ClickonceHunter

该工具与 Less SmartScreen More Caffeine: ClickOnce (Ab)Use for Trusted Code Execution 会议演讲 / 博客文章 一同发布，作者为 0xthirteen 和我本人。

这是一个 Golang Web 爬虫，同时使用 chromedp 以及普通 HTTP 请求来抓取搜索引擎上已发布的 ClickOnce 应用程序。支持 AWS API Gateway 源 IP 轮换，并可指定 HTTP 代理用于故障排查。目前支持抓取 Google 和 Swisscows 搜索引擎。

致谢

• Mike Felch - 感谢 fireprox 项目，它让 Golang 重实现变得容易得多
• Max Harley - 感谢他将 fireprox 的大部分功能用 Go 重新实现，并用于本项目

用法

ClickonceHunter 的功能由 config.yml 控制。目前应用程序有两种运行模式：

• create - 在配置中提供 AWS 访问密钥和秘密密钥，ClickonceHunter 将创建 AWS API Gateway 端点用于搜索引擎请求，完成后自动清理这些端点
• provided - 手动创建 AWS API Gateway 端点，或使用 fireprox 之类的工具创建，然后在配置的 awsapigateway 字段中填入这些端点

config.yml 文件中与搜索引擎请求相关的值包括：

• pages - 使用每个指定 dork 请求的页面数量
  • 这些值的建议最大值已包含在配置内的注释中
• iterations - 每个指定 dork 请求每个页面的次数，轮换源 IP 时有时会返回独特的结果
  • 根据你的使用场景，超过 3-5 次迭代可能会过度
• dorks - 针对指定搜索引擎执行的目标搜索

config.yml 文件中其他相关值包括：

• http proxy - 如果此值为空则不使用代理；如果填写，所有请求将通过指定代理路由，并忽略证书警告

演示

https://user-images.githubusercontent.com/73311948/195764121-bc924984-82e7-44bf-9474-e7e5923bddb5.mp4

实现说明

Swisscows 抓取是通过 chromedp 项目使用 Chrome DevTools 协议实现的。在 Swisscows 搜索引擎上进行的搜索中包含类似 CSRF 的完整性检查，以 X-Request-Signature 和 X-Request-Nonce 头的形式出现。对于每个 dork 请求，都会使用无头 Chromium 浏览器通过 getSwissSecrets() 函数访问 Swisscows 着陆页，并使用 listenForSwissSecrets() 函数创建监听事件，用于捕获这些头。随后将这些头填充到我们的 dork 请求中，以通过完整性检查。

ClickonceHunter 不再解析链接了？！

添加 HTTP 代理选项是为了帮助用户排查此问题，因为已实现的搜索引擎无疑会改变其响应格式或用于发起请求的 API 端点。欢迎提交 PR！

为什么不用多线程呢……

没有为执行的搜索实现多线程 / goroutine 支持。就寻找已发布的 ClickOnce 应用程序而言，这似乎没有必要。