
Script Python per cercare nei log di Citrix NetScaler possibili sfruttamenti di CVE-2023-4966.
Lo script analizza i log di Citrix NetScaler per individuare una possibile exploitazione di CVE-2023-4966.
usage: check-cve-2023-4966.py [-h] [--nologline] logdir_path
Python script to check CitrixNetScaler logs for possible CVE-2023-4966 exploitation
positional arguments:
logdir_path path to NetScaler log files (located on the NetScaler in the directory /mnt/temp/log/)
options:
-h, --help show this help message and exit
--nologline do not print the logline
$ python check-cve-2023-4966.py NetScaler/log/mnt/temp/log/ --nologline
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Le sessioni Citrix XenDesk e XenApp vengono registrate nel database di monitoraggio. Con questo database di monitoraggio è possibile individuare le sessioni e le macchine worker che potrebbero essere state utilizzate dopo una exploitazione riuscita.
La directory helper contiene query SQL per controllare il database di monitoraggio.
Script per ottenere l'id della macchina, il nome e l'indirizzo IP.
Query per ottenere le sessioni di una macchina specifica (MachineId).
Query per ottenere informazioni aggiuntive sulle sessioni per una macchina specifica (MachineId) e per un utente.