Cisco IOS XE 设备扫描器用户指南（针对 CVE-2023-20198-Scanner）

这是一个 WebShell 指纹识别扫描器，旨在识别受 CVE-2023-20198 和 CVE-2023-20273 影响的 Cisco IOS XE WebUI 上被植入的后门。该 Python 脚本通过发出 HTTP 和 HTTPS 请求来检查已被入侵的 Cisco IOS XE 设备。它支持多种方式指定目标 IP，并通过多线程加快扫描速度。

变更日志

• 新增来自 Talos Security 博客 的认证 NGINX 配置文件
• 新增配置 LUA 脚本功能说明。
• 新增来自 Talos 博客的 CURL 命令以及 Talos Security 提供的 Authorization HEX 值。

你可以使用此脚本做以下几件事：

• 扫描单个 IP
• 扫描 IP 列表（提供一个文件，每行一个 IP，并通过参数传入）
• 扫描 CIDR 范围
• 指定自定义 UserAgent
• 使用文件在 response.text 中指定新的 IOC（默认文件为 IOCS.txt。确保每个 IOC 单独占一行。）*当有新的已知 IOC 出现时，会定期更新。目前所有已知 IOC 均已直接内置在代码中，以保持清晰。
• 能够为扫描指定代理
• 并发处理，以提高速度和效率。
• 速率限制
• 记录已受损主机。
• 直观显示潜在受损主机与“干净”主机的对比。- 这并非绝对保证，仅严格基于已知 IOC。

环境要求

• Python 3.x
• 需要的 Python 包：requests、termcolor、tqdm

如果尚未安装，请使用 pip 安装所需的 Python 包：

pip install requests termcolor tqdm

用法

该脚本提供了几个命令行选项，以便灵活使用：

--target_file

指定一个文件，其中包含 Cisco IOS XE 设备 IP 或主机名的列表。IP 或主机名应逐行列出。

示例：

python iosxe-scanner.py --target_file targets.txt

--cidr

指定要扫描的 CIDR 范围。脚本会生成指定范围内的所有 IP 并进行扫描。

示例：

python iosxe-scanner.py --cidr 192.168.1.0/24

--ip

指定要扫描的单个 IP。

示例：

python iosxe-scanner.py --ip 192.168.1.1

--user_agent

为 HTTP 请求设置自定义 User-Agent 标头。默认值为 CISCO-IOS-Shell-Scanner-cisco-sa-iosxe-webui-privesc-j22SaA4z。

示例：

python iosxe-scanner.py --user_agent "MyCustomUserAgent"

--rate_limit

设置请求之间的速率限制（以秒为单位）。默认值为 1 秒。

示例：

python iosxe-scanner.py --rate_limit 0.5

--proxy

指定用于请求的 HTTP 代理。

示例：

python iosxe-scanner.py --proxy http://127.0.0.1:8080

--iocs_file

指定一个文件，其中包含要在响应文本中查找的失陷指标（IoC）。默认文件为 IOCS.txt。

示例：

python iosxe-scanner.py --iocs_file custom_iocs.txt

示例

从文件扫描目标列表，速率限制为 0.5 秒

python iosxe-scanner.py --target_file targets.txt --rate_limit 0.5

使用代理扫描 CIDR 范围

python iosxe-scanner.py --cidr 192.168.1.0/24 --proxy http://127.0.0.1:8080

使用自定义 User-Agent 扫描单个 IP

python iosxe-scanner.py --ip 192.168.1.1 --user_agent "MyCustomUserAgent"

使用自定义 IoC 文件进行扫描

python iosxe-scanner.py --iocs_file custom_iocs.txt

注意事项

• 该脚本会禁用 SSL 证书验证以发起 HTTPS 请求。请谨慎使用此功能。
• 本脚本按“原样”提供，不附带任何担保。使用风险自负！
• 在您所在的国家或司法管辖区，使用此脚本可能是非法的。虽然它仅发出简单的 HTTP(S) 请求并检查特定响应，但使用它是否合法/合乎道德且适当，由您自行判断。别做混蛋。

如果你觉得这个脚本有用，欢迎告诉我，或者在 Twitter(𝕏) 上关注我 https://twitter.com/shadow0pz