slsteff/cve-2020-0688-scannerScannt nach Microsoft Exchange-Versionen mit masscan
Dieses Skript scannt eine IP/einen Bereich/ein CIDR und gibt die gefundenen Microsoft Exchange Server und Versionen aus. Der angegebene IP/Bereich/CIDR wird mit masscan auf Port tcp/443 gescannt. Nach erfolgreichem Scan versucht es per HTTP GET "/owa/auth/logon.aspx" mit curl, den Quelltext der Outlook Web Access-Seite abzurufen, um Build-Versionen anzuzeigen.
Auf Small Business Server 2011 mit Exchange Server 2010 SP3 Update Rollup 30 wurde die Version auf "/owa/auth/logon.aspx" nicht aktualisiert. Der Seitenquelltext zeigt die Build-Version "14.3.487" (Exchange Server 2010 SP3 wahrscheinlich CU29, der anfällig ist) anstelle von "14.3.496" (erwähnt von Remy S auf blog.rapid7.com). In diesem Fall versucht das Skript, die folgende Datei abzurufen: "/ecp/14.3.496.0/Scripts/microsoftajax.js". Wenn diese Datei verfügbar ist, ist der Exchange Server nicht anfällig und zum Zeitpunkt dieser Veröffentlichung auf dem neuesten Stand.
Die Ausgabe des Skripts wird mit zusätzlichen Informationen wie DNS-Reverse-Lookup der IP und dem Zertifikatsantragstellernamen angereichert.
masscan von Robert David Graham
Gib die IP / den Bereich / das CIDR mit dem -n-Flag an:
$ ./CVE-2020-0688-Scanner.sh -n <ip/range/cidr>
Aktivieren der Ausführlichkeit mit dem -v-Flag (sehr laut):
$ ./CVE-2020-0688-Scanner.sh -n <ip/range/cidr> -v
$ ./CVE-2020-0688-Scanner.sh -n xxx.xxx.xxx.xxx
$ ./CVE-2020-0688-Scanner.sh -n xxx.xxx.xxx.0/24
$ ./CVE-2020-0688-Scanner.sh -n xxx.xxx.xxx.10-xxx.xxx.xxx.45
$ ./CVE-2020-0688-Scanner.sh -n xxx.xxx.xxx.xxx,xxx.xxx.xxx.10-xxx.xxx.xxx.45,xxx.xxx.xxx.0/19
Scan eines /19-Netzwerks mit mehreren anfälligen Microsoft Exchange Servern.
Ich glaube nicht, dass ich dies in absehbarer Zeit aktualisieren werde; es hat seinen Job gemacht.