搜索

[11184] 2017-03-30_企业安全漏洞通告引擎

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2017-03-30_企业安全漏洞通告引擎 企 业 安 全 漏 洞 通 告 引 擎 R i p Z   F r e e B u f   2 0 1 7 - 0 3 - 3 0 * 本 文 原 创 作 者 ： R i p Z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 背 景 如 今 大 多 数 企 业 都 在 用 漏 洞 扫 描 + 漏 洞 通 告 ， 存 在 如 下 两 个 问 题 ： 1 、 漏 扫 存 在 “ 扫 描 周 期 长 、 扫 描 库 更 新 不 及 时 ” 等 情 况 ， 同 时 扫 描 报 告 中 有 无 数 干 扰 项 ， 导 致 了 漏 扫 报 告 约 等 于 “ 漏 洞 信 息 堆 砌 ” ， 真 正 有 用 的 可 能 没 几 个 ， 而 让 甲 方 运 维 人 员 从 中 找 到 有 用 的 信 息 ， 真 是 异 常 耗 时 耗 力 。 2 、 安 全 厂 商 的 漏 洞 通 告 是 “ 只 通 知 ， 具 体 影 响 那 台 服 务 器 ， 运 维 自 己 找 去 吧 。 ” 由 以 上 两 个 痛 点 ， 我 们 想 出 来 一 个 二 者 结 合 的 用 法 ： 通 过 各 种 方 法 收 集 到 所 有 服 务 器 当 前 的 中 间 件 、 数 据 库 等 版 本 ， 再 通 过 资 产 列 表 匹 配 到 相 应 服 务 器 的 运 维 人 员 邮 箱 ， 最 后 再 到 靠 谱 的 安 全 厂 商 漏 洞 公 告 网 站 抓 到 最 新 的 漏 洞 资 讯 以 及 影 响 范 围 ， 一 旦 “ 当 前 版 本 ” 处 于 “ 影 响 版 本 ” 范 围 内 ， 则 立 即 进 行 邮 件 告 警 。 整 体 框 架 整 体 分 为 输 入 、 主 引 擎 以 及 输 出 三 个 部 分 。 1 、 输 入 部 分 a )   版 本 探 测 ： 针 对 服 务 器 各 应 用 的 版 本 探 测 扫 描 、 不 便 于 扫 描 的 区 域 进 行 手 工 检 查 版 本 并 录 入 b )   爬 虫 ： 选 出 多 家 安 全 厂 商 ， 通 过 其 安 全 漏 洞 公 告 的 网 站 进 行 每 日 （ 或 更 高 频 次 ） 漏 洞 信 息 抓 取 2 、 主 引 擎 部 分 a )   P y t h o n ： 真 心 好 用 b )   数 据 库 ： 制 定 “ 应 用 - I P - 版 本 - 管 理 员 ” 表 c )     版 本 比 较 ： 通 过 比 较 漏 洞 影 响 范 围 & 当 前 应 用 版 本 ， 来 判 断 是 否 存 在 安 全 问 题 d )   最 新 漏 洞 告 警 ： 定 时 任 务 运 行 （ 每 日 一 次 或 更 高 频 次 ） ， 以 自 动 发 现 最 新 的 安 全 漏 洞
3 、 输 出 部 分 根 据 “ 应 用 - I P - 版 本 - 管 理 员 ” 的 对 应 关 系 ， 自 动 将 相 应 的 应 用 漏 洞 发 送 给 相 应 的 运 维 管 理 员 ， 实 现 较 为 精 准 的 自 动 化 漏 洞 通 告 & 新 漏 洞 预 警 。 输 入 部 分 这 里 有 多 种 方 式 来 实 现 版 本 的 自 动 扫 描 ， 如 N e s s u s 、 各 厂 家 的 漏 扫 等 等 。 由 于 应 用 版 本 更 新 频 率 低 ， 漏 洞 更 新 频 率 高 ， 故 而 通 过 每 个 月 一 次 的 扫 描 可 以 较 为 准 确 地 获 得 当 前 可 探 测 到 的 服 务 器 中 所 运 行 的 应 用 版 本 。 另 外 需 要 制 作 出 “ 应 用 - I P - 版 本 - 管 理 员 ” 的 对 应 关 系 ， 以 便 发 现 最 新 漏 洞 后 通 知 给 相 应 应 用 的 负 责 人 。 