Scanner Internet n8n CVE-2025-68613

Un outil GUI basé sur Tkinter pour découvrir les instances n8n publiquement exposées via Shodan et les tester contre l'exposition à CVE‑2025‑68613 sur une large plage de versions.

Le scanner :

• Interroge Shodan avec plusieurs empreintes (titre, marqueurs HTML, favicons, organisations cloud) pour trouver des hôtes n8n probables sur des ports courants (par ex. 5678).
• Se connecte aux candidats et sonde les endpoints clés : /, /login, /workflow, /rest/healthz.
• Tente d'extraire la version n8n en cours d'exécution à partir du HTML / JS à l'aide de plusieurs heuristiques.
• Classe chaque hôte comme VULNÉRABLE, SÛR, INCONNU ou ÉCHEC en fonction de la version et de la connectivité.
• Stocke tous les résultats dans une base de données SQLite locale et propose une exportation CSV.

⚠️ Avis juridique
Cet outil est destiné à la recherche en sécurité, à l'éducation et aux tests de systèmes que vous possédez ou que vous êtes explicitement autorisé à tester.
L'analyse de serveurs aléatoires sur Internet peut violer les lois ou les conditions d'utilisation de votre juridiction.
Utilisez-le de manière responsable et à vos propres risques.

---

Fonctionnalités

• Interface graphique construite avec Tkinter (aucun argument CLI requis).
• Intégration Shodan avec de nombreuses requêtes adaptées (titre, hashs de favicon, signatures HTML, filtres de fournisseurs cloud, etc.).
• Analyse simultanée à l'aide de ThreadPoolExecutor et de files de travailleurs pour un débit élevé.
• Tableau de bord des endpoints :
  • Affiche les instances découvertes (IP, pays, version, vulnérable OUI/NON).
  • Tableau de résultats détaillé : heure, IP:Port, version, statut, endpoints, pays.
• Suivi d'état robuste : compteurs découverts / testés / vulnérables / échoués avec mises à jour en direct.
• Backend SQLite (n8n_results.db) stockant les hôtes et les résultats de test par analyse.
• Export CSV de tous les résultats d'analyse pour une analyse hors ligne.

---

Installation

Prérequis

• Python 3.9+ (testé avec 3.10).
• Un compte Shodan et un cookie de navigateur valide pour www.shodan.io (cookie polito).
• Connectivité réseau permettant le HTTP sortant vers des hôtes n8n potentiels (généralement le port 5678).

Cloner le dépôt et lancer l'interface

• https://github.com/manyaigdtuw/CVE-2025-68613_Scanner.git
• python n8n_Scanner_cve68613.py

Commandes d'analyse (panneau de gauche)

• Mode
  • Shodan : recherche les hôtes exposés sur Internet à l'aide des requêtes Shodan.
  • Scan IP range : réservé aux travaux futurs (utilise actuellement une logique de style producteur Shodan ; gardez Shodan sélectionné)
• Threads : nombre de travailleurs consommateurs parallèles (défaut : 20).
• Shodan Cookie : collez la valeur de votre cookie polito depuis les outils de développement du navigateur (Domaine : www.shodan.io).

Appuyez ensuite sur Start Scan. Pour arrêter l'analyse, appuyez sur Stop ; l'outil terminera le traitement des tâches en cours et mettra à jour les statistiques.

Comprendre les statuts

Par hôte, la colonne « Status » peut être :

• VULNERABLE – la version se situe dans la plage de CVE‑2025‑68613 (≥ 0.211.0 et < 1.122.0).
• SAFE – la version a été correctement analysée mais est en dehors de la fenêtre vulnérable.
• UNKNOWN – l'hôte a répondu mais la version n'a pas pu être extraite de manière fiable du HTML/JS.
• FAILED – le scanner n'a pas pu joindre l'hôte du tout (TCP refusé / expiré / autre erreur).

Le résumé « Endpoints » affiche une vue compacte des premiers endpoints et de leurs codes de statut HTTP, par ex. :

/:200; /login:200; /workflow:200.

Base de données et exportation

• Les résultats sont stockés dans n8n_results.db avec deux tables :
  • n8n_hosts : une ligne par IP, avec les attributs de dernière observation.
  • n8n_test_results : résultats par test incluant le statut et les endpoints JSON.
• Cliquez sur Export Results pour écrire tous les résultats dans un fichier CSV de votre choix, incluant horodatages, IP, port, pays, version, statut, indicateur de vulnérabilité et endpoints JSON bruts.

---

Détails de configuration

Les constantes clés en haut du script (classe N8nScanner.__init__) contrôlent le comportement :

• BASE_URL, FACET_URL : endpoints de recherche Shodan.
• DEFAULT_PORT : port n8n par défaut (5678).
• CONNECTION_TIMEOUT : délai d'attente HTTP en secondes (défaut 15).
• MAX_WORKERS : nombre de threads consommateurs.
• VULN_MIN_VERSION, VULN_MAX_VERSION : bornes de version pour CVE‑2025‑68613.
• max_debug_html : nombre de captures HTML à enregistrer pour le débogage.

Les requêtes Shodan incluent des hashs de favicon, des signatures HTML, des filtres de fournisseurs cloud et des chaînes spécifiques à n8n pour améliorer le taux de réussite.

---