ОПИСАНИЕ

Этот инструмент сравнивает уровни установленных обновлений целевой системы с базой данных уязвимостей Microsoft, чтобы обнаружить потенциально отсутствующие исправления на целевом узле. Он также уведомляет пользователя, если для отсутствующих бюллетеней безопасности доступны публичные эксплойты и модули Metasploit.

Для работы ему требуется вывод команды 'systeminfo' с узла Windows, чтобы сравнить его с базой данных бюллетеней безопасности Microsoft и определить уровень обновлений узла.

Он умеет автоматически загружать базу данных бюллетеней безопасности с сайта Microsoft с помощью флага --update и сохраняет её в виде электронной таблицы Excel.

При просмотре выходных данных важно отметить, что инструмент предполагает наличие всех уязвимостей, а затем выборочно исключает их на основе данных об исправлениях. Это может привести ко множеству ложных срабатываний, поэтому крайне важно знать, какое программное обеспечение на самом деле запущено на целевом узле. Например, если существуют известные эксплойты для IIS, они будут отмечены, даже если IIS не запущен на целевом узле.

В выводе отображаются либо публичные эксплойты (E), либо модули Metasploit (M), о чём свидетельствует символьное значение.

Инструмент создан под сильным влиянием Linux_Exploit_Suggester от Pentura.

Сообщение в блоге: «Introducing Windows Exploit Suggester», https://blog.gdssecurity.com/labs/2014/7/11/introducing-windows-exploit-suggester.html

ИСПОЛЬЗОВАНИЕ

обновление базы данных

$ ./windows-exploit-suggester.py --update
[*] initiating...
[*] successfully requested base url
[*] scraped ms download url
[+] writing to file 2014-06-06-mssb.xlsx
[*] done

установка зависимостей

(установите python-xlrd: $ pip install xlrd --upgrade)

передайте инструменту вывод «systeminfo» и укажите путь к базе данных Microsoft

$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt 
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] reading from the systeminfo input file
[*] querying database file for potential vulnerabilities
[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)
[*] there are now 168 remaining vulns
[+] windows version identified as 'Windows 7 SP1 32-bit'
[*] 
[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical
[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important
[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical
[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical
[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical
[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical
[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical
[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[*] done

возможные эксплойты для операционной системы можно искать и без данных об исправлениях

$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2' 
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] getting OS information from command line text
[*] querying database file for potential vulnerabilities
[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)
[*] there are now 196 remaining vulns
[+] windows version identified as 'Windows 2008 R2 64-bit'
[*] 
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important
[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important
[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical
[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important
[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important
[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical
[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical

ОГРАНИЧЕНИЯ

В настоящее время, если вывод команды 'systeminfo' показывает 'File 1' в качестве результата для исправлений, инструмент не сможет определить, какие из них установлены на целевом узле. Если это произойдёт, список исправлений необходимо будет получить с целевого узла и передать с помощью флага --hotfixes.

В настоящее время инструмент не различает «издания» операционной системы Windows, например «Tablet» или «Media Center», а также различные архитектуры, например только Itanium.

Ложные срабатывания также возникают из-за того, что инструмент предполагает, что на целевой системе Windows установлено ВСЁ. Если вы получили вывод 'File 1', попробуйте выполнить 'wmic qfe list full' и передать его вместе с выводом 'systeminfo' с помощью флага --hotfixes.

ЛИЦЕНЗИЯ

Эта программа является свободным программным обеспечением: вы можете распространять и/или изменять её в соответствии с условиями Стандартной общественной лицензии GNU, опубликованной Фондом свободного программного обеспечения, либо версии 3 данной лицензии, либо (по вашему выбору) любой более поздней версии.

Эта программа распространяется в надежде, что она будет полезной, но БЕЗ ВСЯКИХ ГАРАНТИЙ; даже без подразумеваемых гарантий ТОВАРНОЙ ПРИГОДНОСТИ или ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЁННОЙ ЦЕЛИ. Смотрите Стандартную общественную лицензию GNU для получения более подробной информации.

Вы должны были получить копию Стандартной общественной лицензии GNU вместе с этой программой. Если вы её не получили, смотрите http://www.gnu.org/licenses/.