漏洞扫描,动态创设扫描职务安排

C# 与 Nessus 交互,动态构建扫描任务计划

第五章 漏洞扫描

作者:Justin Hutchens

译者:飞龙

协议:CC BY-NC-SA
4.0

尽管可以通过查看服务指纹的结果,以及研究所识别的版本的相关漏洞来识别许多潜在漏洞,但这通常需要非常大量时间。
存在更多的精简备选方案,它们通常可以为你完成大部分这项工作。
这些备选方案包括使用自动化脚本和程序,可以通过扫描远程系统来识别漏洞。
未验证的漏洞扫描程序的原理是,向服务发送一系列不同的探针,来尝试获取表明漏洞存在的响应。
或者,经验证的漏洞扫描器会使用提供所安装的应用,运行的服务,文件系统和注册表内容信息的凭证,来直接查询远程系统。

目录

  • 什么是 Nessus?
  • 创建会话类 NessusSession
  • 登录测试
  • 创建操作类 NessusManager
  • 操作测试

 

5.1 Nmap 脚本引擎漏洞扫描

Nmap脚本引擎(NSE)提供了大量的脚本,可用于执行一系列自动化任务来评估远程系统。
Kali中可以找到的现有NSE脚本分为多个不同的类别,其中之一是漏洞识别。

什么是 Nessus?

  它是一个流行的漏洞扫描程序,我们可以通过它来提高自己服务器的安全性;定期对服务器进行漏洞和补丁扫描,使用已知漏洞的数据库评估正在运行在网络上不同平台的系统,这可以帮助我们更快速的识别风险以及进行合理规避。针对个人来讲,它是免费的。

 

  本文并不是一篇关于 Nessus 的安装介绍。

  本文演示的是如何通过 C# 编码以 HTTP 的 Resful 风格来执行
GET、PUT、POST 和 DELETE
等操作,来实现登录后动态的创建扫描任务和获取执行结果等一系列步骤,而不是通过人为机械的点击按钮来一步步进行操作。

 

准备

要使用NSE执行漏洞分析,你需要有一个运行 TCP 或 UDP 网络服务的系统。
在提供的示例中,会使用存在 SMB 服务漏洞的 Windows XP 系统。 有关设置
Windows 系统的更多信息,请参阅本书第一章“安装Windows Server”秘籍。

创建会话类 NessusSession

  在服务器安装完毕 Nessus
后,输入地址(本文演示时使用的是 )【8834
端口是默认 Nessus
设置的端口】,显示的是一个授权登录页,显然,想要进一步操作必须先通过认证。

澳门新葡亰平台官网 1

 

  为此,我编写了一个存储会话状态的类 NessusSession.cs:

澳门新葡亰平台官网 2澳门新葡亰平台官网 3

    /// <summary>
    /// 会话
    /// </summary>
    public class NessusSession : IDisposable
    {
        /// <summary>
        /// 端口
        /// </summary>
        public int Port { get; set; }

        /// <summary>
        /// 主机
        /// </summary>
        public string Host { get; set; }

        /// <summary>
        /// 令牌
        /// </summary>
        public string Token { get; private set; }

        /// <summary>
        /// 认证标识
        /// </summary>
        public bool IsAuthenticated { get; private set; }

        #region ctor

        public NessusSession()
        {
            ServicePointManager.ServerCertificateValidationCallback = (object obj, X509Certificate certificate,
                X509Chain chain, SslPolicyErrors errors) => true;
        }

        public NessusSession(string host, int port = 8834) : this()
        {
            Host = host;
            Port = port;
        }

        #endregion ctor

        /// <summary>
        /// 认证
        /// </summary>
        /// <param name="userName"></param>
        /// <param name="password"></param>
        /// <returns></returns>
        public bool Authenticate(string userName, string password)
        {
            var obj = new JObject
            {
                ["username"] = userName,
                ["password"] = password
            };

            var result = MakeRequest(HttpRequestMethod.Post, "session", obj);

            if (result == null || result.token == null)
            {
                return false;
            }

            Token = result.token;
            return IsAuthenticated = true;
        }

        /// <summary>
        /// 请求
        /// </summary>
        /// <param name="method"></param>
        /// <param name="uri"></param>
        /// <param name="data"></param>
        /// <returns></returns>
        public dynamic MakeRequest(string method, string uri, JObject data = null)
        {
            var url = $"https://{Host}:{Port}/{uri}";
            var request = WebRequest.Create(url);
            request.Method = method;

            if (!Token.IsNullOrEmpty())
            {
                request.Headers["X-Cookie"] = $"token={Token}";
            }

            //set: json
            request.ContentType = "application/json";

            if (data == null)
            {
                request.ContentLength = 0;
            }
            else
            {
                var bytes = Encoding.UTF8.GetBytes(data.ToString());
                request.ContentLength = bytes.Length;

                using (var rs = request.GetRequestStream())
                {
                    rs.Write(bytes, 0, bytes.Length);
                }
            }

