Windows Exploit Suggester - Next Generation (WES-NG)

WES-NG ist ein Tool, das auf der Ausgabe des Windows-systeminfo-Dienstprogramms basiert und die Liste der Schwachstellen bereitstellt, für die das Betriebssystem anfällig ist, einschließlich etwaiger Exploits für diese Schwachstellen. Alle Windows-Betriebssysteme zwischen Windows XP und Windows 11, einschließlich ihrer Windows-Server-Gegenstücke, werden unterstützt.

Im BITSADMIN-Blog ist ein ausführlicher Artikel über WES-NG verfügbar: Windows Security Updates for Hackers.

Verwendung

Laden Sie WES-NG mit pip install wesng oder über die folgende Befehlszeile herunter: git clone https://github.com/bitsadmin/wesng --depth 1
Holen Sie die neueste Datenbank der Schwachstellen durch Ausführen des Befehls wes.py --update
Es gibt zwei Optionen, um nach fehlenden Patches zu suchen: a. Starten Sie missingkbs.vbs oder missingkbs.ps1 auf dem Host, um Windows die fehlenden Patches ermitteln zu lassen b. Verwenden Sie das integrierte Windows-Tool systeminfo.exe, um die Systeminformationen des lokalen Systems oder eines entfernten Systems mit systeminfo /S MyRemoteHost zu erhalten, und leiten Sie diese in eine Datei um: systeminfo > systeminfo.txt
Führen Sie WES-NG je nach der in Schritt 3 gewählten Methode aus: a. Mit der Datei missing.txt als Eingabe: wes.py --missing missing.txt (oder wes.py -m missing.txt) b. Mit der Datei systeminfo.txt als Parameter: wes.py systeminfo.txt WES-NG verwendet dann die Datenbank, um zu ermitteln, welche Patches auf das System anwendbar sind und welchen Schwachstellen es derzeit ausgesetzt ist, einschließlich Exploits, sofern verfügbar.
Da die Daten von Microsofts MSRC-Feed häufig unvollständig sind und von wes.py falsch-positive Ergebnisse gemeldet werden, hat @DominicBreuker den Parameter --muc-lookup beigesteuert, um identifizierte fehlende Patches aus der systeminfo.txt-Datei gegen den Microsoft Update-Katalog zu validieren. Stellen Sie außerdem sicher, dass Sie die Seite Eliminating false positives im Wiki lesen, um zu erfahren, wie die Ergebnisse zu interpretieren sind. Eine Übersicht aller verfügbaren Parameter für missingkbs.vbs, missingkbs.ps1 und wes.py finden Sie in CMDLINE.md.

Demo

Gif-Animation, die die Verwendung von Windows Exploit Suggester - Next Generation zeigt

Collector

Dieses GitHub-Repository aktualisiert regelmäßig die Datenbank der Schwachstellen. Durch Ausführen von wes.py mit dem Parameter --update erhalten Sie die neueste Version. Wenn eine manuelle Generierung der .csv-Datei mit Hotfix-Informationen erforderlich ist, verwenden Sie die Skripte aus dem Ordner /collector, um die Datenbank zu kompilieren. Lesen Sie die Kommentare am Anfang jedes Skripts und führen Sie sie in der unten aufgeführten Reihenfolge aus. Die Ausführung dieser Skripte erzeugt definitions.zip. Der WES-NG-Collector bezieht Informationen aus verschiedenen Quellen:

Microsoft Security Bulletin Data: KBs für ältere Systeme [1]
MSRC: Die Microsoft Security Update API des Microsoft Security Response Center (MSRC): Standardinformationsquelle für moderne Microsoft-Updates [2]
NIST National Vulnerability Database (NVD): Ergänzung von Schwachstellen um Exploit-DB-Links [3]
OffSec Exploit-DB [4] Diese werden zu einer einzigen .csv-Datei zusammengeführt, die komprimiert und in diesem GitHub-Repository gehostet wird.

Beweggrund

Ich habe WES-NG entwickelt, weil GDSSecurity's Windows-Exploit-Suggester zwar hervorragend für Betriebssysteme der Windows-XP- und Windows-Vista-Ära funktionierte, aber für Betriebssysteme wie Windows 11 und in den letzten Jahren veröffentlichte Schwachstellen nicht mehr funktioniert. Der Grund dafür ist, dass Microsoft die Microsoft Security Bulletin Data Excel-Datei [1], von der GDSSecurity's Windows-Exploit-Suggester vollständig abhängt, durch die MSRC-API [2] ersetzt hat. Die Microsoft Security Bulletin Data Excel-Datei wurde seit dem ersten Quartal 2017 nicht mehr aktualisiert, sodass neuere Betriebssysteme und Schwachstellen nicht erkannt werden können. Danke @gdssecurity für dieses großartige Tool, das vielen von uns so viele Jahre gedient hat!

Fehler

Fehler können über die Seite Issues gemeldet werden
Bei falsch-positiven Ergebnissen lesen Sie bitte zuerst die Seite Eliminating false positives im Wiki. Falls dies die Anzahl falsch-positiver Ergebnisse nicht wesentlich reduziert, folgen Sie den Schritten auf der Seite Report false positives im Wiki.

Änderungsprotokoll

Siehe CHANGELOG.md

Verbesserungen

Unterstützung für die Ausgabe des Get-SystemInfo-Cmdlets von NoPowerShell hinzufügen
Unterstützung für alternative Ausgabeformate von systeminfo (csv, table) hinzufügen
Weitere Tests zu den gemeldeten falsch-positiven Schwachstellen – siehe auch das wiki