Benutzerhandbuch für den Cisco IOS XE Device Scanner CVE-2023-20198-Scanner

Dies ist ein Webshell-Fingerprinting-Scanner, der entwickelt wurde, um Implantate auf Cisco IOS XE WebUIs zu identifizieren, die von CVE-2023-20198 und CVE-2023-20273 betroffen sind. Dieses Python-Skript überprüft kompromittierte Cisco IOS XE-Geräte, indem es HTTP- und HTTPS-Anfragen sendet. Es unterstützt mehrere Möglichkeiten zur Angabe von Ziel-IPs und bietet Threading für schnellere Scans.

ChangeLog

• Neue Authentifizierungs-NGINX-Konfigurationsdatei hinzugefügt, basierend auf dem Talos Security-Blog
• Erklärung zur Funktionalität des LUA-Konfigurationsskripts hinzugefügt.
• CURL-Befehl aus dem Talos-Blog sowie den von Talos Security bereitgestellten Authorization-HEX-Wert hinzugefügt.

Einige Dinge, die Sie mit diesem Skript tun können:

• Einzelne IP scannen
• Liste von IPs scannen (Geben Sie eine Datei an, in der jede IP in einer neuen Zeile steht, und übergeben Sie sie als Argument)
• CIDR-Bereich scannen
• Benutzerdefinierten User-Agent festlegen
• Neue IoCs (Indicators of Compromise) in der Antwort (response.text) über eine Datei angeben (IOCS.txt ist die Standarddatei. Stellen Sie sicher, dass jede IoC in einer neuen Zeile steht.) *Bekannte IoCs werden regelmäßig aktualisiert, falls neue bekannt werden. Alle aktuellen IoCs sind bereits direkt im Code implementiert, um Klarheit zu schaffen.
• Möglichkeit, einen Proxy für Scans anzugeben
• Gleichzeitige Verarbeitung für Geschwindigkeit und Effizienz.
• Ratenbegrenzung
• Protokollierung kompromittierter Hosts.
• Visuelle Kennzeichnung potenziell kompromittierter Hosts im Vergleich zu "sauberen" Hosts. - Dies ist keine Garantie und basiert ausschließlich auf den bekannten IoCs.

Requirements

• Python 3.x
• Erforderliche Python-Pakete: requests, termcolor, tqdm

Installieren Sie die erforderlichen Python-Pakete mit pip, falls Sie dies noch nicht getan haben:

pip install requests termcolor tqdm

Usage

Das Skript bietet mehrere Befehlszeilenoptionen für Flexibilität:

--target_file

Geben Sie eine Datei an, die eine Liste von Cisco IOS XE-Geräte-IPs oder Hostnamen enthält. Die IPs oder Hostnamen sollten jeweils in einer eigenen Zeile aufgeführt sein.

Beispiel:

python iosxe-scanner.py --target_file targets.txt

--cidr

Geben Sie einen zu scannenden CIDR-Bereich an. Das Skript generiert alle IPs im angegebenen Bereich und scannt sie.

Beispiel:

python iosxe-scanner.py --cidr 192.168.1.0/24

--ip

Geben Sie eine einzelne IP zum Scannen an.

Beispiel:

python iosxe-scanner.py --ip 192.168.1.1

--user_agent

Setzen Sie einen benutzerdefinierten User-Agent-Header für die HTTP-Anfragen. Der Standardwert ist CISCO-IOS-Shell-Scanner-cisco-sa-iosxe-webui-privesc-j22SaA4z.

Beispiel:

python iosxe-scanner.py --user_agent "MyCustomUserAgent"

--rate_limit

Legen Sie eine Ratenbegrenzung in Sekunden zwischen den Anfragen fest. Der Standardwert beträgt 1 Sekunde.

Beispiel:

python iosxe-scanner.py --rate_limit 0.5

--proxy

Geben Sie einen HTTP-Proxy an, der für Anfragen verwendet werden soll.

Beispiel:

python iosxe-scanner.py --proxy http://127.0.0.1:8080

--iocs_file

Geben Sie eine Datei mit Indicators of Compromise (IoCs) an, nach denen im Antworttext gesucht werden soll. Der Standardwert ist IOCS.txt.

Beispiel:

python iosxe-scanner.py --iocs_file custom_iocs.txt

Examples

Liste von Zielen aus einer Datei mit einer Ratenbegrenzung von 0,5 Sekunden scannen

python iosxe-scanner.py --target_file targets.txt --rate_limit 0.5

CIDR-Bereich mit einem Proxy scannen

python iosxe-scanner.py --cidr 192.168.1.0/24 --proxy http://127.0.0.1:8080

Einzelne IP mit einem benutzerdefinierten User-Agent scannen

python iosxe-scanner.py --ip 192.168.1.1 --user_agent "MyCustomUserAgent"

Scannen mit einer benutzerdefinierten IoCs-Datei

python iosxe-scanner.py --iocs_file custom_iocs.txt

Notes

• Dieses Skript deaktiviert die SSL-Zertifikatsprüfung für HTTPS-Anfragen. Verwenden Sie diese Funktion mit Vorsicht.
• Dieses Skript wird "wie besehen" OHNE GEWÄHRLEISTUNG bereitgestellt. VERWENDUNG AUF EIGENES RISIKO!
• Die Verwendung dieses Skripts kann in Ihrem Land oder Ihrer Gerichtsbarkeit illegal sein. Obwohl es nur einfache HTTP(S)-Anfragen stellt und auf bestimmte Antworten prüft, liegt es an Ihnen, festzustellen, ob die Nutzung rechtlich/ethisch vertretbar und angemessen ist. SEIEN SIE KEIN IDIOT.

Wenn Sie dieses Skript nützlich finden, können Sie mich gerne wissen lassen oder mir auf Twitter(𝕏) folgen https://twitter.com/shadow0pz