            //request --> response
            var respStream = request.GetResponse().GetResponseStream();

            if (respStream == null)
            {
                return null;
            }

            string response;

            using (var reader = new StreamReader(respStream))
            {
                response = reader.ReadToEnd();
            }

            return response.IsNullOrEmpty() ? null : response.ToJson();
        }

        /// <summary>
        /// 注销
        /// </summary>
        public void LogOut()
        {
            if (!IsAuthenticated) return;

            MakeRequest(HttpRequestMethod.Delete, "session");
            IsAuthenticated = false;
        }


        public void Dispose()
        {
            LogOut();
        }
    }

NessusSession

 

  代码分析:

  其中,Authenticate(userName, password)
方法的主要目的是通过登录验证,请求时通过 Jobject
对象将参数进行包装传输,在成功后将获取的 token
值(又称身份令牌)进行保存,方便后续操作。

        /// <summary>
        /// 认证
        /// </summary>
        /// <param name="userName"></param>
        /// <param name="password"></param>
        /// <returns></returns>
        public bool Authenticate(string userName, string password)
        {
            var obj = new JObject
            {
                ["username"] = userName,
                ["password"] = password
            };

            var result = MakeRequest(HttpRequestMethod.Post, "session", obj);

            if (result == null || result.token == null)
            {
                return false;
            }

            Token = result.token;
            return IsAuthenticated = true;
        }

 

  因为所有的方法调用都是以 HTTP
方式进行请求,所以封装了方法 MakeRequest(string method, string uri,
JObject data = null) 。在登录成功后,每次请求都会携带对应的 token
值(request.Headers[“X-Cookie”] =
$”token={Token}”),我们在进行参数传递的时候都是以 json
的格式进行传输,所以需要设置 request.ContentType =
“application/json”,为了方便后续返回值的直接使用,我使用了 dynamic
类型作为返回值,这样也可以减少创建多个实体类。

        /// <summary>
        /// 请求
        /// </summary>
        /// <param name="method"></param>
        /// <param name="uri"></param>
        /// <param name="data"></param>
        /// <returns></returns>
        public dynamic MakeRequest(string method, string uri, JObject data = null)
        {
            var url = $"https://{Host}:{Port}/{uri}";
            var request = WebRequest.Create(url);
            request.Method = method;

            if (!Token.IsNullOrEmpty())
            {
                request.Headers["X-Cookie"] = $"token={Token}";
            }

            //set: json
            request.ContentType = "application/json";

            if (data == null)
            {
                request.ContentLength = 0;
            }
            else
            {
                var bytes = Encoding.UTF8.GetBytes(data.ToString());
                request.ContentLength = bytes.Length;

                using (var rs = request.GetRequestStream())
                {
                    rs.Write(bytes, 0, bytes.Length);
                }
            }

            //request --> response
            var respStream = request.GetResponse().GetResponseStream();

            if (respStream == null)
            {
                return null;
            }

            string response;

            using (var reader = new StreamReader(respStream))
            {
                response = reader.ReadToEnd();
            }

            return response.IsNullOrEmpty() ? null : response.ToJson();
        }

 

  同时,我新建一个类 HttpRequestMethod.cs 来保存 HTTP 请求方式:

    /// <summary>
    /// HTTP 请求方法
    /// </summary>
    public class HttpRequestMethod
    {
        public const string Get = "GET";

        public const string Post = "POST";

        public const string Put = "PUT";

        public const string Delete = "DELETE";
    }

 

  LogOut() 是注销操作,采取的是 DELETE
方式。因为我希望在关闭时直接释放,所以继承了 IDisposable 接口并实现。

        /// <summary>
        /// 注销
        /// </summary>
        public void LogOut()
        {
            if (!IsAuthenticated) return;

            MakeRequest(HttpRequestMethod.Delete, "session");
            IsAuthenticated = false;
        }

        public void Dispose()
        {
            LogOut();
        }

 

  还有一个比较特殊的地方,因为 url 的地址头是
https,所以我在构造函数中直接设置了验证服务器证书的回调为 true,来保证
SSL 证书的正常接受,即
ServicePointManager.ServerCertificateValidationCallback = (object obj,
X509Certificate certificate,X509Chain chain, SslPolicyErrors errors)
=> true。

        public NessusSession()
        {
            ServicePointManager.ServerCertificateValidationCallback = (object obj, X509Certificate certificate,
                X509Chain chain, SslPolicyErrors errors) => true;
        }

        public NessusSession(string host, int port = 8834) : this()
        {
            Host = host;
            Port = port;
        }

 

