strozfriedberg/windows-exploit-suggesterこのツールは、対象システムのパッチレベルをMicrosoft脆弱性データベースと比較し、対象に未適用の可能性のあるパッチを検出します。また、未適用のセキュリティ情報（ブルテン）に対して公開エクスプロイトやMetasploitモジュールが利用可能な場合、ユーザーに通知します。
このツールは、対象のパッチレベルをMicrosoftの脆弱性データベースと比較し、潜在的な未適用パッチを検出します。また、未適用のセキュリティ情報に対して公開エクスプロイトやMetasploitモジュールが利用可能な場合、ユーザーに通知します。
このツールは、Windowsホストから取得した'systeminfo'コマンドの出力を必要とし、それをMicrosoftのセキュリティ情報データベースと比較して、ホストのパッチレベルを判定します。
--updateフラグを使用すると、Microsoftからセキュリティ情報データベースを自動的にダウンロードし、Excelスプレッドシートとして保存することができます。
コマンド出力を見る際に重要な点は、このツールがすべての脆弱性を仮定し、ホットフィックスデータに基づいて選択的に除外することです。そのため、多くの誤検出が発生する可能性があり、対象ホストで実際に実行されているソフトウェアを把握することが重要です。例えば、IISの既知のエクスプロイトがある場合、対象ホストでIISが実行されていなくてもフラグが立てられます。
出力では、文字値によって示されるように、公開エクスプロイト(E)またはMetasploitモジュール(M)が表示されます。
このツールは、Pentura氏のLinux_Exploit_Suggesterに大きく影響を受けています。
ブログ記事: 「Windows Exploit Suggesterの紹介」, https://blog.gdssecurity.com/labs/2014/7/11/introducing-windows-exploit-suggester.html
データベースを更新する
$ ./windows-exploit-suggester.py --update
[*] initiating...
[*] successfully requested base url
[*] scraped ms download url
[+] writing to file 2014-06-06-mssb.xlsx
[*] done
依存関係のインストール
(python-xlrdをインストールし、$ pip install xlrd --upgrade)
「systeminfo」入力を与え、Microsoftデータベースを指定します
$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] reading from the systeminfo input file
[*] querying database file for potential vulnerabilities
[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)
[*] there are now 168 remaining vulns
[+] windows version identified as 'Windows 7 SP1 32-bit'
[*]
[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical
[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important
[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical
[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical
[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical
[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical
[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical
[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[*] done
オペレーティングシステムの潜在的なエクスプロイトは、ホットフィックスデータなしでも使用できます
$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2'
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] getting OS information from command line text
[*] querying database file for potential vulnerabilities
[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)
[*] there are now 196 remaining vulns
[+] windows version identified as 'Windows 2008 R2 64-bit'
[*]
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important
[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important
[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical
[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important
[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important
[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical
[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical
現在、'systeminfo'コマンドがホットフィックスの出力として'File 1'を表示する場合、対象にインストールされているものを特定できません。この場合、ホットフィックスのリストを対象ホストから取得し、--hotfixesフラグを使用して渡す必要があります。
現在、Windows OSのエディション（例：'Tablet'や'Media Center'など）や、異なるアーキテクチャ（例：Itaniumベースのみ）を区別しません。
また、対象のWindowsオペレーティングシステムにすべてがインストールされていると仮定するため、誤検出が発生します。'File 1'出力が表示された場合は、'wmic qfe list full'を実行し、その出力を'systeminfo'とともに--hotfixesフラグで入力として与えてみてください。
このプログラムはフリーソフトウェアです。あなたはこれを、フリーソフトウェア財団によって発行されたGNU General Public License（バージョン3、または（あなたの選択により）それ以降のバージョン）の条項の下で再配布したり修正したりすることができます。
このプログラムは有用であることを願って配布されていますが、いかなる保証もありません。商品性や特定目的への適合性の暗黙の保証もありません。詳細についてはGNU General Public Licenseを参照してください。
あなたはこのプログラムとともにGNU General Public Licenseのコピーを受け取っているはずです。そうでない場合は、http://www.gnu.org/licenses/をご覧ください。