🧭 Find-WSUS

GPOs (ग्रुप पॉलिसी ऑब्जेक्ट्स) में WSUS सर्वर कॉन्फ़िगरेशन खोजें — जिसमें छिपी हुई Group Policy Preferences (GPP) भी शामिल हैं।

Find-WSUS एक PowerShell स्क्रिप्ट है जिसे सुरक्षा पेशेवरों और सिस्टम प्रशासकों के लिए डिज़ाइन किया गया है ताकि GPOs के माध्यम से कॉन्फ़िगर किए गए सभी WSUS (Windows Server Update Services) सर्वर URL की पहचान की जा सके। यह दोनों प्रकार के कॉन्फ़िगरेशन का पता लगाती है:

• प्रशासनिक टेम्पलेट नीतियाँ (HKLM\Software\Policies)
• Group Policy Preferences (GPP) XML रिपोर्टों में छिपी हुई रजिस्ट्री सेटिंग्स

⚠️ यह क्यों महत्वपूर्ण है

WSUS सर्वर उच्च-मूल्य वाले इंफ्रास्ट्रक्चर एसेट होते हैं। यदि इनसे समझौता हो जाता है, तो कोई हमलावर सभी डोमेन-जुड़े सिस्टमों पर दुर्भावनापूर्ण “अपडेट” तैनात कर सकता है, जिससे पूर्ण डोमेन समझौता हो सकता है।

🧨 CVE-2025-59287 जैसी कमजोरियाँ दर्शाती हैं कि एक अकेला WSUS एक्सप्लॉइट हमलावरों को पूरे डोमेन पर नियंत्रण दे सकता है।

Find-WSUS संगठनों को हमलावरों से पहले हर WSUS कॉन्फ़िगरेशन स्रोत का पता लगाने में मदद करता है।

🔍 “छिपी हुई WSUS” समस्या

अधिकांश स्कैन केवल यह जाँचते हैं:

HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate

हालाँकि, कई संगठन WSUS कॉन्फ़िगरेशन को Group Policy Preferences (GPP) के माध्यम से तैनात करते हैं, जो सीधे रजिस्ट्री कुंजियों को संशोधित करते हैं। ये सेटिंग्स मानक GPMC रिपोर्टों में दिखाई नहीं देतीं।

✅ Find-WSUS मानक और GPP-आधारित दोनों कॉन्फ़िगरेशन का पता लगाता है, जिससे आपको अपने वातावरण में पूर्ण दृश्यता मिलती है।

🧩 पूर्वापेक्षाएँ

⚙️ उपयोग

1. स्क्रिप्ट आयात करें

स्क्रिप्ट को अपने PowerShell सत्र में लोड करें:

. .\Find-WSUS.ps1

2. स्कैन चलाएँ

आयात करने के बाद, Find-WSUS फ़ंक्शन उपलब्ध हो जाता है।

उदाहरण 1: वर्तमान डोमेन स्कैन करें

Find-WSUS | Format-Table -AutoSize

उदाहरण 2: वर्बोज़ आउटपुट

स्कैन करते समय विस्तृत प्रगति संदेश देखें:

Find-WSUS -Verbose

उदाहरण 3: किसी भिन्न डोमेन को स्कैन करें

Find-WSUS -Domain "child.mydomain.com" | Format-Table -AutoSize

उदाहरण 4: GPOs को नाम से फ़िल्टर करें

Find-WSUS -Name "*Server*" -Verbose

उदाहरण 5: WSUS होस्ट्स की अद्वितीय सूची प्राप्त करें

$results = Find-WSUS -Domain "mydomain.com"
$results.Hostname | Where-Object { $_ } | Sort-Object -Unique

📦 पैरामीटर

🧠 यह कैसे काम करता है

1. पर्यावरण सत्यापन

• सुनिश्चित करता है कि PowerShell 64-bit है।
• सत्यापित करता है कि GroupPolicy मॉड्यूल स्थापित है।
• पुष्टि करता है कि निर्दिष्ट डोमेन में GPOs सुलभ हैं।

2. पॉलिसी स्कैन (STA रनस्पेस)

• COM थ्रेडिंग त्रुटियों से बचने के लिए Get-GPRegistryValue को STA रनस्पेस में उपयोग करता है।

• निम्न में WUServer और WUStatusServer मानों को स्कैन करता है:

  root@kitploit:~

  HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate
  

3. प्रेफरेंस स्कैन (GPP XML)