操作步骤

许多不同的方法可以用于识别与任何给定的NSE脚本相关联的功能。
最有效的方法之一是使用位于Nmap脚本目录中的script.db文件。
要查看文件的内容,我们可以使用cat命令,像这样:

root@KaliLinux:~# cat /usr/share/nmap/scripts/script.db | more 
Entry { filename = "acarsd-info.nse", categories = { "discovery", "safe", } } 
Entry { filename = "address-info.nse", categories = { "default", "safe", } } 
Entry { filename = "afp-brute.nse", categories = { "brute", "intrusive", } } 
Entry { filename = "afp-ls.nse", categories = { "discovery", "safe", } } 
Entry { filename = "afp-path-vuln.nse", categories = { "exploit", "intrusive", " vuln", } } 
Entry { filename = "afp-serverinfo.nse", categories = { "default", "discovery", "safe", } } 
Entry { filename = "afp-showmount.nse", categories = { "discovery", "safe", } } 
Entry { filename = "ajp-auth.nse", categories = { "auth", "default", "safe", } }
Entry { filename = "ajp-brute.nse", categories = { "brute", "intrusive", } } 
Entry { filename = "ajp-headers.nse", categories = { "discovery", "safe", } } 
Entry { filename = "ajp-methods.nse", categories = { "default", "safe", } } 
Entry { filename = "ajp-request.nse", categories = { "discovery", "safe", } }

这个script.db文件是一个非常简单的索引,显示每个NSE脚本的文件名及其所属的类别。
这些类别是标准化的,可以方便地对特定类型的脚本进行grep
漏洞扫描脚本的类别名称是vuln
要识别所有漏洞脚本,需要对vuln术语进行grep,然后使用cut命令提取每个脚本的文件名。像这样:

root@KaliLinux:~# grep vuln /usr/share/nmap/scripts/script.db | cut -d """ -f 2 
afp-path-vuln.nse 
broadcast-avahi-dos.nse distcc-cve2004-2687.nse 
firewall-bypass.nse 
ftp-libopie.nse 
ftp-proftpd-backdoor.nse 
ftp-vsftpd-backdoor.nse 
ftp-vuln-cve2010-4221.nse 
http-awstatstotals-exec.nse 
http-axis2-dir-traversal.nse 
http-enum.nse http-frontpage-login.nse 
http-git.nse http-huawei-hg5xx-vuln.nse 
http-iis-webdav-vuln.nse 
http-litespeed-sourcecode-download.nse 
http-majordomo2-dir-traversal.nse 
http-method-tamper.nse http-passwd.nse 
http-phpself-xss.nse http-slowloris-check.nse 
http-sql-injection.nse 
http-tplink-dir-traversal.nse

为了进一步评估上述列表中任何给定脚本,可以使用cat命令来读取.nse文件,它与script.db目录相同。因为大多数描述性内容通常在文件的开头,建议你将内容传递给more,以便从上到下阅读文件,如下所示:

root@KaliLinux:~# cat /usr/share/nmap/scripts/smb-check-vulns.nse | more 
local msrpc = require "msrpc" 
local nmap = require "nmap" 
local smb = require "smb" 
local stdnse = require "stdnse" 
local string = require "string" 
local table = require "table"

description = [[ 
Checks for vulnerabilities: 
* MS08-067, a Windows RPC vulnerability 
* Conficker, an infection by the Conficker worm 
* Unnamed regsvc DoS, a denial-of-service vulnerability I accidentally found in Windows 2000 
* SMBv2 exploit (CVE-2009-3103, Microsoft Security Advisory 975497) 
* MS06-025, a Windows Ras RPC service vulnerability 
* MS07-029, a Windows Dns Server RPC service vulnerability

WARNING: These checks are dangerous, and are very likely to bring down a server. These should not be run in a production environment unless you (and, more importantly, the business) understand the risks! 

在提供的示例中,我们可以看到smb-check-vulns.nse脚本检测 SMB
服务相关的一些拒绝服务和远程执行漏洞。
这里,可以找到每个评估的漏洞描述,以及 Microsoft 补丁和CVE
编号的引用,还有可以在线查询的其他信息。
通过进一步阅读,我们可以进一步了解脚本,像这样:

--@usage 
-- nmap 
--script smb-check-vulns.nse -p445 <host> 
-- sudo nmap -sU -sS 
--script smb-check-vulns.nse -p U:137,T:139 <host> 
---@output

-- Host script results: 
-- | smb-check-vulns: 
-- |   MS08-067: NOT VULNERABLE 
-- |   Conficker: Likely CLEAN 
-- |   regsvc DoS: regsvc DoS: NOT VULNERABLE 
-- |   SMBv2 DoS (CVE-2009-3103): NOT VULNERABLE 
-- |   MS06-025: NO SERVICE (the Ras RPC service is inactive) 
-- |_  MS07-029: NO SERVICE (the Dns Server RPC service is inactive) 
--- @args unsafe If set, this script will run checks that, if the system isn't 
--       patched, are basically guaranteed to crash something. Remember that 
--       non-unsafe checks aren't necessarily safe either) 
-- @args safe   If set, this script will only run checks that are known (or at 
--       least suspected) to be safe. 
----------------------------------------------------------------------

