jugular

Use o jugular para procurar por CUPS: um emissor UDP ultrarrápido, que tenta provocar processos cups-browsed em escuta para realizar um callback HTTP.

Este é um scanner de alta performance que escreve pacotes UDP diretamente na rede.

Instalação (Ubuntu ou similar)

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... ou baixe o binário Linux x64 dos builds

Uso

1. Conceda ao jugular as permissões de rede necessárias

Permita que o jugular vincule portas baixas e acesse sockets brutos sem ser executado como root (você só precisa fazer isso uma vez):

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. Inicie o servidor de escuta do jugular. É um servidor HTTP simples que responde com 404 a todas as requisições, mas salva os cabeçalhos das requisições em arquivos json no diretório de trabalho atual - você pode usar algo diferente se quiser

jugular listen --bind 0.0.0.0:80

3. Comece a sondar instâncias CUPS, enviando pacotes UDP que anunciam uma impressora. Nota: escanear a internet está na área cinzenta da legalidade, então tenha cuidado. Se você é da segurança de TI da empresa, pode usá-lo internamente, é claro.

Execute o jugular e faça a varredura:

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

Como este software cria e escreve seus próprios pacotes diretamente em uma rede de saída por motivos de desempenho, você precisa atribuir o endereço IP correto da sua máquina (execute ip addr para encontrá-lo). As instâncias remotas também precisam conseguir rotear de volta para a URL que você colocou nesse parâmetro.

Teste localmente antes de sair em uma caçada e lembre-se de que este software pode sobrecarregar seu firewall NAT e outros equipamentos (use a opção de atraso).

POR FAVOR, NOTE Há um atraso de até 300 segundos desde o CUPS receber a mensagem até ele alcançar a URL que você forneceu. Isso se deve a uma espera de agendamento codificada dentro do software CUPS. Você também pode disparar notificações infinitas, pois alguns servidores CUPS não param de tentar conectar de volta à URL mesmo depois de receberem uma resposta de erro.

CORREÇÕES SUGERIDAS

Escolha uma ou mais ... (para Ubuntu, pode variar em outros - eu atualizei e habilitei o ufw)

Em uma distro recente (Ubuntu e outras), basta atualizar o CUPS, ele será reconfigurado para você!

• sudo apt update
• sudo apt upgrade (o pacote "cups" deve estar listado entre os que serão atualizados)

Mantenha o CUPS, mas habilite o firewall. Isso desativa o acesso remoto não solicitado ao CUPS (tenha cuidado se você estiver remoto):

• sudo ufw allow ssh (se precisar disso, pode ser também http, https etc)
• sudo ufw enable (habilita o firewall)

Você pode remover o CUPS se não estiver imprimindo:

• sudo apt remove cups

Mantenha o CUPS, mas pare e desabilite-o:

• sudo systemctl disable --now cups

Se você obtiver resultados interessantes, adoraria ouvir sobre eles.

Outras implementações:

• https://github.com/MalwareTech/CVE-2024-47176-Scanner por MalwareTech