説明

このツールは、対象ホストのパッチレベルをMicrosoftの脆弱性データベースと比較し、対象に不足している可能性のあるパッチを検出します。また、不足しているセキュリティ情報に対して公開エクスプロイトやMetasploitモジュールが利用可能かどうかもユーザーに通知します。

Microsoftセキュリティ情報データベースと比較してホストのパッチレベルを判断するには、Windowsホストからの'systeminfo'コマンドの出力が必要です。

--updateフラグを使用して、Microsoftからセキュリティ情報データベースを自動的にダウンロードし、Excelスプレッドシートとして保存する機能があります。

コマンド出力を確認する際、このツールがすべての脆弱性を前提とし、ホットフィックスデータに基づいて選択的に除外することに注意することが重要です。これにより多くの誤検知が発生する可能性があり、対象ホストで実際に実行されているソフトウェアを把握することが重要です。たとえば、既知のIISエクスプロイトがある場合、対象ホストでIISが実行されていなくてもフラグが立てられます。

出力には、文字値で示されるように、公開エクスプロイト（E）またはMetasploitモジュール（M）のいずれかが表示されます。

PenturaによるLinux_Exploit_Suggesterに強く影響を受けています。

ブログ記事: 「Windows Exploit Suggesterの紹介」、https://blog.gdssecurity.com/labs/2014/7/11/introducing-windows-exploit-suggester.html

使い方

データベースを更新する

$ ./windows-exploit-suggester.py --update
[*] initiating...
[*] successfully requested base url
[*] scraped ms download url
[+] writing to file 2014-06-06-mssb.xlsx
[*] done

依存関係をインストールする

(python-xlrdをインストールします。$ pip install xlrd --upgrade)

"systeminfo"入力を与え、Microsoftデータベースを指定します

$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt 
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] reading from the systeminfo input file
[*] querying database file for potential vulnerabilities
[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)
[*] there are now 168 remaining vulns
[+] windows version identified as 'Windows 7 SP1 32-bit'
[*] 
[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical
[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important
[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical
[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical
[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical
[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical
[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical
[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[*] done

ホットフィックスデータなしでオペレーティングシステムのエクスプロイト候補を使用できます

$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2' 
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] getting OS information from command line text
[*] querying database file for potential vulnerabilities
[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)
[*] there are now 196 remaining vulns
[+] windows version identified as 'Windows 2008 R2 64-bit'
[*] 
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important
[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important
[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical
[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important
[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important
[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical
[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical

制限事項

現時点では、'systeminfo'コマンドの出力でホットフィックスが'File 1'と表示される場合、対象にどのホットフィックスがインストールされているかを特定できません。この場合は、対象ホストからホットフィックスのリストを取得し、--hotfixesフラグを使用して渡す必要があります。

現在、'Tablet'や'Media Center'などのWindows OSの'エディション'、またはItaniumベースのみなどの異なるアーキテクチャを区別しません。

また、対象のWindowsオペレーティングシステムにすべてがインストールされていると想定するため、誤検知も発生します。'File 1'の出力を受け取った場合は、'wmic qfe list full'を実行し、その出力を'systeminfo'とともに--hotfixesフラグを使用して入力として渡してみてください。

ライセンス

このプログラムは自由ソフトウェアです。フリーソフトウェア財団によって発行されたGNU General Public License（バージョン3、またはお客様の選択によりそれ以降のバージョン）の条項に基づいて、再配布および/または修正することができます。

このプログラムは有用であることを願って配布されていますが、いかなる保証もありません。商品性または特定目的への適合性の暗黙の保証もありません。詳細については、GNU General Public Licenseを参照してください。

このプログラムとともにGNU General Public Licenseのコピーを受け取っているはずです。受け取っていない場合は、http://www.gnu.org/licenses/ を参照してください。

win-exp-

人気