CUPS 허니팟

개요

이 프로젝트는 CUPS(Common UNIX Printing System)의 취약점에 대한 익스플로잇 시도를 포착하는 허니팟을 구현합니다. 특히 CVE-2024-47177과 관련된 익스플로잇 시도를 모니터링하도록 설계되었습니다. 이 취약점은 PPD 파일의 FoomaticRIPCommandLine 매개변수를 통해 원격 명령 실행을 가능하게 합니다. 이 매개변수에 악의적인 값이 전달되면 사용자 제어 명령으로 실행되어 심각한 보안 위반을 초래할 수 있습니다.

CUPS 및 CVE-2024-47177

CUPS는 다양한 UNIX 계열 운영 체제에서 널리 사용되는 표준 기반의 오픈 소스 인쇄 시스템입니다. cups-filters 패키지는 비-Mac OS 시스템에서 CUPS 2.x에 필수적인 백엔드, 필터 및 유틸리티를 제공합니다. CVE-2024-47177에서 익스플로잇 되는 주요 결함은 FoomaticRIPCommandLine의 부적절한 처리로, CVE-2024-47176에 설명된 것과 같은 다른 논리 버그와 결합하여 호스트 시스템에서 임의 명령을 실행하는 데 악용될 수 있습니다.

이 허니팟은 들어오는 인쇄 작업 요청을 모니터링하고 의심스러운 속성을 검사하여 익스플로잇 시도를 기록하도록 설계되었으며, 특히 명령을 포함할 수 있는 printer-privacy-policy-uri에 중점을 둡니다.

특별 참고 사항

이 프로젝트는 EvilSocket의 초기 공개에서 영감을 받았으며, 이는 CUPS와 관련된 보안 위험을 강조하고 관련 익스플로잇 기술에 대한 포괄적인 개요를 제공합니다.

기능

• 수동 모니터링: 허니팟은 특정 호스트를 적극적으로 대상으로 하지 않고 들어오는 인쇄 작업 요청을 수신하는 수동 모드로 실행될 수 있습니다.
• 익스플로잇 탐지: 인쇄 작업 요청의 속성을 검사하여 CUPS 취약점을 악용하려는 시도를 캡처하고 기록합니다.
• 무작위 프린터 구성: 시스템에서 사용 가능한 PPD를 사용하여 무작위 프린터 드라이버를 자동으로 선택하고 무작위 프린터 이름을 생성합니다.
• UDP 패킷 전송: 선택적으로 지정된 대상 호스트에 브라우징 패킷을 전송하여 네트워크 프린터 광고를 시뮬레이션할 수 있습니다.

요구 사항

이 허니팟을 실행하려면 다음 종속 항목이 설치되어 있는지 확인하십시오.

• Ubuntu 23.x (테스트 완료)
• 시스템에 CUPS 설치
• cups 및 subprocess Python 라이브러리 (표준 Python 설치에 포함됨)

설치

• install.sh 파일을 다운로드하여 실행하십시오:

  root@kitploit:~

  curl -sSL https://raw.githubusercontent.com/referefref/cupspot-2024-47177/refs/heads/main/install.sh | bash
  

사용법

허니팟을 실행하려면 다음 명령을 실행하십시오:

python3 cupspot.py <LOCAL_HOST> [TARGET_HOST]
#<LOCAL_HOST>: The local address where the honeypot will listen for incoming print requests.
#[TARGET_HOST]: (Optional) The IP address of a target host to which browsing packets will be sent.
                #If omitted, the honeypot will run in passive mode.

예제

허니팟을 실행하고 특정 대상에 패킷을 전송:

python3 cupspot.py 127.0.0.1 192.168.1.100

또는 수동 모드로 실행:

python3 cupspot.py 127.0.0.1