通过进一步阅读,我们可以找到脚本特定的参数,适当的用法以及脚本预期输出的示例的详细信息。要注意一个事实,有一个不安全的参数,可以设置为值0(未激活)或1(激活)。这实际上是Nmap漏洞脚本中的一个常见的现象,理解它的用法很重要。默认情况下,不安全参数设置为0。当设置此值时,Nmap不执行任何可能导致拒绝服务的测试。虽然这听起来像是最佳选择,但它通常意味着许多测试的结果将不太准确,并且一些测试根本不会执行。建议激活不安全参数以进行更彻底和准确的扫描,但这只应在授权测试情况下针对生产系统执行。要运行漏洞扫描,应使用nmap --script参数定义特定的NSE脚本,并使用nmap --script-args参数传递所有脚本特定的参数。此外,要以最小的干扰输出来运行漏洞扫描,应将Nmap配置为仅扫描与被扫描服务对应的端口,如下所示:

root@KaliLinux:~# nmap --script smb-check-vulns.nse --scriptargs=unsafe=1 -p445 172.16.36.225

Starting Nmap 6.25 ( http://nmap.org ) at 2014-03-09 03:58 EDT 
Nmap scan report for 172.16.36.225 
Host is up (0.00041s latency). 
PORT    STATE SERVICE
445/tcp open  microsoft-ds 
MAC Address: 00:0C:29:18:11:FB (VMware)

Host script results: 
| smb-check-vulns: 
|   MS08-067: VULNERABLE 
|   Conficker: Likely CLEAN 
|   regsvc DoS: NOT VULNERABLE 
|   SMBv2 DoS (CVE-2009-3103): NOT VULNERABLE 
|   MS06-025: NO SERVICE (the Ras RPC service is inactive) 
|_  MS07-029: NO SERVICE (the Dns Server RPC service is inactive)

Nmap done: 1 IP address (1 host up) scanned in 18.21 seconds 

还有一个需要注意的NSE脚本,因为它提供了一个重要的漏洞扫描方式。
这个脚本是smb-vulnms10-061.nse
这个脚本的细节可以通过使用cat命令pipemore,从上到下阅读脚本来获得:

root@KaliLinux:~# cat /usr/share/nmap/scripts/smb-vuln-ms10-061.nse | more 
local bin = require "bin" 
local msrpc = require "msrpc" 
local smb = require "smb" 
local string = require "string" 
local vulns = require "vulns" 
local stdnse = require "stdnse"
description = [[ 
Tests whether target machines are vulnerable to ms10-061 Printer Spooler impersonation vulnerability. 

此漏洞是Stuxnet蠕虫利用的四个漏洞之一。
该脚本以安全的方式检查vuln,而没有崩溃远程系统的可能性,因为这不是内存损坏漏洞。
为了执行检测,它需要访问远程系统上的至少一个共享打印机。
默认情况下,它尝试使用LANMAN API枚举打印机,在某些系统上通常不可用。
在这种情况下,用户应将打印机共享名称指定为打印机脚本参数。
要查找打印机共享,可以使用smb-enum-share

此外,在某些系统上,访问共享需要有效的凭据,可以使用smb库的参数
smbusersmbpassword指定。我们对这个漏洞感兴趣的原因是,在实际被利用之前,必须满足多个因素必须。首先,系统必须运行涉及的操作系统之一(XP,Server
03 SP2,Vista,Server 08或Windows
7)。第二,它必须缺少MS10-061补丁,这个补丁解决了代码执行漏洞。最后,系统上的本地打印共享必须可公开访问。有趣的是,我们可以审计SMB
远程后台打印处理程序服务,以确定系统是否打补丁,无论系统上是否共享了现有的打印机。正因为如此,对于什么是漏洞系统存在不同的解释。一些漏洞扫描程序会将未修补的系统识别为漏洞,但漏洞不能被实际利用。或者,其他漏洞扫描程序(如NSE脚本)将评估所有所需条件,以确定系统是否易受攻击。在提供的示例中,扫描的系统未修补,但它也没有共享远程打印机。看看下面的例子:

root@KaliLinux:~# nmap -p 445 172.16.36.225 --script=smb-vuln-ms10-061

Starting Nmap 6.25 ( http://nmap.org ) at 2014-03-09 04:19 EDT 
Nmap scan report for 172.16.36.225 
Host is up (0.00036s latency). 
PORT    STATE SERVICE 
445/tcp open  microsoft-ds 
MAC Address: 00:0C:29:18:11:FB (VMware)

Host script results: 
|_smb-vuln-ms10-061: false

Nmap done: 1 IP address (1 host up) scanned in 13.16 seconds 

在提供的示例中,Nmap已确定系统不易受攻击,因为它没有共享远程打印机。尽管确实无法利用此漏洞,但有些人仍然声称该漏洞仍然存在,因为系统未修补,并且可以在管理员决定从该设备共享打印机的情况下利用此漏洞。这就是必须评估所有漏洞扫描程序的结果的原因,以便完全了解其结果。一些扫描其仅选择评估有限的条件,而其他扫描其更彻底。这里很难判断最好的答案是什么。大多数渗透测试人员可能更喜欢被告知系统由于环境变量而不易受到攻击,因此他们不会花费无数小时来试图利用不能利用的漏洞。或者,系统管理员可能更喜欢知道系统缺少MS10-061补丁,以便系统可以完全安全,即使在现有条件下不能利用漏洞。

