST_report.txt] contém os resultados dos testes e informações relacionadas aos arquivos que disparam U(E)FU.

CVEs

Se você encontrar bugs UFU e UEFU e obtiver CVEs ao executar o FUSE, envie um PR para README.md

Autor

Este projeto de pesquisa foi conduzido pelo WSP Lab no KAIST.

• Taekjin Lee
• Seongil Wi
• Suyoung Lee
• Sooel Son

Citando o FUSE

Para citar nosso artigo:

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}