Guide d'utilisation du scanner de périphériques Cisco IOS XE pour CVE-2023-20198-Scanner

Ceci est un scanner d'empreintes de webshell conçu pour identifier les implants sur les WebUI Cisco IOS XE affectées par CVE-2023-20198 et CVE-2023-20273. Ce script Python vérifie la présence de périphériques Cisco IOS XE compromis en effectuant des requêtes HTTP et HTTPS. Il prend en charge plusieurs façons de spécifier les adresses IP cibles et utilise le threading pour un scan plus rapide.

Journal des modifications

• Ajout d'un nouveau fichier de configuration NGINX d'authentification depuis le blog de Talos Security
• Ajout d'un explicateur pour la fonctionnalité du script LUA de configuration.
• Ajout de la commande CURL du blog Talos ainsi que de la valeur HEX d'autorisation fournie par Talos Security.

Quelques choses que vous pouvez faire avec ce script :

• Analyser une seule adresse IP
• Analyser une liste d'adresses IP (fournir un fichier avec chaque IP sur une nouvelle ligne et le transmettre via un argument)
• Analyser une plage CIDR
• Spécifier un UserAgent personnalisé
• Spécifier de nouveaux IOC dans response.text en utilisant un fichier (IOCS.txt est le fichier par défaut. Assurez-vous que chaque IOC est sur une nouvelle ligne.) *Les IOC connus seront mis à jour régulièrement si de nouveaux deviennent connus. Tous les IOC actuels sont déjà implémentés directement dans le code pour plus de clarté.
• Possibilité de spécifier un proxy pour les analyses
• Traitement concurrent pour la rapidité et l'efficacité.
• Limitation de débit
• Journalisation des hôtes compromis.
• Indication visuelle des hôtes potentiellement compromis par rapport aux hôtes « propres ». - Ce n'est pas une garantie et est basé strictement sur les IOC connus.

Prérequis

• Python 3.x
• Paquets Python requis : requests, termcolor, tqdm

Installez les paquets Python requis avec pip si ce n'est pas déjà fait :

pip install requests termcolor tqdm

Utilisation

Le script propose plusieurs options en ligne de commande pour plus de flexibilité :

--target_file

Spécifiez un fichier contenant une liste d'adresses IP ou de noms d'hôte de périphériques Cisco IOS XE. Les adresses IP ou noms d'hôte doivent être listés un par ligne.

Exemple :

python iosxe-scanner.py --target_file targets.txt

--cidr

Spécifiez une plage CIDR à analyser. Le script générera toutes les adresses IP de la plage spécifiée et les analysera.

Exemple :

python iosxe-scanner.py --cidr 192.168.1.0/24

--ip

Spécifiez une seule adresse IP à analyser.

Exemple :

python iosxe-scanner.py --ip 192.168.1.1

--user_agent

Définissez un en-tête User-Agent personnalisé pour les requêtes HTTP. La valeur par défaut est CISCO-IOS-Shell-Scanner-cisco-sa-iosxe-webui-privesc-j22SaA4z.

Exemple :

python iosxe-scanner.py --user_agent "MyCustomUserAgent"

--rate_limit

Définissez une limite de débit en secondes entre les requêtes. La valeur par défaut est 1 seconde.

Exemple :

python iosxe-scanner.py --rate_limit 0.5

--proxy

Spécifiez un proxy HTTP à utiliser pour les requêtes.

Exemple :

python iosxe-scanner.py --proxy http://127.0.0.1:8080

--iocs_file

Spécifiez un fichier contenant des indicateurs de compromission (IoC) à rechercher dans le texte de réponse. La valeur par défaut est IOCS.txt.

Exemple :

python iosxe-scanner.py --iocs_file custom_iocs.txt

Exemples

Analyser une liste de cibles à partir d'un fichier avec une limite de débit de 0,5 seconde

python iosxe-scanner.py --target_file targets.txt --rate_limit 0.5

Analyser une plage CIDR en utilisant un proxy

python iosxe-scanner.py --cidr 192.168.1.0/24 --proxy http://127.0.0.1:8080

Analyser une seule adresse IP avec un User-Agent personnalisé

python iosxe-scanner.py --ip 192.168.1.1 --user_agent "MyCustomUserAgent"

Analyser en utilisant un fichier d'IoC personnalisé

python iosxe-scanner.py --iocs_file custom_iocs.txt

Remarques

• Ce script désactive la vérification des certificats SSL pour les requêtes HTTPS. Utilisez cette fonctionnalité avec prudence.
• Ce script est fourni « en l'état » SANS AUCUNE GARANTIE. UTILISEZ-LE À VOS PROPRES RISQUES !
• L'utilisation de ce script peut être illégale dans votre pays ou juridiction. Bien qu'il ne fasse que des requêtes HTTP(S) simples et vérifie des réponses spécifiques, il vous incombe de déterminer si son utilisation est légale/éthique et appropriée. NE SOYEZ PAS UN IDIOT.

Si vous trouvez ce script utile, n'hésitez pas à me le faire savoir ou à me suivre sur Twitter(𝕏) https://twitter.com/shadow0pz