Scanner Internet n8n CVE-2025-68613

Uno strumento GUI basato su Tkinter per scoprire istanze n8n pubblicamente esposte tramite Shodan e verificarne l'esposizione a CVE‑2025‑68613 su un'ampia gamma di versioni.

Lo scanner:

• Interroga Shodan con più impronte digitali (title, marcatori HTML, favicon, organizzazioni cloud) per trovare host n8n probabili su porte comuni (es. 5678).
• Si connette ai candidati e sonda gli endpoint chiave: /, /login, /workflow, /rest/healthz.
• Tenta di estrarre la versione n8n in esecuzione da HTML / JS usando diverse euristiche.
• Classifica ogni host come VULNERABLE, SAFE, UNKNOWN o FAILED in base a versione e connettività.
• Salva tutti i risultati in un database SQLite locale e offre l'esportazione in CSV.

⚠️ Nota legale
Questo strumento è destinato alla ricerca sulla sicurezza, all'istruzione e al test di sistemi che possiedi o per i quali hai ricevuto esplicita autorizzazione.
Scansionare host casuali su Internet potrebbe violare leggi o termini di servizio nella tua giurisdizione.
Usalo in modo responsabile e a tuo rischio.

---

Caratteristiche

• Frontend GUI costruito con Tkinter (nessun argomento CLI necessario).
• Integrazione con Shodan con molte query personalizzate (title, hash delle favicon, firme HTML, filtri per provider cloud, ecc.).
• Scansione concorrente tramite ThreadPoolExecutor e code di worker per un throughput elevato.
• Dashboard degli endpoint:
  • Mostra le istanze scoperte (IP, paese, versione, vulnerabile SÌ/NO).
  • Tabella dei risultati dettagliati: ora, IP:Porta, versione, stato, endpoint, paese.
• Monitoraggio robusto dello stato: contatori di scoperti / testati / vulnerabili / falliti con aggiornamenti in tempo reale.
• Backend SQLite (n8n_results.db) che memorizza host e risultati dei test per scansione.
• Esportazione CSV di tutti i risultati della scansione per l'analisi offline.

---

Installazione

Prerequisiti

• Python 3.9+ (testato con 3.10).[
• Un account Shodan e un cookie del browser valido per www.shodan.io (cookie polito).[file:23]
• Connettività di rete che consenta HTTP in uscita verso potenziali host n8n (tipicamente porta 5678).

Clona il repository ed esegui l'interfaccia

• https://github.com/manyaigdtuw/CVE-2025-68613_Scanner.git
• python n8n_Scanner_cve68613.py

Controlli di scansione (pannello sinistro)

• Modalità
  • Shodan: cerca host esposti su Internet usando query Shodan.
  • Scan IP range: riservato a lavori futuri (attualmente usa la logica produttiva in stile Shodan; mantieni selezionato Shodan)
• Thread: numero di worker consumer paralleli (default: 20).
• Cookie Shodan: incolla il valore del cookie polito dagli strumenti di sviluppo del browser (Dominio: www.shodan.io).

Quindi premi Start Scan. Per interrompere la scansione, premi Stop; lo strumento terminerà l'elaborazione delle attività in corso e aggiornerà le statistiche.

Comprendere gli stati

Per ciascun host, la colonna “Status” può essere:

• VULNERABLE – la versione rientra nell'intervallo CVE‑2025‑68613 (≥ 0.211.0 e < 1.122.0).
• SAFE – versione analizzata correttamente ma al di fuori della finestra vulnerabile.
• UNKNOWN – l'host ha risposto ma la versione non ha potuto essere estratta in modo affidabile da HTML/JS.
• FAILED – lo scanner non ha potuto raggiungere l'host (TCP rifiutato / timeout / altro errore).

Il riepilogo “Endpoints” mostra una vista compatta dei primi endpoint e dei loro codici di stato HTTP, ad es.:

/:200; /login:200; /workflow:200.

Database ed esportazione

• I risultati sono memorizzati in n8n_results.db con due tabelle
  • n8n_hosts: una riga per IP, con attributi dell'ultima osservazione.
  • n8n_test_results: risultati per singolo test, inclusi stato ed endpoint in JSON.[file:23]
• Fai clic su Export Results per scrivere tutti i risultati in un file CSV a tua scelta, inclusi timestamp, IP, porta, paese, versione, stato, flag vulnerabile ed endpoint grezzi in JSON.[file:23]

---

Dettagli di configurazione

Le costanti chiave all'inizio dello script (classe N8nScanner.__init__) controllano il comportamento:

• BASE_URL, FACET_URL: endpoint di ricerca Shodan.
• DEFAULT_PORT: porta predefinita di n8n (5678).
• CONNECTION_TIMEOUT: timeout HTTP in secondi (default 15).
• MAX_WORKERS: numero di thread consumer.
• VULN_MIN_VERSION, VULN_MAX_VERSION: limiti di versione per CVE‑2025‑68613.
• max_debug_html: quante snapshot HTML salvare per il debug

Le query Shodan includono hash delle favicon, firme HTML, filtri per provider cloud e stringhe specifiche di n8n per migliorare il tasso di successo.