NachoVPN 🌮🔒

NachoVPN 是一个概念验证（Proof of Concept）项目，演示了如何通过恶意 VPN 服务器利用 SSL-VPN 客户端。

它采用基于插件的架构，使社区能够为更多 SSL-VPN 产品贡献支持。目前支持多种流行的企业 VPN 产品，例如 Cisco AnyConnect、SonicWall NetExtender、Palo Alto GlobalProtect 和 Ivanti Connect Secure。

有关更多详细信息，请参阅我们的博客文章，以及 HackFest Hollywood 2024 演讲[幻灯片|视频]。

安装

先决条件

• Python 3.9 或更高版本
• Docker（可选）
• osslsigncode（仅限 Linux）
• msitools（仅限 Linux）
• python3-netfilter（仅限 Linux）
• git

Linux 安装

NachoVPN 在 Ubuntu 22.04 上构建和测试。

• 安装 python3-nftables 和 nftables

• 可选：使用 setcap 以避免 sudo 要求：

  root@kitploit:~

  sudo setcap 'cap_net_raw,cap_net_bind_service,cap_net_admin=eip' /usr/bin/python3.10
  

• 启用 IP 转发：

  root@kitploit:~

  sudo sysctl -w net.ipv4.ip_forward=1
  

从源码安装

NachoVPN 可以使用 pip 从 GitHub 安装。请注意，这需要安装 git。

首先，创建一个虚拟环境。

在 Linux 上，请确保虚拟环境可以访问系统 site-packages，以便 nftables 正常工作：

python3 -m venv env --system-site-packages
source env/bin/activate

在 Windows 上，nftables（以及数据包转发）处于禁用状态，因此请使用：

python -m venv env
.\env\Scripts\activate

然后，安装 NachoVPN：

pip install git+https://github.com/AmberWolfCyber/NachoVPN.git

如果您更喜欢使用 Docker，则可以从 GitHub Container Registry 拉取容器：

docker pull ghcr.io/AmberWolfCyber/nachovpn:release

构建分发版本

构建 wheel 文件

首先，克隆此仓库，并通过 pip 安装 setuptools 和 wheel。然后即可运行 setup.py 脚本：

git clone https://github.com/AmberWolfCyber/NachoVPN
pip install -U setuptools wheel
python setup.py bdist_wheel

这将在 dist 目录中生成一个 wheel 文件，可以使用 pip 安装：

pip install dist/nachovpn-1.0.0-py3-none-any.whl

构建用于本地开发

另外，对于本地开发，您可以使用以下命令以可编辑模式安装软件包：

pip install -e .

构建容器镜像

您可以使用以下命令构建容器镜像：

docker build -t nachovpn:latest .

运行

要以独立模式运行服务器，请使用：

python -m nachovpn.server

或者，您可以使用 Docker 运行服务器：

docker run -e SERVER_FQDN=connect.nachovpn.local -e EXTERNAL_IP=1.2.3.4 -v ./certs:/app/certs -p 80:80 -p 443:443 --rm -it nachovpn

这将使用 certbot 为 SERVER_FQDN 生成证书，并将其保存到 certs 目录（我们已将其挂载到容器中）。

另外，出于测试目的，您可以通过设置 SKIP_CERTBOT 环境变量来跳过证书生成。

这样将改为生成自签名证书。

docker run -e SERVER_FQDN=connect.nachovpn.local -e SKIP_CERTBOT=1 -e EXTERNAL_IP=1.2.3.4 -p 443:443 --rm -it nachovpn

为方便起见，还提供了一个示例 docker-compose 文件。

调试

您可以使用 -d 或 --debug 命令行参数运行 nachovpn，以提高日志记录的详细程度，这有助于调试。

另外，如果日志过于冗长，您也可以改用 q 或 --quiet 命令行参数。

插件

NachoVPN 支持以下插件和功能：

URI 处理器

• 可通过访问 NachoVPN 服务器上的 /pulse URL 来触发 Ivanti Connect Secure（Pulse Secure）URI 处理器。
• 可通过访问 NachoVPN 服务器上的 /sonicwall URL 来触发 SonicWall NetExtender URI 处理器。这要求客户端机器上安装了 SonicWall Connect Agent。
• 可通过访问 NachoVPN 服务器上的 /delinea URL 来触发 Delinea URI 处理器。

