Die drei Skripte

Sie sind unabhängig voneinander. Führen Sie eines aus oder alle drei - das Regex-Skript übergibt seine Ergebnisse automatisch an die anderen beiden.

Installation

macOS, Linux, Kali, WSL - eine Zeile, ohne Argumente:

curl -fsSL https://raw.githubusercontent.com/vulnersCom/nmap-vulners/master/install.sh | sh

Windows - PowerShell als Administrator:

irm https://raw.githubusercontent.com/vulnersCom/nmap-vulners/master/install.ps1 | iex

Das Installationsprogramm fragt nmap, wo es seine Daten aufbewahrt, kopiert die Skripte und ihre Datendateien dorthin, baut die Skriptdatenbank neu auf und prüft dann, dass --script vulners wirklich auf das gerade Installierte auflöst - nmap bringt ein eigenes vulners.nse mit, und dieses ersetzt es.

# into ~/.nmap, no sudo; the installer prints the NMAPDIR line to add to your profile
curl -fsSL https://raw.githubusercontent.com/vulnersCom/nmap-vulners/master/install.sh | sh -s -- --user

# a specific directory
./install.sh --prefix /usr/local/share/nmap

# a specific release
./install.sh --ref v1.5

# remove everything it installed
./install.sh --uninstall

git clone https://github.com/vulnersCom/nmap-vulners
cd nmap-vulners
./install.sh

nmap -sV --script "$PWD/vulners.nse" <target>

nmap -d2 --script-help probe 2>&1 | grep nse_main.lua

Verwendung

vulners - kein Schlüssel erforderlich

nmap -sV --script vulners [--script-args mincvss=<score>] <target>

Jedes von nmap gemeldete CPE wird nachgeschlagen; jede Schwachstelle wird mit ihrem Wert, der Skala, auf der dieser Wert basiert, und einem Link ausgegeben. Einträge mit bekanntem Exploit sind mit *EXPLOIT* markiert und werden unabhängig vom Schwellenwert angezeigt, denn ein ausgenutzter Fehler mit geringem Schweregrad kann Sie trotzdem kompromittieren.

vulners_enterprise - Vulners-API-Schlüssel

export VULNERS_API_KEY=<token>
nmap -sV --script vulners_enterprise [--script-args mincvss=<score>] <target>

Der Enterprise-Endpunkt antwortet mit CVSS-v3-Metriken und den Exploit-Referenzen, die Vulners gesammelt hat, sodass eine ausgenutzte CVE mit *HAS EXPLOIT* markiert ist und der Exploit selbst daneben aufgeführt wird. Alle CPEs eines Ports reisen in einer Anfrage.

http-vulners-regex - erkennen, was -sV nicht benennen kann

nmap -sV --script http-vulners-regex [--script-args paths={"/"}] <target>

178 Muster bilden HTTP-Header und Seiten-Markup - Server, X-Powered-By, Generator-Tags, Asset-URLs - auf CPEs ab: Webserver, CMS, Frameworks, WordPress-Plugins, JavaScript-Bibliotheken. Was auch immer es findet, wird für den Port veröffentlicht, sodass vulners und vulners_enterprise es im selben Scan nachschlagen.

Skript-Argumente

vulners

vulners_enterprise

http-vulners-regex

Die gesamte Pfadliste reist in einer einzigen HTTP-Pipeline. Eine Datei, die nicht gelesen werden kann, stoppt das Skript, anstatt auf die mitgelieferte Liste zurückzugreifen, sodass ein Tippfehler im Dateinamen einen Scan mit drei Pfaden nicht in einen mit 125 Pfaden verwandeln kann.

Wo der API-Schlüssel aufbewahrt wird

In bevorzugter Reihenfolge:

1. VULNERS_API_KEY in der Umgebung
2. --script-args vulners_enterprise.api_key_file=/absolute/path
3. --script-args vulners_enterprise.api_key=<token>

Die dritte ist bequem und undicht: nmap kopiert seine eigene Befehlszeile in jeden Bericht, sodass das Token im args-Attribut der -oX-Ausgabe und in Ihrer Shell-Historie landet. Das Skript selbst schreibt das Token nirgendwohin, auch nicht in seine Debug-Ausgabe - es gibt einen Regressionstest, der das belegt.

Tokens befinden sich in Ihrem vulners.com-Konto. Ohne ein solches bleibt vulners_enterprise stumm und sendet nichts.

