Guia do Usuário do Scanner de Dispositivos Cisco IOS XE para CVE-2023-20198-Scanner

Este é um scanner de impressão digital de webshell projetado para identificar implantes em WebUI do Cisco IOS XE afetados por CVE-2023-20198 e CVE-2023-20273. Este script Python verifica dispositivos Cisco IOS XE comprometidos fazendo requisições HTTP e HTTPS. Ele suporta múltiplas formas de especificar IPs alvo e fornece threading para varredura mais rápida.

ChangeLog

• Adicionado novo arquivo de configuração NGINX de Autenticação do blog da Talos Security
• Adicionado Explicador para funcionalidade do script de configuração LUA.
• Adicionado CURL do Blog da Talos juntamente com o valor HEX de Autorização fornecido pela Talos Security.

Algumas coisas que você pode fazer com este script:

• Escanear um único IP
• Escanear uma lista de IPs (Forneça um arquivo com cada IP em uma nova linha e passe-o como argumento)
• Escanear um intervalo CIDR
• Especificar um UserAgent personalizado
• Especificar novos IoCs no response.text usando um arquivo (IOCS.txt é o arquivo padrão. Certifique-se que cada IoC esteja em uma nova linha.) *Os IoCs conhecidos serão atualizados regularmente caso novos se tornem conhecidos. Todos os IoCs atuais já estão implementados diretamente no código para clareza.
• Capacidade de especificar um proxy para varreduras
• Processamento concorrente para velocidade e eficiência.
• Limitação de Taxa
• Registro de hosts comprometidos.
• Indicação visual de hosts potencialmente comprometidos versus hosts "limpos". - Isto não é uma garantia e é baseado estritamente nos IoCs conhecidos.

Requisitos

• Python 3.x
• Pacotes Python necessários: requests, termcolor, tqdm

Instale os pacotes Python necessários usando pip caso ainda não tenha feito:

pip install requests termcolor tqdm

Uso

O script fornece várias opções de linha de comando para flexibilidade:

--target_file

Especifique um arquivo contendo uma lista de IPs ou nomes de host de dispositivos Cisco IOS XE. Os IPs ou nomes de host devem ser listados um por linha.

Exemplo:

python iosxe-scanner.py --target_file targets.txt

--cidr

Especifique um intervalo CIDR para escanear. O script gerará todos os IPs no intervalo especificado e os escaneará.

Exemplo:

python iosxe-scanner.py --cidr 192.168.1.0/24

--ip

Especifique um único IP para escanear.

Exemplo:

python iosxe-scanner.py --ip 192.168.1.1

--user_agent

Defina um cabeçalho User-Agent personalizado para as requisições HTTP. O padrão é CISCO-IOS-Shell-Scanner-cisco-sa-iosxe-webui-privesc-j22SaA4z.

Exemplo:

python iosxe-scanner.py --user_agent "MyCustomUserAgent"

--rate_limit

Defina um limite de taxa em segundos entre requisições. O padrão é 1 segundo.

Exemplo:

python iosxe-scanner.py --rate_limit 0.5

--proxy

Especifique um Proxy HTTP para usar nas requisições.

Exemplo:

python iosxe-scanner.py --proxy http://127.0.0.1:8080

--iocs_file

Especifique um arquivo contendo Indicadores de Comprometimento (IoCs) para procurar no texto de resposta. O padrão é IOCS.txt.

Exemplo:

python iosxe-scanner.py --iocs_file custom_iocs.txt

Exemplos

Escanear uma lista de alvos de um arquivo com limite de taxa de 0,5 segundos

python iosxe-scanner.py --target_file targets.txt --rate_limit 0.5

Escanear um intervalo CIDR usando um proxy

python iosxe-scanner.py --cidr 192.168.1.0/24 --proxy http://127.0.0.1:8080

Escanear um único IP com um User-Agent personalizado

python iosxe-scanner.py --ip 192.168.1.1 --user_agent "MyCustomUserAgent"

Escanear usando um arquivo de IoCs personalizado

python iosxe-scanner.py --iocs_file custom_iocs.txt

Notas

• Este script desabilita a verificação de certificados SSL para fazer requisições HTTPS. Use este recurso com cautela.
• Este script é fornecido "Como Está" SEM GARANTIA. USE POR SUA CONTA E RISCO!
• O uso deste script pode ser ilegal em seu país ou jurisdição. Embora ele apenas faça requisições HTTP(S) simples e verifique respostas específicas, cabe a você determinar se seu uso é legal/ético e apropriado. NÃO SEJA UM IDIOTA.

Se você achar este script útil, sinta-se à vontade para me avisar ou me seguir no Twitter(𝕏) https://twitter.com/shadow0pz