CVE-2024-23113

该脚本用于检测 CVE-2024-23113，这是一个 FortiGate FGFM 服务（FortiGate 到 FortiManager 协议）中的格式字符串漏洞，该服务运行在 TCP 端口 541 上。漏洞产生的原因在于攻击者可以控制一个格式字符串，这可能导致远程代码执行（RCE）或其他非预期行为。FGFM 服务允许 FortiGate 设备与 FortiManager 之间进行配置管理通信，未修补版本对输入处理不当，从而易受格式字符串攻击。

脚本工作原理

1. 网络连接建立：

   • 脚本首先与目标主机的 541 端口建立 SSL/TLS 连接。
   • 它使用 ssl.SSLContext 对象并禁用证书验证来建立连接，因为设备可能使用自签名证书。

2. 载荷构造：

   • 连接建立后，脚本利用格式字符串漏洞（authip=%n）构造恶意载荷。%n 指令会告诉系统将已输出的字节数写入某个变量，这可能导致内存损坏。
   • 构造好的载荷通过建立的连接发送给目标。

3. 检测逻辑：

   • 脚本随后检测目标对载荷的响应行为。
   • 如果连接被突然终止并触发 SSL 告警，则表明目标存在漏洞，因为该载荷触发了格式字符串漏洞保护机制（例如 glibc 中的 _FORTIFY_SOURCE）。
   • 如果连接保持打开，则目标很可能已打补丁。

使用说明

1. 运行脚本：

   • 使用 Python 3 运行脚本，执行命令：

     root@kitploit:~

     python check_vulnerability.py
     

2. 输入主机名/IP：

   • 系统会提示您输入要检查的主机名或 IP 地址。
   • 如果要停止，请键入 exit。

3. 输出结果：

   • 如果目标存在漏洞，脚本将输出：

     root@kitploit:~

     [!] Warning: <hostname> is vulnerable!
     

   • 如果目标已修补，将输出：

     root@kitploit:~

     [+] <hostname> appears to be patched.
     

要求

• 运行脚本的机器上需安装 Python 3。
• 能够通过网络访问目标设备，并确保端口 541 开放。
• 目标设备上必须运行 FGFM 服务。