fox-it/citrix-netscaler-triageИнструментарий криминалистической триаж-диагностики для устройств Citrix NetScaler, включающий сканер IOC на основе Dissect для поиска веб-шеллов, подделки временных меток и подозрительных бинарных файлов, а также удалённый сканер версий, выявляющий уязвимости CVE.
Этот репозиторий содержит скрипты для триажа устройств Citrix NetScaler:
iocitrix.py -- скрипт Dissect для триажа образа/цели Citrix NetScaler.scan-citrix-netscaler-version.py -- сканирование и определение версии устройства NetScaler по HTTP(s).Вы можете использовать этот скрипт для сканирования и определения версии устройства Citrix NetScaler по HTTP(s). Он также определит, уязвимо ли устройство NetScaler к конкретным CVE, на основе версии.
scan-citrix-netscaler-version.pyИспользуйте следующие шаги, если вы используете pip:
В случае использования uv вы можете запустить скрипт напрямую:
Пример использования:
$ python3 scan-citrix-netscaler-version.py 192.168.1.10 192.168.1.12
192.168.1.10 (*.local.domain) is running Citrix NetScaler version 13.1-51.15 (VULNERABLE)
192.168.1.12 (*.local.domain) is running Citrix NetScaler version 12.1-55.330 (NOT VULNERABLE)
Или получите результаты в формате JSON:
$ python3 scan-citrix-netscaler-version.py https://192.168.1.11 --json | jq
{
"scanned_at": "2025-09-03T23:11:36.864228+00:00",
"target": "https://192.168.1.11",
"tls_names": "my-first-netscaler.local",
"rdx_en_stamp": 1702886392,
"rdx_en_dt": "2023-12-18T07:59:52+00:00",
"version": "12.1-55.302",
"error": null,
"vulnerable": {
"CVE-2025-5349": true,
"CVE-2025-5777": true,
"CVE-2025-6543": false,
"CVE-2025-7775": true,
"CVE-2025-7776": true,
"CVE-2025-8424": true
},
"is_vulnerable": true
}
Также можно ограничить проверку статуса уязвимости конкретными CVE, используя флаг --cve:
$ python3 scan-citrix-netscaler-version.py https://192.168.1.11 --cve CVE-2025-6543 --json | jq
{
"scanned_at": "2025-09-03T23:16:36.573016+00:00",
"target": "https://192.168.1.11",
"tls_names": "my-first-netscaler.local",
"rdx_en_stamp": 1702886392,
"rdx_en_dt": "2023-12-18T07:59:52+00:00",
"version": "12.1-55.302",
"error": null,
"vulnerable": {
"CVE-2025-6543": false
},
"is_vulnerable": false
}
Чтобы получить результаты в формате CSV, просто используйте флаг --csv.
Для получения дополнительных опций см. --help.
Вы можете использовать iocitrix.py для проверки известных индикаторов компрометации на цели Dissect NetScaler. Он проверяет следующее:
Обратите внимание, что этот скрипт предназначен для запуска на криминалистических образах дисков устройств Citrix NetScaler, а не на самом устройстве. Также см. раздел Создание образов дисков Citrix NetScaler о том, как создать криминалистические образы дисков вашего Citrix NetScaler.
Убедитесь, что у вас установлена последняя версия Dissect; поддержка Citrix NetScaler была добавлена в этом PR: https://github.com/fox-it/dissect.target/pull/357
Отказ от ответственности: Хотя этот инструмент стремится к точности, он может выдавать ложноположительные или ложноотрицательные результаты. Пользователям рекомендуется перепроверять результаты и использовать собственное суждение, прежде чем принимать какие-либо решения на основе выходных данных этого инструмента.
iocitrix.pyИспользуйте следующие шаги:
Обратите внимание, что шаг 4 выведет следующую ошибку, но её можно игнорировать:
ERROR: pip's dependency resolver does not currently take into account all the packages that are installed. This behaviour is the source of the following dependency conflicts.
Затем вы можете запустить iocitrix.py <TARGETS>, чтобы начать проверку IOC для одного или нескольких криминалистических образов. Скрипт принимает любой ввод, который dissect может прочитать как Target, например .VMDK или сырой образ диска. Некоторые примеры приведены ниже.
python3 iocitrix.py image.vmx
python3 iocitrix.py image.vmdk
Если вы также создали криминалистический образ RAM-диска, вы можете использовать iocitrix.py для включения волатильных данных в триаж следующим образом:
python3 iocitrix.py md0.img+image.vmx
python3 iocitrix.py md0.img+image.vmdk
python3 iocitrix.py md0.img+da0.img
Знак + (плюс) загрузит два образа дисков как единую цель Dissect.
Citrix NetScaler предоставляет два важных блочных устройства, которые можно скопировать для офлайн-криминалистического анализа. Эти файлы блочных устройств можно найти по следующим путям:
/dev/md0: Диск, содержащий корневой (/) каталог. Это RAM-диск/dev/da0 или /dev/ada0: Диск, содержащий каталоги /var и /flash. Это постоянный диск.Корневой каталог (/) Citrix NetScaler — это RAM-диск, то есть волатильный диск. Этот диск можно найти по пути /dev/md0, когда NetScaler включён и работает, и он будет недоступен, когда NetScaler выключен. Каталоги /var и /flash находятся на диске /dev/da0 или /dev/ada0 в виде двух отдельных разделов и являются постоянными.
Следующие команды можно использовать на локальной машине Linux для создания копий дисков вашего NetScaler по SSH. Если вы используете Windows, вы можете использовать WSL (wsl.exe) или Git Bash (git-bash.exe) для использования тех же команд. Воздержитесь от использования нативных команд PowerShell, так как PowerShell не обрабатывает должным образом потоковую передачу сырых бинарных данных по SSH.
Это покажет доступные диски, включая то, является ли ваш постоянный диск /dev/da0 или /dev/ada0.
Затем проверьте точный размер:
local ~ $ ssh nsroot@<YOUR-NETSCALER-IP> shell diskinfo /dev/da0
local ~ $ ssh nsroot@<YOUR-NETSCALER-IP> shell diskinfo /dev/ada0
Для RAM-диска:
local ~ $ ssh nsroot@<YOUR-NETSCALER-IP> shell diskinfo /dev/md0
Полученный da0.img или ada0.img будет примерно равен размеру соответствующего устройства, а md0.img — примерно размеру /dev/md0.
local ~ $ df -h .
Убедитесь, что доступно достаточно места для размещения файлов образов дисков, размеры которых были рассчитаны на предыдущем шаге.
/dev/da0 или /dev/ada0 на вашей локальной машинеВ зависимости от имени вашего диска выполните либо
local ~ $ ssh nsroot@<YOUR-NETSCALER-IP> shell dd if=/dev/da0 bs=10M | tail -c +7 | head -c -6 > da0.img
либо
local ~ $ ssh nsroot@<YOUR-NETSCALER-IP> shell dd if=/dev/ada0 bs=10M | tail -c +7 | head -c -6 > ada0.img
Учтите, что это может занять некоторое время. При использовании dd прогресс не отображается.
Рекомендуется подождать, пока вы снова не получите управление над приглашением. Это признак того, что dd завершился.
Команды tail и head используются для удаления SSH-баннеров NetScaler из потока байтов. Учтите, что SSH-баннеры NetScaler могут со временем меняться, и в этом случае вам следует вручную отредактировать команду.