Palo 漏洞检查 - CVE-2024-3400

概述

此脚本旨在检查 Palo 系统中是否存在受感染的迹象，特别针对标识为 CVE-2024-3400 的漏洞。它会搜索技术支持包中的 gz 或 .tgz 归档文件，查找可能表明安全入侵的特定日志条目。

先决条件

• Python 3.x
• 访问包含 Palo 日志的 .tar.gz 文件。

使用方法

1. 确保你有一个包含相关 Palo 日志的 .tar.gz 技术支持文件。
2. 修改脚本中的 filepath 变量，指向你的 .tar.gz 文件。
3. 可选 - 更新 search_terms 列表，加入指示 CVE-2024-3400 漏洞的术语。
4. 在 Python 环境中运行脚本。

工作原理

• 脚本将解压 .tar.gz 文件并搜索指定的日志文件。
• 如果找到任何搜索词，它将打印匹配的行，并建议你遵循修复指南并将文件共享给供应商。
• 如果没有找到匹配项，它将打印一条消息，表示未检测到入侵，但仍建议将文件共享给供应商以确保确定性。

示例

# Replace this with your actual file path
filepath = r'path to techsupport.tgz'

重要说明

• 脚本在找到第一组匹配项后停止搜索。如果需要全面搜索，请删除打印匹配项后的 return 语句。
• 该脚本是用于初步检查的基本工具，不能替代专业的取证分析。
• 始终确保你的 Palo 系统已应用最新的更新和补丁，以防止类似 CVE-2024-3400 的漏洞。

贡献

如果你对改进此脚本有建议或发现了 bug，请提交 issue 或包含你的变更的 pull request。