QRGenを使用した悪意のあるQRコード

QRコードは、自動的にスキャンする必要があるものすべてに使用される機械可読データ形式です。製品のパッケージングから航空会社の搭乗券など、あらゆる場所でカスタムQRコードにパックされたエクスプロイトを使用して、一般的な脆弱性を悪用することができます。ハッカーは、脆弱なデバイスを標的とする悪意のあるQRコードを作成するツールQRGenを使用しました。人間はQRコードに含まれる情報をスキャンせずに読み取ったり理解したりすることができないため、QRコード攻撃は強力であり、コードの解読を試みるために使用されるデバイスが、QRコードに含まれるエクスプロイトにさらされる可能性があります。人間は実際にスキャンする前に悪意のあるQRコードを見つけることはできません。特に脆弱なデバイスと組み合わせると、QRコードの比較的大きなペイロードがハッカーに有利に働く可能性があります。 toolQRGenはペイロードを受け取り、Pythonを使用してQRコードにエンコードします。

QRGenには、多くの人気のあるエクスプロイトを含む組み込みライブラリが付属しています。これは、エクスプロイトしようとしているのと同じデバイスに座って、どれが機能するかを見つける時間があれば非常に便利です。 QRコードスキャナーを使用するものを監査しようとしている侵入テスターの場合、同じスキャナーを購入してエクスプロイトを実行するだけで、スキャナーが予期しない動作をするようになる可能性があります。 QRGenで使用可能なペイロードのカテゴリには、スクリプトの実行中に-lフラグと数値を使用してアクセスできます。数とペイロードの種類は以下のとおりです。

• コマンドインジェクション

• フォーマット文字列

• 文字列のファジング

• SQLインジェクション

• ディレクトリトラバーサル

• LFI

• XSS

QRGenをインストールする

QRGenを開始するには、GitHubからリポジトリをダウンロードする必要があります。ターミナルウィンドウで以下のコマンドを実行してください。

git clone https://github.com/h0nus/QRGen
cd QRGen
pip3 install -r requirements.txt

ペイロードタイプから悪意のあるQRコードを生成する

パッキングをインストールした後、次のようにpython3qrgen.pyと入力してスクリプトを実行できます-

まず、フォーマット文字列ペイロードを含むペイロードを作成しましょう。これを行うには、次の引数を指定してQRGenを実行します。

最後に、一連のQRコードが生成され、最後に作成されたコードが自動的に開きます。