登录测试

  现在,我已经实现了会话类 NessusSession,需要编写一个测试类运行,传入
IP 或域名,以及对应的用户名和密码,因为实现了 IDisposable
接口,所以可以直接使用 using
进行释放,观察编写的方法是否生效,即验证是否登录成功。因为登录失败根本无法进行后续的操作,所以在登录失败时我直接抛出“认证失败”的异常描述值。

        [TestMethod]
        public void NessusSessionTest()
        {
            using (var session = new NessusSession("www.nidie.com.cn"))
            {
                var result = session.Authenticate("admin", "you guess");

                if (!result)
                {
                    throw new Exception("认证失败");
                }

                Console.WriteLine(session.Token);
            }
        }

 

  从测试的结果来看,毫无疑问,事实是经得起考验的。

澳门新葡亰平台官网 4

 

工作原理

大多数漏洞扫描程序通过评估多个不同的响应,来尝试确定系统是否容易受特定攻击。
在一些情况下,漏洞扫描可以简化为与远程服务建立TCP连接,并且通过自开放的特征来识别已知的漏洞版本。
在其他情况下,可以向远程服务发送一系列复杂的特定的探测请求,来试图请求对服务唯一的响应,该服务易受特定的攻击。
在NSE漏洞脚本的示例中,如果激活了unsafe参数,漏洞扫描实际上将尝试利用此漏洞。

创建操作类 NessusManager

  这是第二个关键类 NessusManager,它类似 Facede
模式,包含了一系列扫描活动流程操作,需要把之前的 session
传递进来,方便后续我们直接通过该类进行操作:

澳门新葡亰平台官网 5澳门新葡亰平台官网 6

    public class NessusManager : IDisposable
    {
        private readonly NessusSession _session;

        public NessusManager(NessusSession session)
        {
            _session = session;
        }

        /// <summary>
        /// 获取扫描策略
        /// </summary>
        /// <returns></returns>
        public dynamic GetScanPolicies()
        {
            return _session.MakeRequest(HttpRequestMethod.Get, "editor/policy/templates");
        }

        /// <summary>
        /// 创建扫描任务
        /// </summary>
        /// <param name="policyId"></param>
        /// <param name="targets"></param>
        /// <param name="name"></param>
        /// <param name="description"></param>
        /// <returns></returns>
        public dynamic CreateScanJob(string policyId, string targets, string name, string description)
        {
            var data = new JObject
            {
                ["uuid"] = policyId,
                ["settings"] = new JObject
                {
                    ["name"] = name,
                    ["text_targets"] = targets,
                    ["description"] = description
                }
            };

            return _session.MakeRequest(HttpRequestMethod.Post, "scans", data);
        }

        /// <summary>
        /// 开始扫描
        /// </summary>
        /// <param name="scanId"></param>
        /// <returns></returns>
        public dynamic StartScan(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Post, $"scans/{scanId}/launch");
        }

        /// <summary>
        /// 获取扫描结果
        /// </summary>
        /// <param name="scanId"></param>
        /// <returns></returns>
        public dynamic GetScanResult(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Get, $"scans/{scanId}");
        }


        public void Dispose()
        {
            _session?.Dispose();
        }
    }

NessusManager.cs

 

  代码分析:

  安装完毕 Nessus 之后,我们可以选择合适的扫描模板:

澳门新葡亰平台官网 7

  通过 GetScanPolicies()
方法,我们就可以查看模板信息,这里的每一种模板都有对应的 UUID(又称
GUID):

        /// <summary>
        /// 获取扫描策略
        /// </summary>
        /// <returns></returns>
        public dynamic GetScanPolicies()
        {
            return _session.MakeRequest(HttpRequestMethod.Get, "editor/policy/templates");
        }

 

  获取到我们选择的模板 id 后,我们可以通过 CreateScanJob() 方法把 id
和其它所需要的参数进行传入,即可创建扫描任务:

        /// <summary>
        /// 创建扫描任务
        /// </summary>
        /// <param name="policyId"></param>
        /// <param name="targets"></param>
        /// <param name="name"></param>
        /// <param name="description"></param>
        /// <returns></returns>
        public dynamic CreateScanJob(string policyId, string targets, string name, string description)
        {
            var data = new JObject
            {
                ["uuid"] = policyId,
                ["settings"] = new JObject
                {
                    ["name"] = name,
                    ["text_targets"] = targets,
                    ["description"] = description
                }
            };

            return _session.MakeRequest(HttpRequestMethod.Post, "scans", data);
        }

 

  创建完毕之后,我们可以得到该任务 id(参数 scanId),通过 StartScan()
方法就可以直接启动对应的扫描任务。

        /// <summary>
        /// 开始扫描
        /// </summary>
        /// <param name="scanId"></param>
        /// <returns></returns>
        public dynamic StartScan(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Post, $"scans/{scanId}/launch");
        }

