jugular

Verwenden Sie Jugs, um nach CUPS zu suchen: ein ultraschneller UDP-Sender, der versucht, lauschende cups-browsed-Prozesse zu einem HTTP-Callback zu bewegen.

Dies ist ein Hochleistungsscanner, der UDP-Pakete direkt an das Netzwerk sendet.

Installation (Ubuntu oder ähnlich)

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... oder laden Sie das Linux-x64-Binary von den Builds herunter

Verwendung

1. Erteilen Sie jugular die erforderlichen Netzwerkberechtigungen

Erlauben Sie jugular, sich an niedrige Ports zu binden und auf Raw-Sockets zuzugreifen, ohne als root ausgeführt zu werden (dies müssen Sie nur einmal tun):

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. Starten Sie den jugular-Hörserver, einen einfachen HTTP-Server, der auf alle Anfragen mit 404 antwortet, aber die Anfrageheader in JSON-Dateien im aktuellen Arbeitsverzeichnis speichert – Sie können bei Bedarf etwas anderes verwenden

jugular listen --bind 0.0.0.0:80

3. Beginnen Sie, CUPS-Instanzen zu provozieren, indem Sie UDP-Pakete senden, die einen Drucker ankündigen. Hinweis: Das Scannen des Internets befindet sich in einer rechtlichen Grauzone, seien Sie also vorsichtig. Wenn Sie für die IT-Sicherheit Ihres Unternehmens zuständig sind, können Sie es natürlich intern verwenden.

Führen Sie jugular aus und führen Sie den Scan durch:

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

Da diese Software aus Leistungsgründen ihre eigenen Pakete direkt an ein ausgehendes Netzwerk erstellt und sendet, müssen Sie Ihre eigene korrekte Maschinen-IP-Adresse angeben (führen Sie ip addr aus, um sie zu finden). Die entfernten Instanzen müssen in der Lage sein, zur URL zurückzurouten, die Sie in diesem Parameter angegeben haben.

Testen Sie lokal, bevor Sie auf die Jagd gehen, und denken Sie bitte daran, dass diese Software Ihre NAT-Firewall und andere Geräte überlasten kann (verwenden Sie die Verzögerungsoption).

BITTE BEACHTEN SIE Es gibt eine Verzögerung von bis zu 300 Sekunden, nachdem CUPS die Nachricht empfangen hat, bis es die von Ihnen angegebene URL kontaktiert. Dies liegt an einer fest codierten Wartezeit in der CUPS-Software. Sie können auch endlose Benachrichtigungen auslösen, da einige CUPS-Server nicht aufhören, sich mit der URL zu verbinden, selbst nachdem sie eine Fehlerantwort erhalten haben.

EMPFOHLENE BEHEBUNGEN

Wählen Sie eine oder mehrere ... (für Ubuntu, YMMV bei anderen - ich habe ufw aktualisiert und aktiviert)

Auf einer aktuellen Distribution (Ubuntu und andere) reicht es aus, CUPS zu aktualisieren, es wird dann für Sie neu konfiguriert!

• sudo apt update
• sudo apt upgrade (Paket "cups" sollte unter den zu aktualisierenden aufgeführt sein)

CUPS behalten, aber Firewall aktivieren. Dadurch wird unerwünschter Fernzugriff auf CUPS deaktiviert (seien Sie vorsichtig, wenn Sie remote sind):

• sudo ufw allow ssh (falls benötigt, kann auch http, https usw. sein)
• sudo ufw enable (Firewall aktivieren)

Sie können CUPS entfernen, wenn Sie nicht drucken:

• sudo apt remove cups

CUPS behalten, aber anhalten und deaktivieren:

• sudo systemctl disable --now cups

Wenn Sie interessante Ergebnisse erzielen, würde ich mich freuen, davon zu hören.

Andere Implementierungen:

• https://github.com/MalwareTech/CVE-2024-47176-Scanner von MalwareTech