jugular

Usa jugs per cercare CUPS: un inviatore UDP ultraveloce, che cerca di stuzzicare i processi cups-browsed in ascolto per farli eseguire un callback HTTP.

Questo è uno scanner ad alte prestazioni che scrive pacchetti UDP direttamente sulla rete.

Installazione (Ubuntu o simile)

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... oppure scarica il binario Linux x64 dalle build

Utilizzo

1. Concedi a jugular i permessi di rete necessari

Consenti a jugular di associarsi a porte basse e accedere ai socket raw senza essere eseguito come root (è necessario farlo solo una volta):

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. Avvia il server di ascolto di jugular, è un semplice server HTTP che risponde con 404 a tutte le richieste, ma salva gli header delle richieste in file json nella directory di lavoro corrente - puoi usare qualcosa di diverso se vuoi

jugular listen --bind 0.0.0.0:80

3. Inizia a "sondare" le istanze CUPS, inviando pacchetti UDP che annunciano una stampante. Nota: scansionare internet è in una zona grigia della legalità, quindi stai attento. Se sei nella sicurezza IT della tua azienda, puoi usarlo internamente ovviamente.

Esegui jugular e fai la scansione:

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

Poiché questo software crea e scrive i propri pacchetti direttamente su una rete in uscita per motivi di prestazioni, devi assegnare l'indirizzo IP corretto della tua macchina (esegui ip addr per trovarlo). Le istanze remote devono anche essere in grado di instradare il traffico di ritorno all'URL che inserisci in quel parametro.

Testa localmente prima di andare a caccia, e per favore ricorda che questo software può sovraccaricare il tuo firewall NAT e altre apparecchiature (usa l'opzione delay).

NOTA BENE C'è un ritardo fino a 300 secondi dal momento in cui CUPS riceve il messaggio a quando contatta l'URL che gli hai fornito. Ciò è dovuto a una attesa di pianificazione hardcoded all'interno del software CUPS. Potresti anche innescare notifiche infinite, poiché alcuni server CUPS non smettono di provare a riconnettersi all'URL anche dopo aver ricevuto una risposta di errore.

CORREZIONI CONSIGLIATE

Scegline una o più ... (per Ubuntu, altrove i risultati possono variare - io ho aggiornato e abilitato ufw)

Su una distribuzione recente (Ubuntu e altre), aggiorna semplicemente CUPS, si riconfigurerà da solo!

• sudo apt update
• sudo apt upgrade (il pacchetto "cups" dovrebbe essere elencato tra quelli che verranno aggiornati)

Tieni CUPS ma abilita il firewall. Questo disabilita l'accesso remoto non richiesto a CUPS (fai attenzione se sei in remoto):

• sudo ufw allow ssh (se ti serve, potrebbe essere anche http, https ecc.)
• sudo ufw enable (abilita il firewall)

Puoi rimuovere CUPS se non stampi:

• sudo apt remove cups

Tieni CUPS ma fermalo e disabilitalo:

• sudo systemctl disable --now cups

Se ottieni risultati interessanti, mi piacerebbe sentirli.

Altre implementazioni:

• https://github.com/MalwareTech/CVE-2024-47176-Scanner di MalwareTech