CVE-2023-20198 チェックスクリプトのベース: https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/ 既知のインプラントを確認するためのAuthorizationヘッダーがある更新版を含む。
!! アップグレードされたインプラントを検出するように更新
このスクリプトは、ステータスコード200の応答の長さを確認し、32文字より短い場合をチェックします。32文字より短い応答を返す各IPは、デバイスが侵害されているかどうかを確認するために調べる必要があります。このスクリプトはあくまで指標を提供するものであり、デバイスが侵害されているという証明ではありません。
また、Fox-ITによって発見された、インプラントがアップグレードされているかどうかもチェックします: https://github.com/fox-it/cisco-ios-xe-implant-detection
実行:
python cve-2023-20198.py
and enter you desired subnet to scan. For example:
python CVE-2023-20198
Enter the subnet (CIDR notation): 10.0.0.0/22
IP: 10.0.0.94 - Error: no reply
IP: 10.0.0.94 - Error: no reply
IP: 10.0.0.96 - Status: 200
IP: 10.0.0.96 - Response is a potentially suspicious:
IPs with status code 200, suspicious length, should be checked:
['10.0.0.96']
IPs with status code 200, but no IOC:
[]