検知エンジニアリングと脆弱性リサーチ - CVE-2011-2523 (vsftpd 2.3.4)

CVEから検知シグネチャエンジニアリングへのプロジェクト: 開示された脆弱性をリサーチし、それを外部から識別するフィンガープリントを構築し、実在するラボターゲットに対して検知品質を検証します。

このプロジェクトが存在する理由

ほとんどの脆弱性リサーチポートフォリオは「Xを悪用した」で終わります。このプロジェクトは、検知エンジニアリングが実際に問うている、より本質的な問いを中心に構築されています:

CVEが一度開示されたら、何も悪用せずに、外部から・大規模に、どのインターネット向けアセットが実際にその脆弱なテクノロジーを稼働しているかを、確実に特定するにはどうすればよいか?

このリポジトリは、実際のCVE 1件(CVE-2011-2523、vsftpd 2.3.4バックドア)に関する完全なワークフローを文書化しています。脆弱性リサーチからフィンガープリント設計、検知スクリプトエンジニアリング、実在するラボターゲットに対する検証までを網羅しており、意図的に検知として構築され、悪用を目的としていません。

検知エンジニアリング / 脆弱性リサーチ業務への対応

メソドロジー

CVE Disclosure  →  Research & Version Analysis  →  Fingerprint Design
      →  Detection Script  →  Validation (TP/FP/FN review)  →  Evidence Output

1. リサーチ — CVE-2011-2523(vsftpd 2.3.4バックドア)を特定: 2011年に約72時間の期間だけ配布されたトロイの木馬化されたvsftpdビルドであり、特定のログインパターンによってトリガーされ、リモートシェルを許可します。
2. フィンガープリント設計 — vsftpdはFTPの220ウェルカムバナーで正確なバージョンを通知します。このバナーがフィンガープリントの対象面であり、読み取るために認証も悪用も不要です。
3. 検知スクリプト — fingerprint_vsftpd_cve_2011_2523.pyが接続し、バナーを取得して、既知の脆弱シグネチャと正規表現でマッチングし、結果を分類します。
4. 検証 — 既知の脆弱なMetasploitable2ターゲット(真陽性を確認)とクローズ/フィルタリングされたポート(スクリプトが偽陰性ではなく正しくundeterminedを報告することを確認)に対して実行します。
5. エビデンス出力 — 検出結果ごとの構造化JSON(ホスト、ポート、バナー、判定、理由、CVEリファレンス、タイムスタンプ)— 一度きりのプリントアウトではなく、より大きな検出結果パイプラインに組み込めるように設計されています。

スクリーンショット — スクリプトと検証実行

/screenshotsにアップロードしたら、スクリーンショットのファイル名をこれらに合わせて変更するか、これらのパスを更新してください。

追加の実行詳細:

詳細 詳細 詳細 詳細

使い方

# Single target
python3 fingerprint_vsftpd_cve_2011_2523.py --target 192.168.56.101

# Batch — multiple hosts, evidence-style JSON output
python3 fingerprint_vsftpd_cve_2011_2523.py --targets-file targets.json \
    --output evidence/vsftpd_fingerprint_findings.json

サンプル出力:

{
  "scan_type": "vsftpd_2.3.4_backdoor_fingerprint",
  "cve": "CVE-2011-2523",
  "total_targets": 1,
  "vulnerable_count": 1,
  "findings": [
    {
      "host": "192.168.56.101",
      "port": 21,
      "banner": "220 (vsFTPd 2.3.4)",
      "verdict": "vulnerable",
      "reason": "Banner matches known vulnerable signature (vsftpd 2.3.4)"
    }
  ]
}

検証サマリー

この3方向の分割が、このプロジェクトの中核となる検知品質管理です。素朴な検知器は「確認できなかった」と「確認して問題なし」を同じ結果にまとめてしまいますが、まさにそれが本番の検知ロジックで偽陰性が潜む仕組みです。

リポジトリ構造

.
├── fingerprint_vsftpd_cve_2011_2523.py
├── docs/
│   └── CVE-RESEARCH.md
├── evidence/
│   └── vsftpd_fingerprint_findings.json
├── screenshots/
│   └── (script + validation run screenshots)
└── README.md

ロードマップ

• vsftpd以外にも、追加の開示CVE向けフィンガープリントモジュールを追加
• フィンガープリント前のディスカバリステップとして、Nmap NSE支援の列挙を追加
• HTTP/TLSベースのフィンガープリントモジュールを追加(バナーサービスだけでなく、Webテクノロジー識別)
• 自動化された誤検知/見逃しリグレッションテストを追加

リポジトリ訪問者数

著者

BASSEY SOLOMON HENRY

サイバーセキュリティエンジニア | 検知エンジニア | 脆弱性リサーチャー | パープルチーム | SIEM | エンタープライズセキュリティ

リサーチから検知までのパイプラインに注力: 開示されたCVEをアドバイザリから、脆弱なテクノロジーを外部かつ大規模に識別できる、実動・検証済みのフィンガープリントへと昇華させます。理論だけでなく、実践的な攻撃・防御ラボ業務に基づいて構築されています。

私とつながる

個人哲学

「脆弱性は、どのシステムが実際にそれを抱えているかを大規模に証明できて初めて、現実のリスクになります。リサーチは何が可能かを教え、検知エンジニアリングは何が真実かを教えます。」

— Bassey Solomon Henry