3つのスクリプト

これらは独立しています。1つだけ実行しても、3つすべて実行しても構いません。regexスクリプトは見つけた結果を自動的に他の2つに引き渡します。

インストール

macOS、Linux、Kali、WSL - 1行で、引数なし:

curl -fsSL https://raw.githubusercontent.com/vulnersCom/nmap-vulners/master/install.sh | sh

Windows - 管理者としてPowerShell:

irm https://raw.githubusercontent.com/vulnersCom/nmap-vulners/master/install.ps1 | iex

インストーラはnmapにデータの保存場所を問い合わせ、スクリプトとそのデータファイルをそこへコピーし、スクリプトデータベースを再構築してから、--script vulnersが実際にインストールしたばかりのものを参照することを確認します。nmapには独自のvulners.nseが同梱されており、これがそれを置き換えます。

# into ~/.nmap, no sudo; the installer prints the NMAPDIR line to add to your profile
curl -fsSL https://raw.githubusercontent.com/vulnersCom/nmap-vulners/master/install.sh | sh -s -- --user

# a specific directory
./install.sh --prefix /usr/local/share/nmap

# a specific release
./install.sh --ref v1.5

# remove everything it installed
./install.sh --uninstall

git clone https://github.com/vulnersCom/nmap-vulners
cd nmap-vulners
./install.sh

nmap -sV --script "$PWD/vulners.nse" <target>

使い方

vulners - キー不要

nmap -sV --script vulners [--script-args mincvss=<score>] <target>

nmapが報告するすべてのCPEが検索され、各脆弱性はスコア、そのスコアの基準、リンクとともに出力されます。既知のエクスプロイトがあるエントリは*EXPLOIT*とマークされ、しきい値に関係なく表示されます。悪用される低重要度のバグでも、あなたは侵害されるからです。

vulners_enterprise - Vulners APIキー

export VULNERS_API_KEY=<token>
nmap -sV --script vulners_enterprise [--script-args mincvss=<score>] <target>

エンタープライズエンドポイントは、CVSS v3メトリクスとVulnersが収集したエクスプロイトの参照情報を返します。そのため、悪用されたCVEは*HAS EXPLOIT*とマークされ、エクスプロイト自体がその隣にリストされます。1つのポートのすべてのCPEは1つのリクエストで送信されます。

http-vulners-regex - -sVが特定できないソフトウェアをフィンガープリント

nmap -sV --script http-vulners-regex [--script-args paths={"/"}] <target>

178のパターンがHTTPヘッダーとページのマークアップ - Server、X-Powered-By、ジェネレータタグ、アセットURL - をCPEにマッピングします: Webサーバー、CMS、フレームワーク、WordPressプラグイン、JavaScriptライブラリ。見つけたものはすべてポートに公開されるため、vulnersとvulners_enterpriseは同じスキャン内でそれを検索します。

スクリプト引数

vulners

vulners_enterprise

http-vulners-regex

パスリスト全体が単一のHTTPパイプラインで送信されます。読み取れないファイルがあると、同梱リストにフォールバックするのではなくスクリプトが停止します。そのため、ファイル名のタイポによって3パスのスキャンが125パスのスキャンになることはありません。

APIキーの保管場所

優先順位の高い順:

1. 環境変数VULNERS_API_KEY
2. --script-args vulners_enterprise.api_key_file=/absolute/path
3. --script-args vulners_enterprise.api_key=<token>

3番目は便利ですが、情報漏洩のリスクがあります。nmapは自身のコマンドラインをすべてのレポートにコピーするため、トークンは-oX出力のargs属性とシェル履歴に残ります。スクリプト自体はデバッグ出力を含め、トークンをどこにも書き込みません。それを保証するリグレッションテストがあります。

トークンはvulners.comアカウントにあります。トークンがない場合、vulners_enterpriseは何も送信せず沈黙します。

3つの連携の仕組み

nmap -sV
   |
   +-- service fingerprint --> port.version.cpe ------------+
   |                                                        |
   +-- http-vulners-regex.nse                               |
         requests the path list in one pipeline             |
         matches headers and bodies against 178 patterns    |
         publishes the CPEs it found for that port ---------+
                                                            |
                                                            v
                                     vulners.nse / vulners_enterprise.nse
                                        one batched request per port
                                        answers cached for the whole scan
                                        sorted by CVSS, exploits marked

