20 matches found
PetitPotam
Detección de ataques de relay NTLM PetitPotam Un paquete de Zeek para detectar algunos intentos de desencadenar ataques de relay NTLM mediante el exploit Petit Potam. Este paquete detectará lo que parecen ser intentos de explotación exitosos y fallidos. Hace una distinción entre ellos examinando ...
cve-2021-44228
CVE-2021-44228 一个 Zeek 软件包，用于对 Log4J（CVE-2021-44228）利用尝试发出告警、标记 HTTP 连接，并可选地生成日志。 检测 HTTP 标头中包含的载荷：详见 检测 Log4Shell 的简化方法 的 说明。 使用 Zeek 签名 在 LDAP 搜索期间返回 Java 文件时生成告警。详见 通过 Zeek 与 LDAP 流量检测 Log4j 的 说明。 检测第二阶段的 Java 类何时被下载，无论载荷和第一阶段检测情况如何。详见 通过 Zeek 检测 Java 下载 Java 时的 Log4j 利用 的说明。 安装 $ zkg install...
cve-2020-16898
Zeek Package for Bad Neighbor Detection .. image::...
PetitPotam-notest
PetitPotam NTLMリレー攻撃の検出 PetitPotamエクスプロイトを介してNTLMリレー攻撃をトリガーしようとする試みを検出するためのZeekパッケージです。 このパッケージは、成功したと思われるエクスプロイト試行と失敗した試行の両方を検出します。EFS DCERPC関数呼び出しのリターンコードを調べることで、それらを区別します。 注: このパッケージは、暗号化されていないSMB経由で転送されるエクスプロイト試行のみを検出します。DCERPC 暗号化されたSMB経由の呼び出しは検出されません。このような場合、進行中のNTLMリレー攻撃の兆候がないか...
CVE-2022-26937
CVE-2022-26937 CVE-2022-26937を検出するパッケージ。MicrosoftのNFS実装における脆弱性です。 例 このロジックは、同梱のPCAPを使って testing\traces ディレクトリ内で実行できます: root@kitploit: $ zeek -Cr CVE-2022-26937-exploited.pcap /Source/CVE-2022-26937/scripts/load.zeek $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path...
cve-2022-21907
CVE-2022-21907 このパッケージは、CVE-2022-21907 のエクスプロイトを検出します。 https://corelight.com/blog/detecting-cve-2022-21907 検出方法: HTTP HTTPデータが = 1750 バイトであること、かつ エクスプロイトHTTPリクエストの末尾で HTTP/1.1 が観測されないこと。 使用方法: root@kitploit: $ zeek -Cr your.pcap packages $ cat notice.log separator \x09 setseparator , emptyfield...
callstranger-detector
检测 CallStranger CVE-2020-12695 利用尝试的 Zeek 包 http://callstranger.com/ 此包旨在检测 CallStranger CVE-2020-12695 的利用尝试和数据外泄。它通过查找三个关键事项来实现： 1. Notify URL 包含非 RFC1918 或 localnets 地址的 UPnP SUBSCRIBE 命令。这可能是 DDoS 放大或数据外泄的前兆 2. 目标为非 RFC1918 或 localnets 地址的 UPnP NOTIFY 命令。这可能表明存在活跃的 DDoS 放大或数据外泄 3. Notify URL ...
CVE-2022-23270-PPTP
CVE-2022-23270 Microsoft の PPTP 実装における脆弱性 CVE-2022-23270 を検出するパッケージです。 例 testing\traces ディレクトリ内の同梱 PCAP に対して、このロジックを実行できます： root@kitploit: $ zeek -Cr CVE-2022-23270-exploited.pcap packages $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path notice open...
Corelight-Ansible-Roles
Corelight-Ansible-Roles 注意： 在运行此版本之前，如果您正在升级，请注意某些变量名称和位置已更改 要开始使用，只需运行以下命令： source curl https://raw.githubusercontent.com/corelight/Corelight-Ansible-Roles/main/download-run-me-first.sh 本产品包含由 MaxMind 创建的 GeoLite2 数据，可从 https://www.maxmind.com 获取。 您可以免费注册，并从...
CVE-2021-38647
CVE-2021-38647 又名 "OMIGOD" 一个 Zeek 包，用于检测 CVE-2021-38647（又名 OMIGOD）的利用尝试。 https://corelight.com/blog/detecting-cve-2021-38647-omigod https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647 利用方法 该利用方法仅需省略 Authorizati...
CVE-2021-41773
CVE-2021-41773 Apache HTTP Server 2.4.49 CVE-2021-41773 および 2.4.50 CVE-2021-42013 のパストラバーサル/RCE に関する通知を発行する Zeek パッケージ 参照 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-41773 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-42013...
boa-detector
boa-detector Este paquete de Zeek detecta la cadena del servidor web Boa en las cabeceras HTTP. Todas las versiones de Boa se consideran vulnerables: https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/ Cuando se...
zeek-netsupport-detector
NetSupport 背景 https://unit42.paloaltonetworks.com/cortex-xdr-detects-netsupport-manager-rat-campaign/ テスト用PCAP: https://app.any.run/tasks/b5d9853f-0dca-45ef-9532-83feeedcbf42 例: root@kitploit: $ zeek -Cr b5d9853f-0dca-45ef-9532-83feeedcbf42.pcap $ cat notice.log separator \x09 setseparator ,...
zeek-gozi-detector
Gozi 恶意软件检测器 此 Zeek 包可检测 Gozi 银行恶意软件活动。 资源： 此包查找的 RAR 文件在以下文章中进行了讨论： https://unit42.paloaltonetworks.com/march-wireshark-gozi-answers/ https://medium.com/@enyel.salas84/unveiling-the-gozi-infection-detecting-gozi-in-an-active-directory-ad-environment-using-9773baebe25f...
ripple20
"Ripple20" Treck IOT/ICS 设备发现与漏洞利用检测 v0.2 Summary: 一个用于被动检测 Treck 设备、发现/扫描尝试以及针对 Treck TCP/IP 协议栈中 "Ripple20" 系列漏洞的利用行为的 Zeek 包。 References: https://corelight.blog/2020/06/30/ripple20-zeek-package-open-sourced/ https://www.jsof-tech.com/ripple20/ 由 JSOF 提供的 python/scapy 扫描包。...
Exploit for CVE-2021-38647
CVE-2021-38647 AKA "OMIGOD" A Zeek package which detects CVE-2...
Exploit for Uncontrolled Resource Consumption in Siemens 6Bk1602-0Aa12-0Tp0_Firmware
CVE-2021-44228 A Zeek package which raises notices, tags HTTP...
Exploit for CVE-2021-38647
cve-2021-38647 https://github.com/corelight/CVE-2021-38647 wit...