strozfriedberg/windows-exploit-suggester이 도구는 대상의 패치 수준을 Microsoft 취약점 데이터베이스와 비교하여 대상에 누락되었을 수 있는 패치를 감지합니다. 또한 누락된 보안 공지에 대해 공개 익스플로잇과 Metasploit 모듈이 제공되는 경우 사용자에게 알려줍니다.
이 도구는 대상의 패치 수준을 Microsoft 취약점 데이터베이스와 비교하여 대상에 누락된 패치를 탐지합니다. 또한 누락된 게시판에 대해 공개 익스플로잇 및 Metasploit 모듈이 있는 경우 사용자에게 알립니다.
Windows 호스트에서 'systeminfo' 명령의 출력을 필요로 하며, 이를 Microsoft 보안 게시판 데이터베이스와 비교하여 호스트의 패치 수준을 결정합니다.
--update 플래그를 사용하여 Microsoft에서 보안 게시판 데이터베이스를 자동으로 다운로드하고 Excel 스프레드시트로 저장하는 기능이 있습니다.
명령 출력을 볼 때, 모든 취약점을 가정한 다음 핫픽스 데이터를 기반으로 선택적으로 제거한다는 점에 유의해야 합니다. 이로 인해 많은 오탐(false-positive)이 발생할 수 있으며, 대상 호스트에서 실제로 실행 중인 소프트웨어를 아는 것이 중요합니다. 예를 들어, 알려진 IIS 익스플로잇이 있는 경우 대상 호스트에서 IIS가 실행 중이 아니더라도 이를 플래그로 표시합니다.
출력은 문자 값으로 표시된 대로 공개 익스플로잇(E) 또는 Metasploit 모듈(M)을 표시합니다.
Pentura의 Linux_Exploit_Suggester에서 많은 영감을 받았습니다.
블로그 게시물: "Introducing Windows Exploit Suggester", https://blog.gdssecurity.com/labs/2014/7/11/introducing-windows-exploit-suggester.html
데이터베이스 업데이트
$ ./windows-exploit-suggester.py --update
[*] initiating...
[*] successfully requested base url
[*] scraped ms download url
[+] writing to file 2014-06-06-mssb.xlsx
[*] done
의존성 설치
(python-xlrd 설치, $ pip install xlrd --upgrade)
"systeminfo" 입력을 제공하고 Microsoft 데이터베이스를 지정합니다.
$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] reading from the systeminfo input file
[*] querying database file for potential vulnerabilities
[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)
[*] there are now 168 remaining vulns
[+] windows version identified as 'Windows 7 SP1 32-bit'
[*]
[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical
[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important
[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical
[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical
[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical
[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical
[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical
[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[*] done
운영체제에 대한 가능한 익스플로잇은 핫픽스 데이터 없이 사용할 수 있습니다.
$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2'
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] getting OS information from command line text
[*] querying database file for potential vulnerabilities
[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)
[*] there are now 196 remaining vulns
[+] windows version identified as 'Windows 2008 R2 64-bit'
[*]
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important
[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important
[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical
[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important
[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important
[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical
[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical
현재 'systeminfo' 명령이 핫픽스에 대한 출력으로 'File 1'을 표시하는 경우, 대상에 설치된 핫픽스를 확인할 수 없습니다. 이 경우 핫픽스 목록을 대상 호스트에서 검색하여 --hotfixes 플래그를 사용해 전달해야 합니다.
현재 Windows OS의 'Tablet' 또는 'Media Center'와 같은 '에디션'이나 Itanium 기반만의 다른 아키텍처를 구분하지 않습니다.
또한 대상 Windows 운영체제에 EVERYTHING이 설치되어 있다고 가정하여 오탐이 발생합니다. 'File 1' 출력이 표시되면 'wmic qfe list full'을 실행한 후 해당 출력을 --hotfixes 플래그와 함께 'systeminfo'와 같이 입력으로 제공해 보세요.
이 프로그램은 자유 소프트웨어입니다. 자유 소프트웨어 재단(Free Software Foundation)이 발표한 GNU 일반 공중 사용 허가서(GNU General Public License) v3 또는 (선택에 따라) 이후 버전의 조건에 따라 재배포 및/또는 수정할 수 있습니다.
이 프로그램은 유용하기를 바라며 배포되지만, 어떠한 보증도 제공하지 않습니다. 상품성 또는 특정 목적에의 적합성에 대한 묵시적 보증조차 제공하지 않습니다. 자세한 내용은 GNU 일반 공중 사용 허가서를 참조하십시오.
이 프로그램과 함께 GNU 일반 공중 사용 허가서의 사본을 받아야 합니다. 받지 못했다면 http://www.gnu.org/licenses/를 참조하십시오.