FUSE

FUSE — это система тестирования на проникновение, предназначенная для выявления уязвимостей, связанных с неограниченной загрузкой исполняемых файлов (UEFU). Подробности стратегии тестирования описаны в нашей статье «FUSE: Finding File Upload Bugs via Penetration Testing», опубликованной на NDSS 2020. Инструкции по настройке и запуску FUSE приведены ниже.

Настройка

Установка

В настоящее время FUSE работает на Ubuntu 18.04 и Python 2.7.15.

1. Установите зависимости

# apt-get install rabbitmq-server
# apt-get install python-pip
# apt-get install git

2. Клонируйте и соберите FUSE

$ git clone https://github.com/WSP-LAB/FUSE
$ cd FUSE && pip install -r requirements.txt

• Если вы планируете использовать верификацию с headless-браузером через selenium, установите драйверы Chrome и Firefox, следуя документации selenium.

Использование

Конфигурация

• FUSE использует предоставленный пользователем файл конфигурации, в котором задаются параметры для целевого PHP-приложения. Скрипт необходимо заполнить перед тестированием целевого веб-приложения. Вы можете ознакомиться с README и примерами файлов конфигурации.

• Конфигурация File Monitor (опционально)

$ vim filemonitor.py

...
 10 MONITOR_PATH='/var/www/html/' <- Корневая веб-директория целевого приложения
 11 MONITOR_PORT=20174            <- Порт по умолчанию для File Monitor
 12 EVENT_LIST_LIMITATION=8000    <- Максимальное количество элементов в EVENT_LIST
...

Выполнение

• FUSE

$ python framework.py [Путь к файлу конфигурации]

• File Monitor

$ python filemonitor.py

• Результат
  • После завершения тестирования на проникновение создаются директория [HOST] и файл [HOST_report.txt].
  • В папке [HOST] хранятся файлы, которые были попытаны загрузить.
  • Файл [HOST_report.txt] содержит результаты тестирования и информацию о файлах, вызывающих U(E)FU.

Уязвимости (CVE)

Если вы нашли ошибки UFU и UEFU и получили CVE, запустив FUSE, отправьте PR в README.md

Авторы

Данный исследовательский проект выполнен WSP Lab в KAIST.

• Taekjin Lee
• Seongil Wi
• Suyoung Lee
• Sooel Son

Цитирование FUSE

Для цитирования нашей статьи:

@INPROCEEDINGS{lee:ndss:2020,
    author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},
    title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},
    booktitle = {Proceedings of the Network and Distributed System Security Symposium},
    year = 2020
}