1 、 制 作 “ 应 用 -   I P - 版 本 ” 对 应 关 系 表 （ 表 名 为 a p p s ） 首 先 需 要 定 位 “ 版 本 信 息 ” 所 在 位 置 ， 通 过 漏 扫 导 出 的 e x c e l 主 机 报 表 可 以 发 现 ， 仅 在 “ 扫 描 报 告 - 漏 洞 信 息 s h e e t - 返 回 信 息 列 ” 可 能 会 包 含 版 本 信 息 （ 如 下 图 ） 。 故 想 办 法 定 位 到 指 定 s h e e t + 指 定 列 ， 从 而 使 用 正 则 获 取 到 形 如 [ M i c r o s o f t - I I S / 8 . 5 ] 中 的 信 息 这 里 会 用 到 p y e x c e l _ x l s ， 该 模 块 可 以 读 取 e x c e l 表 中 信 息 ， 如 下 。
之 后 再 通 过 细 粒 度 的 正 则 和 各 种 奇 葩 内 容 的 排 除 后 ， 得 到 当 前 版 本 信 息 ， 如 n g i n x   1 . 8 . 1 ， 存 到 数 据 库 待 用 。 每 次 扫 描 都 会 有 大 量 的 主 机 报 表 产 生 （ 如 下 图 ）         此 时 需 要 逐 个 遍 历 目 录 中 的 所 有 文 件 ：
于 是 通 过 目 录 遍 历 + e x c e l 遍 历 后 ， 应 用 -   I P - 版 本 的 对 应 关 系 就 搞 定 了 。 2 、 完 善 “ 应 用 - I P - 版 本 - 管 理 员 关 系 对 应 表 ” 有 了 上 面 的 表 还 不 够 ， 即 使 有 漏 洞 通 告 ， 无 法 自 动 落 实 到 人 ， 也 是 空 谈 。 于 是 要 将 I P - 管 理 员 的 对 应 关 系 加 入 进 来 。 此 时 我 们 需 要 先 要 有 信 息 系 统 资 产 表 ， 其 中 至 少 应 包 括 “ I P - 管 理 员 ” （ 如 下 图 ）         再 根 据 每 次 遍 历 扫 描 结 果 输 出 目 录 中 的 报 表 I P 作 为 查 询 条 件 ， 进 行 资 产 表 查 询 ， 将 获 取 到 的 管 理 员 名 称 添 加 到 “ a p p s ” 表 中 的 对 应 位 置 ， 制 作 完 毕 后 如 下 图 所 示 ， 资 产 输 入 部 分 完 毕 。 3 、 漏 洞 公 告 网 站 爬 虫 爬 虫 的 目 的 ： 抓 到 所 有 应 用 名 称 的 漏 洞 信 息 & 影 响 范 围 。
        爬 虫 示 例 ： 绿 盟 漏 洞 公 告 爬 虫 思 路 ： 1 、 在 k e y w o r d 的 参 数 值 处 提 交 当 前 系 统 环 境 中 所 具 备 的 应 用 名 称 2 、 利 用 u r l l i b （ 或 u r l l i b 2 ） 抓 到 所 有 页 面 的 应 用 漏 洞 信 息 3 、 可 能 存 在 多 页 记 录 ， 每 一 页 都 遍 历 全 4 、 把 所 有 抓 到 的 标 题 做 汇 总 ， 得 到 “ 漏 洞 标 题 + 漏 洞 超 链 接 ” 的 l i s t 5 、 遍 历 l i s t ， 将 同 时 存 在 “ 应 用 名 称 ” 和 “ 远 程 命 令 执 行 ” （ 或 者 远 程 拒 绝 服 务 ） 这 一 类 高 危 漏 洞 筛 选 出 来 。 6 、 如 果 “ x x x 漏 洞 ” 符 合 步 骤 e 中 的 筛 选 条 件 ， 则 进 一 步 用 爬 虫 抓 取 “ x x x 漏 洞 ” 中 的 漏 洞 详 情 信 息 （ 标 题 、 受 影 响 版 本 、 描 述 、 建 议 等 ） ， 如 “ n g i n x 文 件 路 径 处 理 远 程 命 令 执 行 漏 洞 ” ， 相 应 页 面 U R L 为 h t t p : / / w w w . n s f o c u s . n e t / v u l n d b / 1 5 0 7 7 7 、   使 用 正 则 获 取 “ 受 影 响 系 统 ” 中 的 版 本 信 息 （ 如 下 图 ） ， 备 用 来 比 较 。