澳门新葡亰平台官网 , 

  通过定时调用 GetScanResult()
方法,我们可以以轮询的方式不断跟踪该计划的进度和状态,类似订单跟踪,参数依然是之前创建任务返回所得到的
id(scanId):

        /// <summary>
        /// 获取扫描结果
        /// </summary>
        /// <param name="scanId"></param>
        /// <returns></returns>
        public dynamic GetScanResult(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Get, $"scans/{scanId}");
        }

 

5.2 MSF 辅助模块漏洞扫描

与NSE中提供的漏洞扫描脚本类似,Metasploit还提供了一些有用的漏洞扫描程序。
类似于Nmap的脚本,大多数是相当有针对性的,用于扫描特定的服务。

操作测试

  目前已经编写好两个主要参与的类,下面来演示一下如何通过类 NessusManager
来完成一个基本的扫描流程:

        [TestMethod]
        public void ManagerTest()
        {
            using (var session = new NessusSession("www.nidie.com.cn"))
            {
                var result = session.Authenticate("admin", "you guess");

                if (!result)
                {
                    throw new Exception("认证失败");
                }

                using (var manager = new NessusManager(session))
                {
                    var policies = manager.GetScanPolicies();
                    var id = string.Empty;

                    foreach (var template in policies.templates)
                    {
                        if (template.name != "basic") continue;

                        id = template.uuid;
                        break;
                    }

                    var job = manager.CreateScanJob(id, "117.48.203.231", "随便扫扫", "该用户很懒,什么也没有留下");
                    int scanId = job.scan.id;

                    manager.StartScan(scanId);

                    var scanResult = manager.GetScanResult(scanId);

                    while (scanResult.info.status != "completed")
                    {
                        Console.WriteLine("扫描状态:" + scanResult.info.status);
                        Thread.Sleep(5000);
                        scanResult = manager.GetScanResult(scanId);
                    }

                    Console.WriteLine(scanResult);

                    foreach (var vulnerability in scanResult.vulnerabilities)
                    {
                        Console.WriteLine(vulnerability);
                    }
                }
            }
        }

 

  在代码中,通过 manager 对象,我用 GetScanPolicies()
方法选取了名称为“basic”(“Basic Network
Scan”)的模板进行创建,再调用 CreateScanJob() 方法创建扫描任务,接着调用
StartScan() 方法启动,轮询 GetScanResult()
方法返回的结果值输出,根据不同人的服务器运行速度以及网络环境等因素,整个时间可能比较漫长。

  因为每一种模板都有标识 id,通过 manager.CreateScanJob(id,
“117.48.203.231”, “随便扫扫”, “该用户很懒,什么也没有留下”)
方法创建的就是指定模板的扫描任务,后面的三个参数对应的参数值如下图所示,其中
59 是创建完 job 后返回的 scanId,即代码中的 job.scan.id。下图的 Targets
参数表示的是被扫描者的 IP,可以多个,可以是互联网上别人的 IP。

澳门新葡亰平台官网 8

 

  最后我们通过 scanResult.vulnerabilities
可以得到风险提示或建议等信息:

澳门新葡亰平台官网 9

  对应的 Web 端的截图:

澳门新葡亰平台官网 10

 

准备

要使用 MSF 辅助模块执行漏洞分析,你需要有一个运行 TCP 或 UDP
网络服务的系统。 在提供的示例中,会使用存在 SMB 服务漏洞的 Windows XP
系统。 有关设置 Windows 系统的更多信息,请参阅本书第一章“安装Windows
Server”秘籍。

有多种不同的方法可以用于确定 Metasploit 中的漏洞扫描辅助模块。
一种有效的方法是浏览辅助扫描器目录,因为这是最常见的漏洞识别脚本所在的位置。
看看下面的例子:

root@KaliLinux:/usr/share/metasploit-framework/modules/auxiliary/scanner/
mysql# cat mysql_authbypass_hashdump.rb | more 
## 
# This file is part of the Metasploit Framework and may be subject to 
# redistribution and commercial restrictions. Please see the Metasploit 
# web site for more information on licensing and terms of use. 
#   http://metasploit.com/ 
##

require 'msf/core'

class Metasploit3 < Msf::Auxiliary

  include Msf::Exploit::Remote::MYSQL  
  include Msf::Auxiliary::Report

  include Msf::Auxiliary::Scanner

  def initialize    
      super(      
          'Name'           => 'MySQL Authentication Bypass Password Dump',      
          'Description'    => %Q{          
              This module exploits a password bypass vulnerability in MySQL in order to extract the usernames and encrypted password hashes from a MySQL server. These hashes are stored as loot for later cracking. 

