ClickonceHunter

Ferramenta lançada em conjunto com a Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution apresentação de conferência / post do blog por 0xthirteen e por mim.

Web scraper em Golang que utiliza tanto chromedp quanto requisições HTTP normais para fazer scraping em mecanismos de busca por aplicações ClickOnce publicadas. Inclui suporte para rotação de IP de origem do AWS API Gateway e especificação de um proxy HTTP para solução de problemas. Os mecanismos de busca Google e Swisscows são atualmente suportados para scraping.

Créditos

• Mike Felch - pelo projeto fireprox que permitiu uma reimplementação muito mais fácil em Golang
• Max Harley - por reimplementar a maior parte do fireprox em Go para ser utilizada neste projeto

Uso

A funcionalidade do ClickonceHunter é controlada pelo config.yml. Atualmente, existem dois modos de execução do aplicativo:

• create - forneça as chaves de acesso e secret da AWS no config e o ClickonceHunter criará endpoints do AWS API Gateway para usar com suas requisições ao mecanismo de busca e, em seguida, os limpará ao terminar
• provided - crie seu(s) endpoint(s) do AWS API Gateway manualmente ou usando uma ferramenta como fireprox e preencha-os no(s) campo(s) awsapigateway dentro do config

Valores no arquivo config.yml relevantes para requisições aos mecanismos de busca incluem:

• pages - a quantidade de páginas a serem solicitadas com cada um dos dorks especificados
  • os valores máximos sugeridos para esses estão incluídos em um comentário no config
• iterations - a quantidade de vezes para solicitar cada página para cada um dos dorks especificados; às vezes, resultados únicos serão retornados ao rotacionar o IP de origem
  • qualquer coisa além de 3-5 iterações pode ser excessiva dependendo do seu caso de uso
• dorks - buscas direcionadas a serem realizadas para o mecanismo de busca especificado

Outros valores relevantes no arquivo config.yml incluem:

• http proxy - nenhum proxy será usado se este valor for deixado em branco e, se preenchido, todas as requisições serão roteadas pelo proxy especificado e ignorarão avisos de certificado

Demonstração

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

Notas de Implementação

O scraping do Swisscows foi implementado utilizando o protocolo Chrome DevTools com o projeto chromedp. Existem verificações de integridade semelhantes a CSRF incluídas nas buscas feitas no mecanismo de busca Swisscows, que aparecem na forma dos cabeçalhos X-Request-Signature e X-Request-Nonce. Para cada requisição de dork, um navegador Chromium headless é usado para navegar até a página inicial do Swisscows usando a função getSwissSecrets(), e um evento de escuta é criado com a função listenForSwissSecrets() para quando esses cabeçalhos forem identificados. Os cabeçalhos são então preenchidos para nossa requisição de dork passar na verificação de integridade.

O ClickonceHunter não está mais fazendo parsing de links?!

A opção de proxy HTTP foi adicionada para ajudar os usuários a solucionar isso caso/quando os mecanismos de busca implementados, sem dúvida, mudem a formatação de suas respostas ou os endpoints de API usados para fazer requisições. PRs são bem-vindos!

Mas por que não há threading...

O suporte a multithreading / goroutines para as buscas realizadas não foi implementado. Para o propósito de encontrar aplicações ClickOnce publicadas, não pareceu necessário.