  9 、 使 用 正 则 获 取 “ 受 影 响 系 统 ” 中 版 本 信 息 前 面 的 符 号 ， （ 如 ‘ < ’ ‘ - ’ ‘ < = ’ ‘ = ’ 等 ， 见 下 列 多 图 ） ， 这 一 步 很 关 键 ， 为 引 擎 的 判 断 来 做 最 基 本 的 正 确 性 保 障 。   至 此 ， 受 影 响 版 本 的 获 取 已 经 搞 定 ， 绿 盟 的 爬 虫 也 制 作 完 毕 。 引 擎 部 分 引 擎 主 体 包 括 版 本 比 较 与 最 新 漏 洞 通 告 两 个 部 分 。 1 、 版 本 比 较 在 上 一 步 中 我 们 已 经 用 爬 虫 获 取 到 了 “ 指 定 应 用 、 指 定 危 害 描 述 ” 的 漏 洞 信 息 以 及 受 影 响 版 本 ， 在 主 引 擎 中 我 们 要 做 版 本 比 对 ：
如 果 “ 当 前 应 用 版 本 ” 小 于 或 等 于 “ 受 影 响 范 围 ” 中 的 版 本 ， 则 可 能 存 在 该 漏 洞 。 在 版 本 比 较 中 遇 到 的 问 题 是 1 . 1 和 1 . 2 这 两 个 f l o a t 可 以 比 较 ， 但 是 1 . 1 . 1 和 1 . 1 . 2 怎 么 比 较 呢 ？ 逛 了 各 种 论 坛 找 到 了 d i s t u t i l s . v e r s i o n 模 块 ， 可 以 轻 松 进 行 版 本 比 对 ， 实 现 起 来 非 常 简 单 。 示 例 ： 如 果 a < b 则 返 回 - 1 ， a = b 返 回 0 ， a > b 返 回 1 。 以 此 方 法 比 较 后 ， 对 于 返 回 0 和 - 1 的 漏 洞 就 可 以 准 备 着 手 进 行 通 告 处 理 了 。 2 、   最 新 漏 洞 通 告 既 然 为 最 新 漏 洞 通 告 ， 则 旧 的 漏 洞 不 应 再 次 提 示 ， 至 少 对 于 该 模 块 下 来 说 不 应 再 次 提 示 。 同 时 新 建 一 个 表 格 存 放 当 前 已 经 通 告 过 “ 某 某 I P 存 在 x x 漏 洞 ” ， 此 后 再 跑 程 序 的 时 候 先 判 断 这 个 表 里 的 t i m e 次 数 ， 如 果 为 1 ， 就 不 会 再 重 复 通 告 。         一 旦 某 天 出 现 了 重 大 信 息 安 全 漏 洞 （ 比 如 S t r u t s 2 ） ， 漏 洞 检 索 引 擎 会 爬 取 到 厂 商 的 公 开 信 息 并 及 时 发 送 告 警 。 输 出 部 分 输 出 这 部 分 目 前 只 有 邮 件 告 警 ， 在 有 符 合 条 件 的 漏 洞 出 现 后 ， 直 接 将 漏 洞 邮 件 发 送 给 步 骤 2 . 2 中 已 经 制 定 的 对 应 表 中 的 管 理 员 ， 邮 件 内 容 如 下 所 示 。
B u g 在 处 理 遗 留 漏 洞 方 面 ， 该 引 擎 只 能 通 过 版 本 比 较 来 发 现 漏 洞 ， 而 通 过 打 补 丁 、 改 配 置 文 件 等 方 式 修 复 的 漏 洞 可 能 还 会 重 新 被 通 告 。 比 如 当 前 环 境 中 有 I I S   7 . 0 ， 公 开 漏 洞 信 息 中 提 示 的 影 响 范 围 是 I I S   7 . 0 ， 但 是 管 理 员 打 了 补 丁 ， 此 时 依 旧 会 通 告 该 漏 洞 。 总 结 对 于 新 增 漏 洞 来 说 ， 该 引 擎 较 为 好 用 ， 然 而 对 于 旧 的 漏 洞 来 说 ， 效 果 一 般 。 希 望 安 全 厂 商 能 够 在 研 发 扫 描 器 上 多 一 些 可 定 制 的 灵 活 性 ， 避 免 出 现 “ 漏 洞 堆 砌 ” 类 的 无 用 消 息 ， 更 好 地 提 供 安 全 扫 描 工 具 。 * 本 文 原 创 作 者 ： R i p Z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理