jugular

Usa jugs para buscar CUPS: un emisor UDP ultrarrápido, que intenta hacer cosquillas a los procesos cups-browsed en escucha para que realicen una devolución de llamada HTTP.

Este es un escáner de alto rendimiento que escribe paquetes UDP directamente a la red.

Instalación (Ubuntu o similar)

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... o descarga el binario de Linux x64 desde los builds

Uso

1. Otorga a jugular los permisos de red necesarios

Permite que jugular se enlace a puertos bajos y acceda a raw sockets sin ejecutarse como root (solo necesitas hacer esto una vez):

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. Inicia el servidor de escucha de jugular, es un servidor HTTP simple que responde con 404 a todas las peticiones, pero guarda las cabeceras de las peticiones en archivos json en el directorio de trabajo actual; puedes usar algo diferente si quieres

jugular listen --bind 0.0.0.0:80

3. Empieza a sondear instancias de CUPS, enviando paquetes UDP que anuncian una impresora. Nota: escanear internet está en el área gris de la legalidad, así que ten cuidado. Si eres el equipo de seguridad informática de tu empresa, puedes usarlo internamente, por supuesto.

Ejecuta jugular y haz el escaneo:

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

Debido a que este software crea y escribe sus propios paquetes directamente a una red de salida por razones de rendimiento, necesitas asignar la dirección IP correcta de tu propia máquina (ejecuta ip addr para encontrarla). Las instancias remotas también deben poder enrutar de vuelta a la URL que pongas en ese parámetro.

Prueba localmente antes de ir de cacería, y recuerda que este software puede saturar tu firewall NAT y otros equipos (usa la opción de retardo).

TEN EN CUENTA Hay un retraso de hasta 300 segundos desde que CUPS recibe el mensaje hasta que contacta con la URL que le diste. Esto se debe a una espera de programación fija que está dentro del software CUPS. También puedes provocar notificaciones interminables, ya que algunos servidores CUPS no dejan de intentar conectarse de vuelta a la URL incluso después de haber recibido una respuesta de error.

SOLUCIONES SUGERIDAS

Elige una o más ... (para Ubuntu, YMMV con otros: yo actualicé y habilité ufw)

En una distribución reciente (Ubuntu y otras), simplemente actualiza CUPS, ¡se reconfigurará por ti!

• sudo apt update
• sudo apt upgrade (el paquete "cups" debería aparecer entre los que se actualizarán)

Mantén CUPS pero habilita el cortafuegos. Esto deshabilita el acceso remoto no solicitado a CUPS (ten cuidado si estás en remoto):

• sudo ufw allow ssh (si lo necesitas, también podría ser http, https, etc.)
• sudo ufw enable (habilita el cortafuegos)

Puedes eliminar CUPS si no estás imprimiendo:

• sudo apt remove cups

Mantén CUPS pero detenlo y deshabilítalo:

• sudo systemctl disable --now cups

Si obtienes resultados interesantes, me encantaría conocerlos.

Otras implementaciones:

• https://github.com/MalwareTech/CVE-2024-47176-Scanner por MalwareTech