Ingegneria del Rilevamento & Ricerca sulle Vulnerabilità - CVE-2011-2523 (vsftpd 2.3.4)

Un progetto di Ingegneria delle Firme di Rilevamento da CVE: ricerca su una vulnerabilità divulgata, costruzione di un'impronta digitale che la identifichi esternamente e validazione della qualità del rilevamento contro obiettivi di laboratorio reali.

Perché Questo Progetto Esiste

La maggior parte dei portafogli di ricerca sulle vulnerabilità si ferma a "Ho sfruttato X." Questo è costruito attorno a una domanda diversa, più vicina a ciò che chiede effettivamente l'ingegneria del rilevamento:

Una volta divulgato un CVE, come si identifica in modo affidabile — esternamente, su larga scala, senza sfruttare nulla — quali asset esposti a Internet stanno effettivamente eseguendo la tecnologia vulnerabile?

Questo repository documenta l'intero flusso di lavoro per un vero CVE: CVE-2011-2523, il backdoor di vsftpd 2.3.4. Va dalla ricerca sulla vulnerabilità, alla progettazione dell'impronta digitale, all'ingegneria dello script di rilevamento e alla validazione contro obiettivi di laboratorio reali — costruito deliberatamente come rilevamento, non come sfruttamento.

Come Questo Si Mappa al Lavoro di Ingegneria del Rilevamento / Ricerca Vulnerabilità

Metodologia

Divulgazione CVE  →  Ricerca e Analisi delle Versioni  →  Progettazione dell'Impronta
      →  Script di Rilevamento  →  Validazione (revisione TP/FP/FN)  →  Output di Evidenze

1. Ricerca — Identificato CVE-2011-2523 (backdoor di vsftpd 2.3.4): una build troianizzata di vsftpd distribuita in una finestra di ~72 ore nel 2011, attivata da uno specifico pattern di login, che concedeva una shell remota.
2. Progettazione dell'impronta — vsftpd annuncia la sua versione esatta nel banner di benvenuto 220 FTP. Quel banner è la superficie dell'impronta digitale — nessuna autenticazione, nessuno sfruttamento richiesto per leggerlo.
3. Script di rilevamento — fingerprint_vsftpd_cve_2011_2523.py si connette, cattura il banner, lo confronta tramite regex con la firma vulnerabile nota e classifica il risultato.
4. Validazione — Eseguito contro un target Metasploitable2 noto vulnerabile (conferma vero positivo) e una porta chiusa/filtrata (conferma che lo script riporti correttamente indeterminato anziché un falso negativo).
5. Output di evidenze — JSON strutturato per ogni risultato (host, porta, banner, verdetto, motivo, riferimento CVE, timestamp) — progettato per inserirsi in una pipeline di risultati più ampia anziché essere una stampa una tantum.

Screenshot — Script ed Esecuzione di Validazione

Rinominare i file degli screenshot per corrispondere, o aggiornare questi percorsi, una volta caricati in /screenshots.

Dettaglio aggiuntivo dell'esecuzione:

Dettaglio Dettaglio Dettaglio Dettaglio

Utilizzo

# Singolo target
python3 fingerprint_vsftpd_cve_2011_2523.py --target 192.168.56.101

# Batch — più host, output JSON in formato evidenze
python3 fingerprint_vsftpd_cve_2011_2523.py --targets-file targets.json \
    --output evidence/vsftpd_fingerprint_findings.json

Output di esempio:

{
  "scan_type": "vsftpd_2.3.4_backdoor_fingerprint",
  "cve": "CVE-2011-2523",
  "total_targets": 1,
  "vulnerable_count": 1,
  "findings": [
    {
      "host": "192.168.56.101",
      "port": 21,
      "banner": "220 (vsFTPd 2.3.4)",
      "verdict": "vulnerable",
      "reason": "Banner matches known vulnerable signature (vsftpd 2.3.4)"
    }
  ]
}

Riepilogo Validazione

Questa suddivisione a tre vie è il controllo centrale della qualità del rilevamento nel progetto: un rilevatore ingenuo collassa "non ho potuto controllare" e "controllato e pulito" nello stesso risultato, che è esattamente come i falsi negativi si nascondono nella logica di rilevamento in produzione.

Struttura del Repository

.
├── fingerprint_vsftpd_cve_2011_2523.py
├── docs/
│   └── CVE-RESEARCH.md
├── evidence/
│   └── vsftpd_fingerprint_findings.json
├── screenshots/
│   └── (screenshot dello script e dell'esecuzione di validazione)
└── README.md

Roadmap

• Aggiungere moduli di impronta digitale per ulteriori CVE divulgati (espansione oltre vsftpd)
• Aggiungere enumerazione assistita da Nmap NSE come fase di scoperta pre-impronta digitale
• Aggiungere modulo di impronta digitale basato su HTTP/TLS (identificazione di tecnologia web, non solo servizi banner)
• Aggiungere test di regressione automatizzati per falsi positivi/falsi negativi

Visitatori del Repository

Autore

BASSEY SOLOMON HENRY

Ingegnere della Sicurezza Informatica | Ingegnere del Rilevamento | Ricercatore di Vulnerabilità | Purple Team | SIEM | Sicurezza Aziendale

Concentrato sul processo dalla ricerca al rilevamento: portare un CVE divulgato dall'advisory a un'impronta digitale funzionante e validata, in grado di identificare la tecnologia vulnerabile esternamente e su larga scala — costruito su lavoro di laboratorio offensivo e difensivo pratico, non solo teoria.

Connettiti Con Me

Filosofia Personale

"Una vulnerabilità non è un rischio reale finché non puoi provare, su larga scala, quali sistemi la possiedono effettivamente. La ricerca ti dice cosa è possibile — l'ingegneria del rilevamento ti dice cosa è vero."

— Bassey Solomon Henry