Windows Exploit Suggester — следующее поколение (WES-NG)

WES-NG — это инструмент, основанный на выводе утилиты Windows systeminfo, который предоставляет список уязвимостей, которым подвержена ОС, включая эксплойты для этих уязвимостей. Поддерживаются все версии Windows от Windows XP до Windows 11, включая соответствующие серверные редакции.

В блоге BITSADMIN доступна подробная статья о WES-NG: Windows Security Updates for Hackers.

Использование

Загрузите WES-NG с помощью pip install wesng или выполнив следующую команду: git clone https://github.com/bitsadmin/wesng --depth 1
Получите последнюю базу уязвимостей, выполнив команду wes.py --update
Есть два способа проверить отсутствующие обновления: a. Запустите missingkbs.vbs или missingkbs.ps1 на хосте, чтобы Windows определила, какие патчи отсутствуют. b. Используйте встроенную утилиту Windows systeminfo.exe для получения информации о системе локально или с удалённого компьютера с помощью systeminfo /S MyRemoteHost и перенаправьте вывод в файл: systeminfo > systeminfo.txt
В зависимости от выбранного метода на шаге 3 выполните WES-NG: a. С файлом missing.txt в качестве входных данных: wes.py --missing missing.txt (или wes.py -m missing.txt) b. С файлом systeminfo.txt в качестве параметра: wes.py systeminfo.txt Затем WES-NG использует базу данных для определения, какие патчи применимы к системе и к каким уязвимостям она подвержена в данный момент, включая доступные эксплойты.
Поскольку данные из канала MSRC от Microsoft часто неполны и wes.py сообщает о ложных срабатываниях, @DominicBreuker добавил параметр --muc-lookup для проверки идентифицированных отсутствующих патчей из файла systeminfo.txt через каталог обновлений Microsoft. Дополнительно обязательно ознакомьтесь со страницей Eliminating false positives в вики, чтобы узнать, как интерпретировать результаты. Обзор всех доступных параметров для missingkbs.vbs, missingkbs.ps1 и wes.py можно найти в CMDLINE.md.

Демонстрация

Gif-анимация, показывающая использование Windows Exploit Suggester — следующее поколение

Сборщик (Collector)

Этот репозиторий GitHub регулярно обновляет базу уязвимостей, поэтому запуск wes.py с параметром --update даёт последнюю версию. Если требуется ручное создание CSV-файла с информацией об исправлениях, используйте скрипты из папки /collector для компиляции базы данных. Прочитайте комментарии в начале каждого скрипта и выполните их в указанном ниже порядке. Выполнение этих скриптов создаст файл definitions.zip. Сборщик WES-NG получает информацию из различных источников:

Microsoft Security Bulletin Data: исправления для старых систем [1]
MSRC: API обновлений безопасности Microsoft Security Response Center (MSRC) — стандартный источник информации для современных обновлений Microsoft [2]
NIST National Vulnerability Database (NVD): дополнение уязвимостей ссылками на Exploit-DB [3]
OffSec Exploit-DB [4] Они объединяются в единый CSV-файл, который сжимается и размещается в этом репозитории GitHub.

Обоснование

Я разработал WES-NG, потому что, хотя Windows-Exploit-Suggester от GDSSecurity отлично работал для операционных систем эпохи Windows XP и Windows Vista, он не работает для таких систем, как Windows 11, и для уязвимостей, опубликованных в последние годы. Это связано с тем, что Microsoft заменила файл Excel с данными бюллетеней безопасности [1], на который полностью полагался инструмент GDSSecurity, на API MSRC [2]. Файл Excel с данными бюллетеней безопасности не обновлялся с первого квартала 2017 года, поэтому более новые операционные системы и уязвимости не могут быть обнаружены. Спасибо @gdssecurity за этот замечательный инструмент, который служил многим из нас долгие годы!

Ошибки

Сообщать об ошибках можно через страницу Issues
По поводу ложных срабатываний в результатах сначала прочтите страницу Eliminating false positives в вики. Если это не помогло значительно сократить количество ложных срабатываний, следуйте инструкциям на странице Reporting false positives в вики.