DESCRIÇÃO

Esta ferramenta compara os níveis de patch de um alvo com o banco de dados de vulnerabilidades da Microsoft, a fim de detectar possíveis patches ausentes no alvo. Ela também notifica o usuário se houver exploits públicos e módulos do Metasploit disponíveis para os boletins ausentes.

Ela requer a saída do comando 'systeminfo' de um host Windows para comparar com o banco de dados de boletins de segurança da Microsoft e determinar o nível de patch do host.

Ela tem a capacidade de baixar automaticamente o banco de dados de boletins de segurança da Microsoft com a flag --update, e o salva como uma planilha do Excel.

Ao analisar a saída do comando, é importante observar que ela assume todas as vulnerabilidades e então as remove seletivamente com base nos dados de hotfix. Isso pode resultar em muitos falsos positivos, e é fundamental saber qual software está realmente em execução no host de destino. Por exemplo, se houver exploits conhecidos do IIS, ela os sinalizará mesmo que o IIS não esteja em execução no host de destino.

A saída mostra exploits públicos (E) ou módulos do Metasploit (M), conforme indicado pelo valor do caractere.

Ela foi fortemente inspirada no Linux_Exploit_Suggester da Pentura.

Postagem do Blog: "Apresentando o Windows Exploit Suggester", https://blog.gdssecurity.com/labs/2014/7/11/introducing-windows-exploit-suggester.html

USO

atualize o banco de dados

$ ./windows-exploit-suggester.py --update
[*] initiating...
[*] successfully requested base url
[*] scraped ms download url
[+] writing to file 2014-06-06-mssb.xlsx
[*] done

instale as dependências

(instale o python-xlrd, $ pip install xlrd --upgrade)

alimente-a com a entrada "systeminfo" e aponte-a para o banco de dados da Microsoft

$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt 
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] reading from the systeminfo input file
[*] querying database file for potential vulnerabilities
[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)
[*] there are now 168 remaining vulns
[+] windows version identified as 'Windows 7 SP1 32-bit'
[*] 
[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical
[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important
[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical
[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical
[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical
[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical
[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical
[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[*] done

exploits possíveis para um sistema operacional podem ser usados sem dados de hotfix

$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2' 
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] getting OS information from command line text
[*] querying database file for potential vulnerabilities
[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)
[*] there are now 196 remaining vulns
[+] windows version identified as 'Windows 2008 R2 64-bit'
[*] 
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important
[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important
[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical
[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important
[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important
[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical
[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical

LIMITAÇÕES

Atualmente, se o comando 'systeminfo' revelar 'File 1' como saída para os hotfixes, a ferramenta não conseguirá determinar quais estão instalados no alvo. Se isso ocorrer, a lista de hotfixes precisará ser obtida do host de destino e passada usando a flag --hotfixes

Atualmente, ela não separa 'edições' do sistema operacional Windows, como 'Tablet' ou 'Media Center', por exemplo, nem diferentes arquiteturas, como apenas as baseadas em Itanium

Falsos positivos também ocorrem quando ela assume que TUDO está instalado no sistema operacional Windows de destino. Se você receber a saída 'File 1', tente executar 'wmic qfe list full' e passe isso como entrada com a flag --hotfixes, junto com o 'systeminfo'

LICENÇA

Este programa é software livre: você pode redistribuí-lo e/ou modificá-lo sob os termos da Licença Pública Geral GNU, conforme publicada pela Free Software Foundation, seja a versão 3 da Licença, ou (a seu critério) qualquer versão posterior.

Este programa é distribuído na esperança de que seja útil, mas SEM NENHUMA GARANTIA; sem sequer a garantia implícita de COMERCIABILIDADE ou ADEQUAÇÃO A UM DETERMINADO FIM. Consulte a Licença Pública Geral GNU para mais detalhes.

Você deve ter recebido uma cópia da Licença Pública Geral GNU junto com este programa. Se não, veja http://www.gnu.org/licenses/.

win-exp-

Mais Populares