Cisco IOS XE Device Scanner — руководство пользователя для CVE-2023-20198-Scanner

Это сканер для снятия отпечатков веб-шеллов, предназначенный для обнаружения имплантов в Cisco IOS XE WebUI, затронутых CVE-2023-20198 и CVE-2023-20273. Этот Python-скрипт проверяет скомпрометированные устройства Cisco IOS XE, отправляя HTTP- и HTTPS-запросы. Он поддерживает несколько способов указания целевых IP-адресов и обеспечивает многопоточность для ускорения сканирования.

Журнал изменений

• Добавлен новый файл конфигурации NGINX для аутентификации из блога Talos Security
• Добавлено объяснение работы конфигурационного LUA-скрипта.
• Добавлена CURL-команда из блога Talos, а также HEX-значение Authorization, предоставленное Talos Security.

Несколько вещей, которые можно сделать с помощью этого скрипта:

• Сканирование одного IP-адреса
• Сканирование списка IP-адресов (укажите файл, в котором каждый IP-адрес находится на новой строке, и передайте его через аргумент)
• Сканирование диапазона CIDR
• Указание пользовательского UserAgent
• Указание новых IOC в response.text с помощью файла (по умолчанию используется файл IOCS.txt. Убедитесь, что каждый IOC указан на новой строке.) *Известные IOC будут регулярно обновляться по мере появления новых. Все текущие IOC уже встроены непосредственно в код для наглядности.
• Возможность указать прокси для сканирования
• Параллельная обработка для скорости и эффективности.
• Ограничение частоты запросов
• Логирование скомпрометированных хостов.
• Визуальное обозначение потенциально скомпрометированных хостов по сравнению с «чистыми» хостами. - Это не гарантия и основано строго на известных IOC.

Требования

• Python 3.x
• Требуемые Python-пакеты: requests, termcolor, tqdm

Установите требуемые Python-пакеты с помощью pip, если вы ещё этого не сделали:

pip install requests termcolor tqdm

Использование

Скрипт предоставляет несколько параметров командной строки для гибкости:

--target_file

Укажите файл, содержащий список IP-адресов или имен хостов устройств Cisco IOS XE. IP-адреса или имена хостов должны быть указаны по одному на строку.

Пример:

python iosxe-scanner.py --target_file targets.txt

--cidr

Укажите диапазон CIDR для сканирования. Скрипт сгенерирует все IP-адреса в указанном диапазоне и просканирует их.

Пример:

python iosxe-scanner.py --cidr 192.168.1.0/24

--ip

Укажите один IP-адрес для сканирования.

Пример:

python iosxe-scanner.py --ip 192.168.1.1

--user_agent

Установите пользовательский заголовок User-Agent для HTTP-запросов. По умолчанию используется CISCO-IOS-Shell-Scanner-cisco-sa-iosxe-webui-privesc-j22SaA4z.

Пример:

python iosxe-scanner.py --user_agent "MyCustomUserAgent"

--rate_limit

Установите ограничение частоты запросов в секундах. По умолчанию — 1 секунда.

Пример:

python iosxe-scanner.py --rate_limit 0.5

--proxy

Укажите HTTP-прокси для использования в запросах.

Пример:

python iosxe-scanner.py --proxy http://127.0.0.1:8080

--iocs_file

Укажите файл, содержащий индикаторы компрометации (IoCs) для поиска в тексте ответа. По умолчанию используется IOCS.txt.

Пример:

python iosxe-scanner.py --iocs_file custom_iocs.txt

Примеры

Сканирование списка целей из файла с ограничением частоты 0,5 секунды

python iosxe-scanner.py --target_file targets.txt --rate_limit 0.5

Сканирование диапазона CIDR с использованием прокси

python iosxe-scanner.py --cidr 192.168.1.0/24 --proxy http://127.0.0.1:8080

Сканирование одного IP-адреса с пользовательским User-Agent

python iosxe-scanner.py --ip 192.168.1.1 --user_agent "MyCustomUserAgent"

Сканирование с использованием пользовательского файла IoCs

python iosxe-scanner.py --iocs_file custom_iocs.txt

Примечания

• Этот скрипт отключает проверку SSL-сертификатов при выполнении HTTPS-запросов. Используйте эту функцию с осторожностью.
• Этот скрипт предоставляется «как есть» БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ. ИСПОЛЬЗУЙТЕ НА СВОЙ РИСК!
• Использование этого скрипта может быть незаконным в вашей стране или юрисдикции. Хотя он лишь отправляет простые HTTP(S)-запросы и проверяет определённые ответы, вам решать, является ли его использование законным, этичным и уместным. НЕ БУДЬТЕ ХАМОМ.

Если вы нашли этот скрипт полезным, не стесняйтесь сообщить мне об этом или подписывайтесь на меня в Twitter(𝕏) https://twitter.com/shadow0pz