Ingénierie de Détection & Recherche de Vulnérabilités - CVE-2011-2523 (vsftpd 2.3.4)

Un projet de CVE vers Signature de Détection : recherche d'une vulnérabilité divulguée, construction d'une empreinte qui l'identifie de l'extérieur, et validation de la qualité de la détection contre des cibles réelles en laboratoire.

Pourquoi ce Projet Existe

La plupart des portfolios de recherche en vulnérabilités s'arrêtent à « J'ai exploité X ». Celui-ci est construit autour d'une question différente, plus proche de ce que demande réellement l'ingénierie de détection :

Une fois qu'une CVE est divulguée, comment identifier de manière fiable — de l'extérieur, à grande échelle, sans rien exploiter — quels actifs exposés sur Internet exécutent réellement la technologie vulnérable ?

Ce dépôt documente l'ensemble de ce flux de travail pour une CVE réelle : CVE-2011-2523, la backdoor vsftpd 2.3.4. Il va de la recherche de vulnérabilité à la conception d'empreinte, à l'ingénierie de script de détection et à la validation contre des cibles réelles en laboratoire — construit délibérément comme de la détection, pas de l'exploitation.

Comment cela Correspond au Travail d'Ingénierie de Détection / Recherche de Vulnérabilités

Méthodologie

Divulgation CVE  →  Recherche & Analyse de Version  →  Conception d'Empreinte
      →  Script de Détection  →  Validation (examen TP/FP/FN)  →  Sortie de Preuves

1. Recherche — Identification de CVE-2011-2523 (backdoor vsftpd 2.3.4) : une version trafiquée de vsftpd distribuée pendant une fenêtre d'environ 72 heures en 2011, déclenchée par un modèle de connexion spécifique, accordant un shell distant.
2. Conception d'empreinte — vsftpd annonce sa version exacte dans la bannière de bienvenue FTP 220. Cette bannière est la surface d'empreinte — aucune authentification, aucune exploitation requise pour la lire.
3. Script de détection — fingerprint_vsftpd_cve_2011_2523.py se connecte, capture la bannière, la fait correspondre par regex à la signature vulnérable connue, et classe le résultat.
4. Validation — Exécuté contre une cible Metasploitable2 connue vulnérable (confirme le vrai positif) et un port fermé/filtré (confirme que le script rapporte correctement undetermined plutôt qu'un faux négatif).
5. Sortie de preuves — JSON structuré par constatation (hôte, port, bannière, verdict, raison, référence CVE, horodatage) — conçu pour s'intégrer dans un pipeline de constatations plus large plutôt qu'un affichage unique.

Captures d'écran — Script & Exécution de Validation

Renommez vos fichiers de capture d'écran pour qu'ils correspondent, ou mettez à jour ces chemins, une fois téléchargés dans /screenshots.

Détail d'exécution supplémentaire :

Détail Détail Détail Détail

Utilisation

# Cible unique
python3 fingerprint_vsftpd_cve_2011_2523.py --target 192.168.56.101

# Batch — plusieurs hôtes, sortie JSON format preuves
python3 fingerprint_vsftpd_cve_2011_2523.py --targets-file targets.json \
    --output evidence/vsftpd_fingerprint_findings.json

Exemple de sortie :

{
  "scan_type": "vsftpd_2.3.4_backdoor_fingerprint",
  "cve": "CVE-2011-2523",
  "total_targets": 1,
  "vulnerable_count": 1,
  "findings": [
    {
      "host": "192.168.56.101",
      "port": 21,
      "banner": "220 (vsFTPd 2.3.4)",
      "verdict": "vulnerable",
      "reason": "Banner matches known vulnerable signature (vsftpd 2.3.4)"
    }
  ]
}

Résumé de Validation

Cette séparation en trois états est le contrôle central de qualité de détection dans le projet : un détecteur naïf fusionne « impossible à vérifier » et « vérifié et sain » dans le même résultat, ce qui est exactement la façon dont les faux négatifs se cachent dans une logique de détection en production.

Structure du Dépôt

.
├── fingerprint_vsftpd_cve_2011_2523.py
├── docs/
│   └── CVE-RESEARCH.md
├── evidence/
│   └── vsftpd_fingerprint_findings.json
├── screenshots/
│   └── (captures d'écran du script et des exécutions de validation)
└── README.md

Feuille de Route

• Ajouter des modules d'empreinte pour d'autres CVE divulguées (extension au-delà de vsftpd)
• Ajouter une énumération assistée par Nmap NSE comme étape de découverte pré-empreinte
• Ajouter un module d'empreinte basé sur HTTP/TLS (identification de technologie web, pas seulement services à bannière)
• Ajouter des tests de régression automatisés faux positifs/faux négatifs

Visiteurs du Dépôt

Auteur

BASSEY SOLOMON HENRY

Ingénieur en Cybersécurité | Ingénieur en Détection | Chercheur en Vulnérabilités | Équipe Pourpre | SIEM | Sécurité d'Entreprise

Axé sur le pipeline recherche-à-détection : transformer une CVE divulguée d'un avis à une empreinte fonctionnelle et validée, capable d'identifier une technologie vulnérable de manière externe et à grande échelle — construit sur un travail pratique offensif et défensif en laboratoire plutôt que sur la seule théorie.

Connectez-vous Avec Moi

Philosophie Personnelle

« Une vulnérabilité n'est un risque réel que si vous pouvez prouver, à grande échelle, quels systèmes la possèdent réellement. La recherche vous dit ce qui est possible — l'ingénierie de détection vous dit ce qui est vrai. »

— Bassey Solomon Henry