这些脚本的布局是相当标准化的,任何给定脚本的描述可以通过使用cat命令,然后将输出pipemore,从上到下阅读脚本来确定。
在提供的示例中,我们可以看到该脚本测试了MySQL数据库服务中存在的身份验证绕过漏洞。
或者,可以在MSF控制台界面中搜索漏洞识别模块。
要打开它,应该使用msfconsole命令。
搜索命令之后可以与服务相关的特定关键字一同使用,或者可以使用scanner关键字查询辅助/扫描器目录中的所有脚本,像这样:

msf > search scanner

Matching Modules 
================
   Name                                                                 
   Disclosure Date  Rank    Description   ----                                                                     ---------------  ----    ----------   
   auxiliary/admin/smb/check_dir_file                                                        normal  SMB Scanner Check File/Directory Utility   
   auxiliary/bnat/bnat_scan                                                                  normal  BNAT Scanner
   auxiliary/gather/citrix_published_applications                                            normal  Citrix MetaFrame ICA Published Applications Scanner   
   auxiliary/gather/enum_dns                                                                 normal  DNS Record Scanner and Enumerator    
   auxiliary/gather/natpmp_external_address                                                  normal  NAT-PMP External Address Scanner   
   auxiliary/scanner/afp/afp_login                                                           normal  Apple Filing Protocol Login Utility   
   auxiliary/scanner/afp/afp_server_info                                                     normal  Apple Filing Protocol Info Enumerator   
   auxiliary/scanner/backdoor/energizer_duo_detect                                           normal  Energizer DUO Trojan Scanner   
   auxiliary/scanner/db2/db2_auth                                                            normal  DB2 Authentication Brute Force Utility

在识别看起来有希望的脚本时,可以使用use命令结合相对路径来激活该脚本。
一旦激活,以下info命令可用于读取有关脚本的其他详细信息,包括详细信息,描述,选项和引用:

msf > use auxiliary/scanner/rdp/ms12_020_check 
msf  auxiliary(ms12_020_check) > info

       Name: MS12-020 Microsoft Remote Desktop Checker     
       Module: auxiliary/scanner/rdp/ms12_020_check    
       Version: 0    
       License: Metasploit Framework License (BSD)       
       Rank: Normal

Provided by:  
    Royce Davis @R3dy_ <rdavis@accuvant.com>  
    Brandon McCann @zeknox <bmccann@accuvant.com>

Basic options:  
    Name     Current Setting  Required  Description  
    ----     ---------------  --------  ----------  RHOSTS                    yes       The target address range or CIDR identifier  
    RPORT    3389             yes       Remote port running RDP  
    THREADS  1                yes       The number of concurrent threads

Description:  
    This module checks a range of hosts for the MS12-020 vulnerability.   
    This does not cause a DoS on the target.

一旦选择了模块,show options命令可用于识别和/或修改扫描配置。
此命令将显示四个列标题,包括Name, Current Setting, Required,
DescriptionName列标识每个可配置变量的名称。
Current Setting列列出任何给定变量的现有配置。
Required列标识任何给定变量是否需要值。
Description列描述每个变量的函数。
可以通过使用set命令并提供新值作为参数,来更改任何给定变量的值,如下所示:

msf  auxiliary(ms12_020_check) > set RHOSTS 172.16.36.225 
RHOSTS => 172.16.36.225 
msf  auxiliary(ms12_020_check) > run

[*] Scanned 1 of 1 hosts (100% complete) 
[*] Auxiliary module execution completed In this particular case, the system was not found to be vulnerable. However, in the case that a vulnerable system is identified, there is a corresponding exploitation module that can be used to actually cause a denial-of-service on the vulnerable system. This can be seen in the example provided:

msf  auxiliary(ms12_020_check) > use auxiliary/dos/windows/rdp/ms12_020_ maxchannelids 
msf  auxiliary(ms12_020_maxchannelids) > info

       Name: MS12-020 Microsoft Remote Desktop Use-After-Free DoS     Module: auxiliary/dos/windows/rdp/ms12_020_maxchannelids    
       Version: 0    
       License: Metasploit Framework License (BSD)       
       Rank: Normal

Provided by:  
    Luigi Auriemma  Daniel Godas-Lopez  
    Alex Ionescu  jduck <jduck@metasploit.com>  #ms12-020

Basic options:  
    Name   Current Setting  Required  Description  
    ----   ---------------  --------  ----------  
    RHOST                   yes       The target address  
    RPORT  3389             yes       The target port

Description:  
    This module exploits the MS12-020 RDP vulnerability originally discovered and reported by Luigi Auriemma. 
    The flaw can be found in the way the T.125 ConnectMCSPDU packet is handled in the maxChannelIDs field, which will result an invalid pointer being used, therefore causing a denial-of-service condition.

