Ingeniería de Detección e Investigación de Vulnerabilidades - CVE-2011-2523 (vsftpd 2.3.4)

Un proyecto de ingeniería de firmas de detección para un CVE: investigando una vulnerabilidad divulgada, construyendo una huella digital que la identifique externamente y validando la calidad de detección contra objetivos de laboratorio reales.

Por qué existe este proyecto

La mayoría de los portafolios de investigación de vulnerabilidades se detienen en "Exploté X". Este se construye en torno a una pregunta diferente, más cercana a lo que realmente pregunta la ingeniería de detección:

Una vez que se divulga un CVE, ¿cómo identificas de manera confiable — externamente, a escala, sin explotar nada — qué activos expuestos a internet están ejecutando realmente la tecnología vulnerable?

Este repositorio documenta todo ese flujo de trabajo para un CVE real: CVE-2011-2523, la puerta trasera de vsftpd 2.3.4. Va desde la investigación de vulnerabilidades hasta el diseño de huellas digitales, la ingeniería de scripts de detección y la validación contra objetivos de laboratorio reales — construido deliberadamente como detección, no explotación.

Cómo se relaciona esto con el trabajo de Ingeniería de Detección / Investigación de Vulnerabilidades

Metodología

CVE Disclosure  →  Research & Version Analysis  →  Fingerprint Design
      →  Detection Script  →  Validation (TP/FP/FN review)  →  Evidence Output

1. Investigación — Identificado CVE-2011-2523 (puerta trasera de vsftpd 2.3.4): una compilación troyanizada de vsftpd distribuida durante una ventana de ~72 horas en 2011, activada por un patrón de inicio de sesión específico, otorgando un shell remoto.
2. Diseño de huella digital — vsftpd anuncia su versión exacta en el banner de bienvenida FTP 220. Ese banner es la superficie de la huella digital — no se requiere autenticación ni explotación para leerlo.
3. Script de detección — fingerprint_vsftpd_cve_2011_2523.py se conecta, captura el banner, lo compara mediante expresiones regulares con la firma vulnerable conocida y clasifica el resultado.
4. Validación — Ejecutado contra un objetivo Metasploitable2 conocido como vulnerable (confirma verdadero positivo) y un puerto cerrado/filtrado (confirma que el script reporta correctamente undetermined en lugar de un falso negativo).
5. Salida de evidencia — JSON estructurado por hallazgo (host, puerto, banner, veredicto, razón, referencia CVE, marca de tiempo) — diseñado para insertarse en un pipeline de hallazgos más grande en lugar de una impresión única.

Capturas de pantalla — Script y ejecución de validación

Cambia el nombre de tus archivos de captura de pantalla para que coincidan, o actualiza estas rutas, una vez subidos a /screenshots.

Detalle adicional de ejecución:

Detalle Detalle Detalle Detalle

Uso

# Single target
python3 fingerprint_vsftpd_cve_2011_2523.py --target 192.168.56.101

# Batch — multiple hosts, evidence-style JSON output
python3 fingerprint_vsftpd_cve_2011_2523.py --targets-file targets.json \
    --output evidence/vsftpd_fingerprint_findings.json

Salida de ejemplo:

{
  "scan_type": "vsftpd_2.3.4_backdoor_fingerprint",
  "cve": "CVE-2011-2523",
  "total_targets": 1,
  "vulnerable_count": 1,
  "findings": [
    {
      "host": "192.168.56.101",
      "port": 21,
      "banner": "220 (vsFTPd 2.3.4)",
      "verdict": "vulnerable",
      "reason": "Banner matches known vulnerable signature (vsftpd 2.3.4)"
    }
  ]
}

Resumen de validación

Esta división tripartita es el control de calidad de detección central en el proyecto: un detector ingenuo colapsa "no pude verificar" y "verificado y limpio" en el mismo resultado, que es exactamente cómo se esconden los falsos negativos en la lógica de detección en producción.

Estructura del repositorio

.
├── fingerprint_vsftpd_cve_2011_2523.py
├── docs/
│   └── CVE-RESEARCH.md
├── evidence/
│   └── vsftpd_fingerprint_findings.json
├── screenshots/
│   └── (script + validation run screenshots)
└── README.md

Hoja de ruta

• Añadir módulos de huella digital para CVEs adicionales divulgados (expandiendo más allá de vsftpd)
• Añadir enumeración asistida por Nmap NSE como paso de descubrimiento previo a la huella digital
• Añadir módulo de huella digital basado en HTTP/TLS (identificación de tecnología web, no solo servicios de banner)
• Añadir pruebas de regresión automatizadas de falsos positivos/falsos negativos

Visitantes del repositorio

Autor

BASSEY SOLOMON HENRY

Ingeniero de Ciberseguridad | Ingeniero de Detección | Investigador de Vulnerabilidades | Equipo Púrpura | SIEM | Seguridad Empresarial

Enfocado en el pipeline de investigación a detección: tomar un CVE divulgado desde el aviso hasta una huella digital funcional y validada capaz de identificar tecnología vulnerable externamente y a escala — construido sobre trabajo práctico de laboratorio ofensivo y defensivo en lugar de solo teoría.

Conéctate conmigo

Filosofía personal

"Una vulnerabilidad no es un riesgo real hasta que puedas probar, a escala, qué sistemas realmente la tienen. La investigación te dice lo que es posible — la ingeniería de detección te dice lo que es verdadero."

— Bassey Solomon Henry