Escanear IoCs de CVE-2023-4966

Script: check-cve-2023-4966.py

El script busca en los registros de Citrix NetScaler posibles indicios de explotación de CVE-2023-4966.

Uso

usage: check-cve-2023-4966.py [-h] [--nologline] logdir_path

Python script to check CitrixNetScaler logs for possible CVE-2023-4966 exploitation

positional arguments:
  logdir_path  ruta a los archivos de registro de NetScaler (ubicados en el NetScaler en el directorio /mnt/temp/log/)

options:
  -h, --help   muestra este mensaje de ayuda y sale
  --nologline  no imprime la línea de registro

Ejemplo

$ python check-cve-2023-4966.py NetScaler/log/mnt/temp/log/ --nologline
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345

Base de datos de monitoreo de Citrix XenDesk/XenApp

Las sesiones de Citrix XenDesk y XenApp se registran en la base de datos de monitoreo. Con esta base de datos de monitoreo es posible encontrar las sesiones y las máquinas de trabajo que podrían haberse utilizado después de una explotación exitosa.

El directorio helper contiene consultas SQL para verificar la base de datos de monitoreo.

machines.sql

Script para obtener el id de la máquina, nombre y dirección IP.

last-sessions.sql

Consulta para obtener sesiones de una máquina específica (MachineId).

session query

Consulta para obtener información adicional de las sesiones de una máquina específica (MachineId) y usuario.

cve-2023-4966-iocs

Más Populares