
Скрипт на Python для поиска в логах Citrix NetScaler возможной эксплуатации CVE-2023-4966.
Скрипт ищет в журналах Citrix NetScaler возможные признаки эксплуатации CVE-2023-4966.
usage: check-cve-2023-4966.py [-h] [--nologline] logdir_path
Python script to check CitrixNetScaler logs for possible CVE-2023-4966 exploitation
positional arguments:
logdir_path path to NetScaler log files (located on the NetScaler in the directory /mnt/temp/log/)
options:
-h, --help show this help message and exit
--nologline do not print the logline
$ python check-cve-2023-4966.py NetScaler/log/mnt/temp/log/ --nologline
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Logpath NetScaler/log/mnt/temp/log/ns.log.4.gz User: user1 Client_ip: XXX.XXX.XXX.XXX Source_ip YYY.YYY.YYY.YYY Session_id: 12345
Сеансы Citrix XenDesk и XenApp регистрируются в базе данных мониторинга. С помощью этой базы данных можно найти сеансы и рабочие машины, которые могли быть использованы после успешной эксплуатации.
В каталоге helper находятся SQL-запросы для проверки базы данных мониторинга.
Скрипт для получения идентификатора машины, имени и IP-адреса.
Запрос для получения сеансов с конкретной машины (MachineId).
Запрос для получения дополнительной информации о сеансах для конкретной машины (MachineId) и пользователя.