jugular

CUPS를 찾기 위해 저그를 사용하세요: 수신 중인 cups-browsed 프로세스를 자극하여 HTTP 콜백을 시도하는 초고속 UDP 발신기입니다.

이것은 UDP 패킷을 네트워크에 직접 쓰는 고성능 스캐너입니다.

설치 (Ubuntu 또는 유사 환경)

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... 또는 빌드에서 Linux x64 바이너리를 다운로드하세요.

사용법

1. jugular에 필요한 네트워크 권한 부여

jugular가 루트로 실행되지 않고도 낮은 포트에 바인딩하고 raw 소켓에 접근할 수 있도록 허용합니다 (한 번만 수행하면 됩니다):

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. jugular 수신 서버 시작. 모든 요청에 404를 응답하지만 요청 헤더를 현재 작업 디렉터리의 json 파일에 저장하는 간단한 HTTP 서버입니다. 원하는 다른 것을 사용해도 됩니다.

jugular listen --bind 0.0.0.0:80

3. 프린터를 알리는 UDP 패킷을 전송하여 CUPS 인스턴스를 찔러보기 시작합니다. 참고: 인터넷 스캐닝은 법적 회색 영역에 있으므로 주의하십시오. 회사 IT 보안 담당자라면 물론 내부에서 사용할 수 있습니다.

jugular를 실행하고 스캔을 수행합니다:

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

이 소프트웨어는 성능상의 이유로 자체 패킷을 생성하여 직접 발신 네트워크에 쓰기 때문에, 올바른 자신의 머신 IP 주소를 할당해야 합니다 (ip addr 명령어로 찾을 수 있음). 원격 인스턴스는 해당 매개변수에 입력한 URL로 다시 라우팅할 수 있어야 합니다.

사냥을 시작하기 전에 로컬에서 테스트하고, 이 소프트웨어가 NAT 방화벽 및 기타 장비를 압도할 수 있음을 명심하십시오 (delay 옵션 사용).

참고: CUPS가 메시지를 수신한 후 사용자가 지정한 URL에 도달하기까지 최대 300초의 지연이 있습니다. 이는 CUPS 소프트웨어 내부에 하드코딩된 스케줄링 대기 때문입니다. 또한 일부 CUPS 서버는 오류 응답을 받은 후에도 URL에 다시 연결을 시도하는 것을 멈추지 않아 무한 알림이 발생할 수 있습니다.

제안된 수정 사항

하나 이상 선택하세요... (Ubuntu의 경우, 다른 배포판은 상황이 다를 수 있음 - 저는 UFW를 업데이트하고 활성화했습니다)

최신 배포판(Ubuntu 등)에서는 CUPS를 업데이트하기만 하면 자동으로 재구성됩니다!

• sudo apt update
• sudo apt upgrade (패키지 "cups"가 업데이트 목록에 표시되어야 함)

CUPS를 유지하되 방화벽을 활성화합니다. 이는 CUPS에 대한 원치 않는 원격 액세스를 차단합니다 (원격 접속 중이라면 주의):

• sudo ufw allow ssh (필요한 경우, http, https 등도 가능)
• sudo ufw enable (방화벽 활성화)

인쇄를 사용하지 않는다면 CUPS를 제거할 수 있습니다:

• sudo apt remove cups

CUPS를 유지하되 중지 및 비활성화:

• sudo systemctl disable --now cups

흥미로운 결과를 얻으시면 알려주시면 감사하겠습니다.

다른 구현체:

• https://github.com/MalwareTech/CVE-2024-47176-Scanner (MalwareTech 제공)