CVE-2024-6387 HASSH 지문

잠재적으로 CVE-2024-6387(regreSSHion)에 취약한 OpenSSH 서버를 식별하기 위한 HASSH 지문입니다.

이 저장소의 주요 목표는 생성된 HASSH 지문 데이터베이스를 공유하는 것입니다. 스크립트는 Shodan API를 사용하여 취약한 OpenSSH 버전에 대한 HASSH 지문 목록을 컴파일합니다. 생성된 데이터베이스는 Shodan 또는 Censys를 쿼리하여 잠재적으로 취약한 OpenSSH 서버를 식별하는 데 사용할 수 있습니다. hasshdb.txt 데이터베이스는 hassh-utils에서 제공되는 Nmap NSE 스크립트와 함께 사용할 수도 있습니다.

배경

SSH 서버 식별 문자열(일명 버전 문자열)은 Cowrie와 같은 허니팟에서 볼 수 있듯이 쉽게 스푸핑될 수 있으므로 SSH 서버 구현 및 버전을 식별하는 신뢰할 수 있는 방법이 아닙니다. Ben Reardon이 개발하고 (저와 John Althouse의 기여가 포함된) HASSH는 SSH_MSG_KEXINIT 메시지의 KEX, 암호화, MAC 및 압축 알고리즘을 결합하여 특정 SSH 구현에 대한 지문을 생성하는 핑거프린팅 기술입니다. HASSH에 대한 자세한 내용은 Salesforce 엔지니어링 블로그 게시물과 HASSH 저장소를 참조하십시오.

최근 OpenSSH의 RCE 취약점(Qualys 블로그 게시물)을 고려하여, HASSH가 Shodan과 Censys 모두에서 지원되고 특정 SSH 서버 구현 및 버전을 식별하는 더 신뢰할 수 있는 방법을 제공하므로 지문 데이터베이스를 생성하는 것이 가치 있다고 생각했습니다.

HASSH 지문은 Shodan에서 ssh.hassh 쿼리로, Censys에서 services.ssh.hassh_fingerprint 쿼리로 검색할 수 있습니다.

생성된 데이터

Shodan 스크립트는 다음 데이터 파일을 생성합니다:

• hasshdb.txt: 포맷된 HASSH 지문과 연결된 OpenSSH 버전(신뢰도 백분율 포함)을 포함하는 텍스트 파일.
• hasshdb.json: 각 HASSH 지문을 OpenSSH 버전 및 개수에 매핑하는 HASSH 데이터베이스가 포함된 JSON 파일.
• potentially-vulnerable.json: 잠재적으로 취약한 서버의 HASSH 지문, 총 개수 및 상위 100개 버전/식별 문자열이 포함된 JSON 파일.

참고: 스크립트는 Shodan의 패싯과 count() 메서드를 사용합니다. 이 메서드는 상세 결과를 반환하지 않으며 유료 API 요금제가 필요하지 않습니다. 이 메서드는 search() 메서드보다 훨씬 빠릅니다.