Windows Exploit Suggester - Próxima Geração (WES-NG)

O WES-NG é uma ferramenta baseada na saída do utilitário systeminfo do Windows que fornece a lista de vulnerabilidades às quais o SO está vulnerável, incluindo quaisquer exploits para essas vulnerabilidades. Todos os sistemas Windows entre Windows XP e Windows 11, incluindo suas contrapartes Windows Server, são suportados.

No blog BITSADMIN, um artigo aprofundado sobre o WES-NG está disponível: Windows Security Updates for Hackers.

Utilização

1. Baixe o WES-NG usando pip install wesng ou usando a seguinte linha de comando: git clone https://github.com/bitsadmin/wesng --depth 1
2. Obtenha a base de dados mais recente de vulnerabilidades executando o comando wes.py --update
3. Existem duas opções para verificar patches ausentes: a. Execute missingkbs.vbs ou missingkbs.ps1 no host para que o Windows determine quais patches estão faltando b. Use a ferramenta interna systeminfo.exe do Windows para obter as informações do sistema local, ou de um sistema remoto usando systeminfo /S MyRemoteHost, e redirecione para um arquivo: systeminfo > systeminfo.txt
4. Dependendo do método escolhido no passo 3, execute o WES-NG: a. Com o arquivo missing.txt como entrada: wes.py --missing missing.txt (ou wes.py -m missing.txt) b. Com o arquivo systeminfo.txt como parâmetro: wes.py systeminfo.txt O WES-NG então usa a base de dados para determinar quais patches são aplicáveis ao sistema e a quais vulnerabilidades ele está atualmente exposto, incluindo exploits, se disponíveis.
5. Como os dados fornecidos pelo feed MSRC da Microsoft são frequentemente incompletos e falsos positivos são reportados pelo wes.py, @DominicBreuker contribuiu com o parâmetro --muc-lookup para validar patches ausentes identificados a partir do arquivo systeminfo.txt contra o Catálogo de Atualizações da Microsoft. Além disso, certifique-se de verificar a página Eliminating false positives na Wiki sobre como interpretar os resultados. Para uma visão geral de todos os parâmetros disponíveis para missingkbs.vbs, missingkbs.ps1 e wes.py, consulte CMDLINE.md.

Demonstração

Coletor

Este repositório GitHub atualiza regularmente a base de dados de vulnerabilidades, portanto, executar wes.py com o parâmetro --update obtém a versão mais recente. Se for necessária a geração manual do arquivo .csv com informações de hotfix, use os scripts da pasta /collector para compilar a base de dados. Leia os comentários no topo de cada script e execute-os na ordem listada abaixo. A execução desses scripts produzirá definitions.zip. O coletor do WES-NG obtém informações de várias fontes:

• Microsoft Security Bulletin Data: KBs para sistemas antigos [1]
• MSRC: A API de Atualização de Segurança da Microsoft do Microsoft Security Response Center (MSRC): Fonte padrão de informações para Atualizações Modernas da Microsoft [2]
• NIST National Vulnerability Database (NVD): Complemente vulnerabilidades com links do Exploit-DB [3]
• OffSec Exploit-DB [4] Estes são combinados em um único arquivo .csv que é compactado e hospedado neste repositório GitHub.

Justificativa

Desenvolvi o WES-NG porque, enquanto o Windows-Exploit-Suggester do GDSSecurity funcionou excelentemente para sistemas operacionais na era do Windows XP e Windows Vista, o Windows-Exploit-Suggester do GDSSecurity não funciona para sistemas operacionais como o Windows 11 e vulnerabilidades publicadas nos últimos anos. Isso ocorre porque a Microsoft substituiu o arquivo Excel Microsoft Security Bulletin Data [1] do qual o Windows-Exploit-Suggester do GDSSecurity depende totalmente, pela API MSRC [2]. O arquivo Excel Microsoft Security Bulletin Data não é atualizado desde o primeiro trimestre de 2017, portanto, sistemas operacionais e vulnerabilidades posteriores não podem ser detectados. Obrigado @gdssecurity, por esta ótima ferramenta que serviu a muitos de nós por tantos anos!

Bugs

• Erros podem ser submetidos através da página Issues
• Para falsos positivos nos resultados, leia primeiro a página Eliminating false positives na Wiki. Caso isso não reduza significativamente o número de falsos positivos, siga os passos na página Report false positives na Wiki.

Changelog

Consulte CHANGELOG.md

Melhorias

• Adicionar suporte para a saída do cmdlet Get-SystemInfo do NoPowerShell
• Adicionar suporte para formatos de saída alternativos do systeminfo (csv, table)
• Mais testes sobre as vulnerabilidades de falso positivo retornadas - veja também a wiki

Referências

[1] https://www.microsoft.com/download/details.aspx?id=36982

[2] https://portal.msrc.microsoft.com/en-us/developer

[3] https://nvd.nist.gov/vuln/data-feeds

[4] https://www.exploit-db.com/

Autoria de Arris Huijgen (@bitsadmin - https://github.com/bitsadmin/)