Windows Exploit Suggester - Next Generation (WES-NG)

WES-NG è uno strumento basato sull'output dell'utilità systeminfo di Windows che fornisce l'elenco delle vulnerabilità a cui il sistema operativo è esposto, inclusi gli exploit per queste vulnerabilità. Sono supportati tutti i sistemi Windows da Windows XP a Windows 11, incluse le controparti Windows Server.

Sul blog BITSADMIN è disponibile un articolo approfondito su WES-NG: Windows Security Updates for Hackers.

Utilizzo

1. Scarica WES-NG usando pip install wesng o tramite il seguente comando: git clone https://github.com/bitsadmin/wesng --depth 1
2. Ottieni l'ultimo database delle vulnerabilità eseguendo il comando wes.py --update
3. Ci sono due opzioni per verificare le patch mancanti: a. Avvia missingkbs.vbs o missingkbs.ps1 sul sistema per far determinare a Windows quali patch mancano b. Usa lo strumento integrato systeminfo.exe di Windows per ottenere le informazioni di sistema del sistema locale o da un sistema remoto con systeminfo /S MyRemoteHost, e redirigi l'output in un file: systeminfo > systeminfo.txt
4. A seconda del metodo scelto al punto 3, esegui WES-NG: a. Con il file missing.txt come input: wes.py --missing missing.txt (o wes.py -m missing.txt) b. Con il file systeminfo.txt come parametro: wes.py systeminfo.txt WES-NG utilizza quindi il database per determinare quali patch sono applicabili al sistema e a quali vulnerabilità è attualmente esposto, inclusi gli exploit se disponibili.
5. Poiché i dati forniti dal feed MSRC di Microsoft sono spesso incompleti e wes.py segnala falsi positivi, @DominicBreuker ha contribuito con il parametro --muc-lookup per convalidare le patch mancanti identificate dal file systeminfo.txt tramite il Catalogo Aggiornamenti di Microsoft. Inoltre, consulta la pagina Eliminazione dei falsi positivi sulla Wiki per interpretare i risultati. Per una panoramica di tutti i parametri disponibili per missingkbs.vbs, missingkbs.ps1 e wes.py, consulta CMDLINE.md.

Demo

Collettore

Questo repository GitHub aggiorna regolarmente il database delle vulnerabilità, quindi eseguire wes.py con il parametro --update scarica l'ultima versione. Se è necessaria la generazione manuale del file .csv con le informazioni sugli hotfix, usa gli script nella cartella /collector per compilare il database. Leggi i commenti all'inizio di ogni script ed eseguili nell'ordine indicato di seguito. L'esecuzione di questi script produrrà definitions.zip. Il collettore WES-NG raccoglie informazioni da varie fonti:

• Microsoft Security Bulletin Data: KB per sistemi più vecchi [1]
• MSRC: API Microsoft Security Update del Microsoft Security Response Center (MSRC): Fonte standard per gli aggiornamenti Microsoft moderni [2]
• NIST National Vulnerability Database (NVD): Complemento delle vulnerabilità con link a Exploit-DB [3]
• OffSec Exploit-DB [4] Queste vengono combinate in un unico file .csv che viene compresso e ospitato in questo repository GitHub.

Motivazione

Ho sviluppato WES-NG perché, sebbene Windows-Exploit-Suggester di GDSSecurity funzionasse egregiamente per sistemi operativi come Windows XP e Windows Vista, non funziona per sistemi come Windows 11 e vulnerabilità pubblicate negli ultimi anni. Questo perché Microsoft ha sostituito il file Excel Microsoft Security Bulletin Data [1], da cui Windows-Exploit-Suggester di GDSSecurity dipende completamente, con l'API MSRC [2]. Il file Excel Microsoft Security Bulletin Data non viene più aggiornato dal primo trimestre 2017, quindi i sistemi operativi e le vulnerabilità più recenti non possono essere rilevati. Grazie @gdssecurity, per questo grande strumento che ci ha servito per tanti anni!

Bug

• I bug possono essere segnalati tramite la pagina Issues
• Per i falsi positivi nei risultati, leggi prima la pagina Eliminazione dei falsi positivi sulla Wiki. Se ciò non riduce significativamente il numero di falsi positivi, segui i passaggi nella pagina Segnalazione dei falsi positivi sulla Wiki.

Changelog

Vedi CHANGELOG.md

Miglioramenti

• Aggiunta del supporto per l'output del cmdlet Get-SystemInfo di NoPowerShell
• Aggiunta del supporto per formati di output alternativi di systeminfo (csv, table)
• Più test sulle vulnerabilità false positive restituite - vedi anche la wiki

Riferimenti

[1] https://www.microsoft.com/download/details.aspx?id=36982

[2] https://portal.msrc.microsoft.com/en-us/developer

[3] https://nvd.nist.gov/vuln/data-feeds

[4] https://www.exploit-db.com/

Autore: Arris Huijgen (@bitsadmin - https://github.com/bitsadmin/)