Wie die drei zusammenarbeiten

nmap -sV
   |
   +-- service fingerprint --> port.version.cpe ------------+
   |                                                        |
   +-- http-vulners-regex.nse                               |
         requests the path list in one pipeline             |
         matches headers and bodies against 178 patterns    |
         publishes the CPEs it found for that port ---------+
                                                            |
                                                            v
                                     vulners.nse / vulners_enterprise.nse
                                        one batched request per port
                                        answers cached for the whole scan
                                        sorted by CVSS, exploits marked

Maschinenlesbare Ausgabe

Alles, was die Skripte ausgeben, ist auch strukturiert, sodass die -oX-Ausgabe geparst werden kann, ohne den für Menschen bestimmten Text anzufassen:

<script id="vulners_enterprise">
  <table key="cpe:/a:apache:http_server:2.4.7">
    <table>
      <elem key="id">CVE-2021-44790</elem>
      <elem key="type">cve</elem>
      <elem key="cvss">9.8</elem>
      <elem key="cvss_type">cvss3.1</elem>
    </table>
    <table>
      <elem key="id">EDB-ID:51193</elem>
      <elem key="type">exploitdb</elem>
      <elem key="cvss">9.8</elem>
      <elem key="cvss_type">cvss3.1</elem>
      <elem key="is_exploit">true</elem>
    </table>
  </table>
</script>

Die Schlüssel sind id, type, cvss, cvss_type und is_exploit, wobei letzteres nur bei Einträgen vorhanden ist, die einen haben. Ergebnistabellen sind nach dem CPE benannt, für das sie gefunden wurden. Ein nicht bewertetes Bulletin enthält weder cvss noch cvss_type.

Höfliches Scannen

Ein Netzwerkscan fragt die API weit weniger, als es den Anschein hat:

• jedes CPE eines Ports geht in eine gebündelte Anfrage
• Antworten werden für den gesamten Scan zwischengespeichert, sodass hundert identische Server eine Abfrage kosten, nicht hundert
• auf eine bereits laufende Abfrage wird gewartet, statt sie zu wiederholen
• die Abfrage der 125 Pfade läuft über 5 TCP-Verbindungen statt 126 und fragt komprimierte Seiten an, wo der Server sie anbietet
• ein Rate-Limit oder ein Ausfall stoppt die Anfragen des Scans, anstatt sie pro Host zu wiederholen

Entwicklung

Die Tests, das Hygiene-Gate und CONTRIBUTING.md befinden sich nur im Git-Repository; das Release-Archiv enthält die Skripte und ihre Daten. Drei Gates, alle offline, außer wo angegeben:

nmap -sn -Pn --script ./tests/run.nse --script-args testdir=tests,root=. 127.0.0.1
python3 tests/e2e/run_e2e.py
python3 tools/check.py

110 Unit-Fälle laufen innerhalb von nmap gegen die echten NSE-Bibliotheken; 33 End-to-End-Fälle treiben die echte nmap-Binary gegen einen lokalen Webserver und eine Ersatz-Vulners-API; das Hygiene-Gate hält Geheimnisse, Scan-Ausgaben und Editor-Müll aus dem Baum. python3 tests/e2e/run_e2e.py --live fügt sechs Prüfungen gegen den echten Dienst hinzu. Siehe CONTRIBUTING.md.

FAQ

Nutzt es Schwachstellen aus? Nein. Die Skripte lesen Banner und Seiten und fragen eine Datenbank. Sie gehören zur safe-Kategorie von nmap.

Funktioniert es ohne API-Schlüssel? Ja - vulners und http-vulners-regex benötigen keinen. vulners_enterprise schon.

Warum zeigt eine Schwachstelle cvss2.0, während eine andere cvss3.1 zeigt? Das Label benennt die Skala, auf der der Wert basiert. Vulners liefert das zurück, was die Quelle veröffentlicht hat; ein v2-Wert von 9.3 ist kein v3-Wert von 9.3.

Warum wird ein Eintrag mit niedrigem Wert angezeigt, wenn ich mincvss gesetzt habe? Weil er einen bekannten Exploit hat oder weil die Quelle ihn nie bewertet hat. Beides ist beabsichtigt.

Es wurde nichts auf einem Host gefunden, von dem ich weiß, dass er verwundbar ist. Führen Sie es mit -d2 aus: Die Skripte protokollieren jedes CPE, nach dem sie gefragt haben. Normalerweise hat nmap den Dienst benannt, aber nicht dessen Version, und es gibt keine Version, die nachgeschlagen werden könnte.

Lizenz

Die Skripte sind unter derselben Lizenz lizenziert wie Nmap selbst - siehe LICENSE für die Nmap Public Source License und nmap.org/npsl für deren Bedeutung.

Schwachstellendaten stammen von Vulners und unterliegen deren Bedingungen.

Verwandtes

• vulners.com - die Datenbank hinter diesen Skripten
• vulnersCom/api - der Python-Client
• vulnersCom/burp-vulners-scanner - dieselben Daten in Burp Suite
• nmap.org/book/nse.html - wie NSE-Skripte funktionieren