CVE-2016-6415-BenignCertain-Monitor

Neuimplementierung von VirtueSecuritys benigncertain-monitor. Hat nicht alle Payload-Optionen des Originals, ersetzt aber die bc-id-Binärdatei durch einen besseren Proof of Concept von Ross Bradley, der bei Bedarf erweitert werden kann.

Credits:

• Original-Monitor geschrieben und gepflegt von VirtueSecurity unter https://github.com/VirtueSecurity/benigncertain-monitor
• Proof-of-Concept-Skript zum Ersetzen der fehlerhaften bc-id-Binärdatei stammt von Ross Bradley unter https://github.com/ross-bradley/benign-certain

$ git clone https://github.com/3ndG4me/CVE-2016-6415-BenignCertain-Monitor.git
$ cd CVE-2016-6415-BenignCertain-Monitor
$ sudo docker build . -t benign-monitor
$ sudo docker run -it benign-monitor <host>

Der Dienst pollt kontinuierlich den verwundbaren Dienst, extrahiert ASCII-Strings aus dem Speicher, speichert die Strings in einer lokalen SQLite-Datenbank und zeigt die am häufigsten beobachteten Strings an:

Starting monitor against 10.0.6.1
        string  count
0         5$dx      3
1          0(0      3
2         $c{l      3
3       (0"t&j      3
4   R$dkd$hf7!      2
5    %d1N=8$i-      2
6        $c)P0      1
7         1NlD      1
8        1NlD'      1
9       $c)P(0      1
10     $c)P1@_      1

Übersicht

Dies ist ein dockerisiertes Python-Skript, das kontinuierlich Speicher eines Ziels ausliest, das anfällig für den NSA-BENIGNCERTAIN-Cisco-Exploit CVE-2016-6415 ist.

Das Skript pollt den verwundbaren Dienst im Laufe der Zeit, um wahrscheinliche Passwörter und andere potenziell sensible Informationen zu identifizieren. Dies kann genutzt werden, um über einen Zeitraum hinweg verwertbare Daten zu sammeln, anstatt nur einen Proof-of-Concept-Exploit durchzuführen.

TODO:

• Exploit-Code auf Python3 portieren
• Argumente erweitern, um sie vom Container zum Exploit-Skript durchzureichen, für bessere Optionenanpassungen
• Optional: Payload-Optionen erweitern