機械可読な出力

スクリプトが出力するものはすべて構造化されているため、-oX出力を人間向けのテキストに触れることなく解析できます:

<script id="vulners_enterprise">
  <table key="cpe:/a:apache:http_server:2.4.7">
    <table>
      <elem key="id">CVE-2021-44790</elem>
      <elem key="type">cve</elem>
      <elem key="cvss">9.8</elem>
      <elem key="cvss_type">cvss3.1</elem>
    </table>
    <table>
      <elem key="id">EDB-ID:51193</elem>
      <elem key="type">exploitdb</elem>
      <elem key="cvss">9.8</elem>
      <elem key="cvss_type">cvss3.1</elem>
      <elem key="is_exploit">true</elem>
    </table>
  </table>
</script>

キーはid、type、cvss、cvss_type、is_exploitで、is_exploitは該当するエントリにのみ存在します。結果テーブルは、検索対象となったCPEをキーとしています。スコアなしのセキュリティ情報にはcvssもcvss_typeも含まれません。

丁寧なスキャン

ネットワークのスキャンは、見た目よりもはるかに少ない回数しかAPIに問い合わせません:

• ポートのすべてのCPEは1つのバッチリクエストにまとめられます
• 回答はスキャン全体でキャッシュされるため、100台の同一サーバーでも100回ではなく1回のルックアップで済みます
• 進行中のルックアップは繰り返されず、待機されます
• 125パスのスイープは126ではなく5つのTCP接続で実行され、サーバーが対応している場合は圧縮ページを要求します
• レート制限や障害が発生した場合、ホストごとに再試行するのではなく、スキャンのリクエストを停止します

開発

テスト、ハイジーンゲート、CONTRIBUTING.mdはgitリポジトリにのみ存在します。リリースアーカイブにはスクリプトとそのデータが同梱されます。3つのゲートは、特記のない限りすべてオフラインで動作します:

nmap -sn -Pn --script ./tests/run.nse --script-args testdir=tests,root=. 127.0.0.1
python3 tests/e2e/run_e2e.py
python3 tools/check.py

110のユニットテストケースが実際のNSEライブラリに対してnmap内で実行され、33のエンドツーエンドケースが実際のnmapバイナリをローカルWebサーバーと模擬Vulners APIに対して実行します。ハイジーンゲートは、シークレット、スキャン出力、エディタの作業ファイルをツリーから排除します。python3 tests/e2e/run_e2e.py --liveは実際のサービスに対する6つのチェックを追加します。CONTRIBUTING.mdを参照してください。

FAQ

何かをエクスプロイトしますか? いいえ。スクリプトはバナーとページを読み取り、データベースに問い合わせるだけです。nmapのsafeカテゴリに属しています。

APIキーなしで動作しますか? はい。vulnersとhttp-vulners-regexはキーを必要としません。vulners_enterpriseは必要です。

ある脆弱性がcvss2.0を表示し、別の脆弱性がcvss3.1を表示するのはなぜですか? そのラベルはスコアの基準を示しています。Vulnersはソースが公開した基準を返します。v2の9.3はv3の9.3と同じではありません。

mincvssを設定したのに、低スコアのエントリが表示されるのはなぜですか? 既知のエクスプロイトがあるか、ソースがスコアを付けていないためです。どちらも意図的な動作です。

脆弱性があると分かっているホストで何も見つかりません。 -d2を付けて実行してください。スクリプトは問い合わせたすべてのCPEをログに記録します。通常、nmapがサービス名は特定してもバージョンは特定できておらず、検索するバージョンがない状態です。

ライセンス

スクリプトはNmap自体と同じライセンスです。Nmap Public Source LicenseについてはLICENSE、その意味についてはnmap.org/npslを参照してください。

脆弱性データはVulnersから提供され、その利用規約に従います。

関連リンク

• vulners.com - これらのスクリプトの背後にあるデータベース
• vulnersCom/api - Pythonクライアント
• vulnersCom/burp-vulners-scanner - Burp Suite内で同じデータを利用
• nmap.org/book/nse.html - NSEスクリプトの仕組み