操作说明

• 建议使用由受信任的证书颁发机构（CA）签发的 TLS 证书。Docker 容器会使用 certbot 自动完成此过程。如果您不使用受信任的证书，NachoVPN 将改为生成自签名证书，在大多数情况下，这会导致客户端弹出证书警告，或拒绝连接，除非您修改客户端设置以接受自签名证书。对于 Palo Alto GlobalProtect 插件，这还会导致 MSI 安装程序失败。
• 为了给 SonicWall 插件模拟有效的代码签名证书，NachoVPN 将使用自签名证书对 NACAgent.exe 载荷进行签名。出于测试目的，您可以在触发漏洞利用之前从 /sonicwall/ca.crt 下载并安装此 CA 证书。对于生产环境用例，您需要从公共 CA 获取有效的代码签名证书，对您的 NACAgent.exe 载荷进行签名，并将其放置在 payloads 目录中（如果使用 docker，则可将其挂载到 /app/payloads）。
• 为方便起见，SonicWall 插件会生成一个默认的 NACAgent.exe 载荷，并写入 payloads 目录。该载荷会在当前用户的桌面上以 SYSTEM 身份生成一个新的 cmd.exe 进程。
• Palo Alto GlobalProtect 插件要求 downloads 目录中存在 MSI 安装程序和 msi_version.txt 文件。您可以手动添加这些文件，或运行 msi_downloader.py 脚本进行下载。
• 要执行 Palo Alto GlobalProtect 降级攻击，请确保 downloads 文件夹中存在 和 。这些文件应包含 的、版本 6.2.6（例如 6.2.5）的 MSI 安装程序。

禁用插件

要禁用某个插件，请将其添加到 DISABLED_PLUGINS 环境变量中。例如：

DISABLED_PLUGINS=CiscoPlugin,SonicWallPlugin

环境变量

NachoVPN 通过环境变量进行配置，这使其易于兼容容器化部署。

全局环境变量：

插件特定环境变量：

缓解措施

我们建议采取以下缓解措施：

• 确保 SSL-VPN 客户端更新到供应商提供的最新版本。
• 大多数 VPN 客户端支持将 VPN 配置文件锁定到特定端点，或使用始终在线（always-on）VPN 模式。应尽可能启用此功能。
• 遗憾的是，在某些情况下，恶意本地用户可以解除此锁定，因此还建议使用基于主机的防火墙规则来限制 VPN 客户端可以通信的 IP 地址。
• 考虑使用应用程序控制策略（如 WDAC）或 EDR 解决方案，以确保 VPN 客户端只能执行经批准的应用程序和脚本。
• 检测 VPN 客户端执行非标准子进程的行为并发出警报。

参考资料

• AmberWolf Blog: NachoVPN
• HackFest Hollywood 2024: Very Pwnable Networks: Exploiting the Top Corporate VPN Clients for Remote Root and SYSTEM Shells, Rich Warren & David Cash [视频]
• BlackHat 2008: Leveraging the Edge: Abusing SSL VPNs, Mike Zusman
• BlackHat 2019: Infiltrating Corporate Intranet Like NSA, Orange Tsai & Meh Chang
• NCC Group: Making New Connections: Leveraging Cisco AnyConnect Client to Drop and Run Payloads, David Cash & Julian Storr
• The OpenConnect Project

贡献

我们欢迎贡献！请提交 Issue 或发起 Pull Request。

如果您有兴趣开发新插件，可以查看 ExamplePlugin 以开始使用。

许可证

NachoVPN 采用 MIT 许可证。有关详细信息，请参阅 LICENSE 文件。