• Get-GPOReport -ReportType Xml से XML आउटपुट पार्स करता है।
• नेमस्पेस्ड (q2:Registry) और फ़ॉलबैक (*[local-name()='Registry']) नोड्स में छिपे WSUS URL ढूँढता है।
• HKLM के अंतर्गत लिखे गए मानों को कैप्चर करता है, जिसमें ...\Windows\WindowsUpdate कुंजियाँ शामिल हैं।

4. परिणाम एकत्रीकरण

• सभी निष्कर्षों को एक ही डेटासेट में विलीन करता है।
• आसान डीडुप्लीकेशन के लिए URL से होस्टनाम निकालता है।
• स्वच्छ, क्रमबद्ध ऑब्जेक्ट लौटाता है।

🧾 उदाहरण आउटपुट (वास्तविक-शैली फ़ॉर्मेटिंग)

यह Find-WSUS से वास्तविक Format-Table -AutoSize लेआउट और हेडर को दर्शाता है, लेकिन यथार्थवादी नमूना होस्ट/URL और GPO नाम/GUID के साथ।

PS C:\Users\Administrator\Documents> Find-WSUS | Format-Table -AutoSize
[OK] Environment check passed: 64-bit PowerShell, GroupPolicy module loaded, GPOs accessible.


GPOName               Scope                 Key                                                    ValueName      Value                                    Hostname              GPOGuid                              
-------               -----                 ---                                                    ---------      -----                                    --------              -------                              
Default Domain Policy Policy (Computer)     HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate WUServer       https://wsus.corp.contoso.com:8531       wsus.corp.contoso.com 31b2f340-016d-11d2-945f-00c04fb984f9
Default Domain Policy Policy (Computer)     HKLM\Software\Policies\Microsoft\Windows\Windows\Update WUStatusServer https://wsus.corp.contoso.com:8531       wsus.corp.contoso.com 31b2f340-016d-11d2-945f-00c04fb984f9
Corporate WSUS Baseline Policy (Computer)   HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate WUServer       http://wsus01.contoso.com:8530           wsus01.contoso.com    57f2e3da-33c5-4a35-abce-c12a0b7f9823
Corporate WSUS Baseline Policy (Computer)   HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate WUStatusServer https://wsus01.contoso.com:8531          wsus01.contoso.com    57f2e3da-33c5-4a35-abce-c12a0b7f9823
Workstations - Windows Update (GPP) Preference (Registry) HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate WUStatusServer https://wsus-west.contoso.com:8531   wsus-west.contoso.com a1cde8b2-7f45-43f2-9db4-9c1e93a0e5c1

नोट: वास्तविक वातावरण में आप अक्सर :8531 पर SSL और :8530 पर लीगेसी HTTP देखेंगे। ऊपर दिए गए होस्टनाम उदाहरण हैं; अपनी वास्तविक इन्वेंट्री से बदलें।

🚫 सीमाएँ

[!WARNING] यह स्क्रिप्ट एक डिस्कवरी टूल है, पूर्ण इन्वेंट्री सिस्टम नहीं।

यह केवल Group Policy के माध्यम से परिभाषित WSUS सर्वरों को खोजता है। यह निम्न का पता नहीं लगाता:

• गैर-डोमेन क्लाइंट या मैन्युअल रूप से कॉन्फ़िगर की गई रजिस्ट्री
• बिना GPO लिंकेज वाले रॉग WSUS सर्वर
• Intune या SCCM पॉलिसियों द्वारा प्रबंधित सिस्टम

✅ अनुशंसित अगले कदम

1. अपने फ़ॉरेस्ट के सभी डोमेन में Find-WSUS चलाएँ।
2. आउटपुट को एक केंद्रीय इन्वेंट्री में संयोजित करें।
3. WSUSService चलाने वाली मशीनों के लिए EDR या एसेट स्कैनर से तुलना करें।
4. किसी भी बेमेल या अप्रत्याशित WSUS होस्ट की जाँच करें।

🧑‍💻 लेखक और श्रेय

सुरक्षा इंजीनियरों द्वारा छिपे हुए WSUS कॉन्फ़िगरेशन को उजागर करने और पैच इंफ्रास्ट्रक्चर दृश्यता में सुधार करने के लिए विकसित किया गया।

📘 योगदान का स्वागत है! संगतता बढ़ाने या नई डिस्कवरी विधियाँ जोड़ने के लिए पुल रिक्वेस्ट या इश्यू सबमिट करें।