jugular

使用 jugs 查找 CUPS：一个超高速 UDP 发送器，试图触发正在监听的 cups-browsed 进程进行 HTTP 回调。

这是一个高性能扫描器，直接向网络写入 UDP 数据包。

安装（Ubuntu 或类似系统）

sudo apt install golang libpcap0.8-dev
go install github.com/lkarlslund/jugular@main

... 或从构建产物中下载 Linux x64 二进制文件

用法

1. 为 jugular 授予所需的网络权限

允许 jugular 绑定低端口并访问原始套接字，而无需以 root 身份运行（只需执行一次）：

sudo setcap CAP_NET_BIND_SERVICE,CAP_NET_RAW=eip jugular

2. 启动 jugular 监听服务器，它是一个简单的 HTTP 服务器，对所有请求返回 404，但会将请求头以 json 文件形式保存到当前工作目录中——如果你愿意，也可以使用其他工具

jugular listen --bind 0.0.0.0:80

3. 通过发送通告打印机的 UDP 数据包来探测 CUPS 实例。注意：扫描互联网处于法律的灰色地带，请务必小心。如果你是公司 IT 安全人员，当然可以在内部使用它。

运行 jugular 并执行扫描：

jugular prod --network 10.0.0.0/8 --delay 1 --url http://yourdomain.net/printer/scanning-you --addip true --ip your-own-machine-ip

由于该软件出于性能原因会直接创建并写入数据包到出站网络，你必须指定自己机器的正确 IP 地址（运行 ip addr 查找）。远程实例还需要能够将流量路由回你在该参数中填入的 URL。

在进行大规模扫描之前先在本地测试，并请记住，该软件可能会压垮你的 NAT 防火墙和其他设备（请使用 delay 选项）。

请注意：从 CUPS 收到消息到它访问你提供的 URL，最长会有 300 秒的延迟。这是由于 CUPS 软件内部硬编码的调度等待所致。你可能会触发无休止的通知，因为某些 CUPS 服务器即使在收到错误响应后也不会停止尝试回连该 URL。

建议的修复方案

选择以下一种或多种方案 ...（适用于 Ubuntu，其他发行版可能有所不同——我更新并启用了 ufw）

在较新的发行版（Ubuntu 及其他）上，只需更新 CUPS，它就会自动为你重新配置！

• sudo apt update
• sudo apt upgrade（软件包 "cups" 应出现在将更新的列表中）

保留 CUPS 但启用防火墙。这将禁用对 CUPS 的未授权远程访问（如果你正在远程操作，请小心）：

• sudo ufw allow ssh（如果你需要，也可以是 http、https 等）
• sudo ufw enable（启用防火墙）

如果你不打印，可以移除 CUPS：

• sudo apt remove cups

保留 CUPS 但停止并禁用它：

• sudo systemctl disable --now cups

如果你获得了有趣的发现，我很想听听。

其他实现：

• https://github.com/MalwareTech/CVE-2024-47176-Scanner 由 MalwareTech 编写