工作原理

大多数漏洞扫描程序会通过评估多个不同的响应来尝试确定系统是否容易受特定攻击。
一些情况下,漏洞扫描可以简化为与远程服务建立TCP连接并且通过自我公开的特征,识别已知的漏洞版本。
在其他情况下,可以向远程服务发送一系列复杂的特定的探测请求,来试图请求对服务唯一的响应,该服务易受特定的攻击。
在前面的例子中,脚本的作者很可能找到了一种方法来请求唯一的响应,该响应只能由修补过或没有修补过的系统生成,然后用作确定任何给定的是否可利用的基础。

5.3 使用 Nessus 创建扫描策略

Nessus是最强大而全面的漏洞扫描器之一。
通过定位一个系统或一组系统,Nessus将自动扫描所有可识别服务的大量漏洞。
可以在Nessus中构建扫描策略,以更精确地定义Nessus测试的漏洞类型和执行的扫描类型。
这个秘籍展示了如何在Nessus中配置唯一的扫描策略。

准备

要在Nessus中配置扫描策略,必须首先在Kali
Linux渗透测试平台上安装Nessus的功能副本。
因为Nessus是一个需要许可的产品,它不会在Kali默认安装。
有关如何在Kali中安装Nessus的更多信息,请参阅第一章中的“Nessus
安装”秘籍。

操作步骤

要在Nessus中配置新的扫描策略,首先需要访问Nessus
Web界面:https:// localhost:8834https://127.0.0.1:8834。或者,如果你不从运行Nessus的相同系统访问Web界面,则应指定相应的IP地址或主机名。加载Web界面后,你需要使用在安装过程中配置的帐户或安装后构建的其他帐户登录。登录后,应选择页面顶部的Policy选项卡。如果没有配置其他策略,您将看到一个空列表和一个New Policy按钮。点击该按钮来开始构建第一个扫描策略。

单击New Policy后,Policy Wizard屏幕将弹出一些预配置的扫描模板,可用于加快创建扫描策略的过程。如下面的屏幕截图所示,每个模板都包含一个名称,然后简要描述其预期功能:

澳门新葡亰平台官网 11

在大多数情况下,这些预配置的扫描配置文件中,至少一个与你尝试完成的配置相似。
可能所有这些中最常用的是Basic Network Scan
要记住,选择任何一个选项后,仍然可以修改现有配置的每个详细信息。
它们只是在那里,让你更快开始。
或者,如果你不想使用任何现有模板,您可以向下滚动并选择Advanced Policy选项,这会让你从头开始。

如果选择任何一个预配置的模板,您可以通过三步快速的过程来完成扫描配置。
该过程分为以下步骤:

  1. 步骤1允许您配置基本详细信息,包括配置文件名称,描述和可见性(公共或私有)。
    公开的个人资料将对所有Nessus用户可见,而私人个人只有创建它的用户才能看到。

  2. 步骤2将简单地询问扫描是内部扫描还是外部扫描。
    外部扫描将是针对可公共访问的主机执行的,通常位于企业网络的DMZ中。
    外部扫描不要求你处于同一网络,但可以在Internet上执行。
    或者,从网络内执行内部扫描,并且需要直接访问扫描目标的LAN。

  3. 步骤3,最后一步,使用SSH或Windows身份验证请求扫描设备的身份验证凭据。
    完成后,访问Profiles选项卡时,可以在先前为空的列表中看到新的配置文件。
    像这样:

    澳门新葡亰平台官网 12

这种方法可以快速方便地创建新的扫描配置文件,但不能完全控制测试的漏洞和执行的扫描类型。
要修改更详细的配置,请单击新创建的策略名称,然后单击Advanced Mode链接。
此配置模式下的选项非常全面和具体。
可以在屏幕左侧访问四个不同的菜单,这包括:

General Settings(常规设置):此菜单提供基本配置,定义如何执行发现和服务枚举的详细端口扫描选项,以及定义有关速度,节流,并行性等策略的性能选项。

Credentials(凭证):此菜单可以配置Windows,SSH,Kerberos
凭据,甚至一些明文协议选项(不推荐)。

Plugins(插件):此菜单提供对Nessus插件的极其精细的控制。
“插件”是Nessus中用于执行特定审计或漏洞检查的项目。
你可以根据功能类型启用或禁用审计组,或者逐个操作特定的插件。

Preferences(首选项):此菜单涵盖了Nessus所有操作功能的更模糊的配置,例如HTTP身份验证,爆破设置和数据库交互。

工作原理

扫描策略定义了Nessus所使用的值,它定义了如何运行扫描。
这些扫描策略像完成简单扫描向导设置所需的三个步骤一样简单,或者像定义每个独特插件并应用自定义认证和操作配置一样复杂。

5.4 Nessus 漏洞扫描

Nessus是最强大和全面的漏洞扫描器之一。
通过定位一个系统或一组系统,Nessus能够自动扫描所有可识别服务的大量漏洞。
一旦配置了扫描策略来定义Nessus扫描器的配置,扫描策略可用于对远程目标执行扫描并进行评估。这个秘籍将展示如何使用Nessus执行漏洞扫描。

准备

要在Nessus中配置扫描策略,必须首先在Kali
Linux渗透测试平台上安装Nessus的功能副本。
因为Nessus是一个需要许可的产品,它不会在Kali默认安装。
有关如何在Kali中安装Nessus的更多信息,请参阅第一章中的“Nessus
安装”秘籍。

此外,在使用Nessus扫描之前,需要创建至少一个扫描策略。
有关在Nessus中创建扫描策略的更多信息,请参阅上一个秘籍。

发表评论

电子邮件地址不会被公开。 必填项已用*标注