strozfriedberg/windows-exploit-suggesterЭтот инструмент сравнивает уровни обновлений целевой системы с базой данных уязвимостей Microsoft, чтобы выявить потенциально отсутствующие обновления на цели. Он также уведомляет пользователя, если для отсутствующих бюллетеней доступны публичные эксплойты и модули Metasploit.
Этот инструмент сравнивает уровень исправлений целевой системы с базой данных уязвимостей Microsoft, чтобы выявить потенциально отсутствующие обновления. Он также уведомляет пользователя о наличии публичных эксплойтов и модулей Metasploit для отсутствующих бюллетеней.
Для работы требуется вывод команды systeminfo с хоста Windows, чтобы сравнить его с базой данных бюллетеней безопасности Microsoft и определить уровень исправлений системы.
Инструмент может автоматически загружать базу данных бюллетеней безопасности с Microsoft с помощью флага --update и сохранять её в виде электронной таблицы Excel.
При просмотре вывода важно помнить, что инструмент сначала предполагает наличие всех уязвимостей, а затем выборочно исключает их на основе данных об исправлениях. Это может привести к множеству ложных срабатываний, поэтому ключевым является знание того, какое программное обеспечение фактически работает на целевой системе. Например, если существуют известные эксплойты для IIS, они будут отмечены, даже если IIS не запущен на целевом хосте.
В выводе указываются либо публичные эксплойты (E), либо модули Metasploit (M), что обозначается соответствующим символом.
Инструмент был сильно вдохновлён Linux_Exploit_Suggester от Pentura.
Статья в блоге: "Introducing Windows Exploit Suggester", https://blog.gdssecurity.com/labs/2014/7/11/introducing-windows-exploit-suggester.html
обновление базы данных
$ ./windows-exploit-suggester.py --update
[*] initiating...
[*] successfully requested base url
[*] scraped ms download url
[+] writing to file 2014-06-06-mssb.xlsx
[*] done
установка зависимостей
(установите python-xlrd, $ pip install xlrd --upgrade)
передайте вывод "systeminfo" и укажите путь к базе данных Microsoft
$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] reading from the systeminfo input file
[*] querying database file for potential vulnerabilities
[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)
[*] there are now 168 remaining vulns
[+] windows version identified as 'Windows 7 SP1 32-bit'
[*]
[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical
[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important
[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical
[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical
[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical
[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical
[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical
[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[*] done
возможные эксплойты для операционной системы можно использовать без данных об исправлениях
$ ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2'
[*] initiating...
[*] database file detected as xls or xlsx based on extension
[*] getting OS information from command line text
[*] querying database file for potential vulnerabilities
[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)
[*] there are now 196 remaining vulns
[+] windows version identified as 'Windows 2008 R2 64-bit'
[*]
[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical
[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important
[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important
[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important
[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical
[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important
[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important
[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical
[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical
В настоящее время, если вывод команды systeminfo показывает 'File 1' в качестве результата для исправлений, инструмент не сможет определить, какие из них установлены на целевой системе. В этом случае список исправлений необходимо получить с целевого хоста и передать с помощью флага --hotfixes
Инструмент не разделяет «редакции» ОС Windows, такие как «Tablet» или «Media Center», а также разные архитектуры, например, только Itanium.
Также возникают ложные срабатывания, поскольку инструмент считает, что ВСЁ установлено на целевой ОС Windows. Если вы получаете вывод 'File 1', попробуйте выполнить 'wmic qfe list full' и передать этот вывод с флагом --hotfixes вместе с 'systeminfo'
Эта программа является свободным программным обеспечением; вы можете распространять и/или изменять её в соответствии с условиями GNU General Public License, опубликованной Free Software Foundation, либо версии 3 Лицензии, либо (по вашему выбору) любой более поздней версии.
Эта программа распространяется в надежде, что она будет полезной, но БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ; даже без подразумеваемых гарантий КОММЕРЧЕСКОЙ ЦЕННОСТИ или ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЁННОЙ ЦЕЛИ. Подробнее см. GNU General Public License.
Вы должны были получить копию GNU General Public License вместе с этой программой. Если это не так, см. http://www.gnu.org/licenses/.