CVE-2024-3400 失陷检查器

一个非常简单的 bash 脚本，用于检查 Palo Alto 防火墙是否存在与 CVE-2024-3400 相关的失陷迹象。

该脚本旨在通过检查 Volexity 分析文章和 deFroggy 博客文章中列出的痕迹是否存在，对可能受影响的设备进行快速初步排查。

用法：./cve-2024-3400_checker.sh

有关该漏洞本身以及此脚本所检查的 IOC（失陷指标）的更多详细信息，请参阅以下相关文章：

• https://security.paloaltonetworks.com/CVE-2024-3400
• https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
• https://github.com/deFr0ggy/deFr0ggy.github.io/blob/29806acfdab0b850b8e53542116c6098f498be97/_posts/2024-04-13-Palo%20Alto%20Exploit%20Analysis%20of%20CVE-2024-3400.md#L4

免责声明：随着公开漏洞利用变得可用，攻击活动的范围很可能会扩大，TTP（战术、技术和程序）也几乎肯定会发生变化。此脚本可能无法对全部恶意活动提供完整检测，其编写初衷是让应急响应人员能够对可能受影响的设备进行初步排查。强烈建议参考上述技术博客文章进行进一步调查。请先进行测试，再在生产系统上运行。此处提供的脚本按“原样”提供，不附带任何明示或暗示的担保。作者对因使用这些脚本而导致的任何损害或问题不承担任何责任或义务。请自行承担使用这些脚本的风险。使用这些脚本即表示您同意这些条款和条件。