Vulnerability Assessment

1. Wat is een CVE?

Stel, een onderzoeker ontdekt dat de nieuwste versie van Microsoft Word een fout bevat waardoor je een virus kunt versturen in een document. Om structuur te houden in de wereldwijde cybersecurity, krijgt zo'n ontdekte fout een officieel nummer toegekend. Dit noemen we een CVE (Common Vulnerabilities and Exposures).

Een CVE ziet er altijd uit als een jaartal met een volgnummer: CVE-2021-44228 (dit was de beruchte Log4j kwetsbaarheid).

Naast de CVE, krijgt de fout ook een CVSS Score (Common Vulnerability Scoring System). Dit is een score van 0.0 tot 10.0 die aangeeft hoe kritiek de fout is. Een CVSS van 10.0 betekent blinde paniek voor IT beheerders.

2. Handmatig zoeken naar exploits

Als je tijdens je Nmap scan in de vorige module ontdekt hebt dat een server ProFTPD versie 1.3.5 draait, ga je online op zoek of hier een bekende CVE voor is.

Plekken om handmatig exploits te zoeken:

• Google: "ProFTPD 1.3.5 exploit" of "ProFTPD 1.3.5 CVE"
• Exploit-DB.com: De grootste database van daadwerkelijke programmeercode (exploits) die de fouten uitbuiten.
• SearchSploit: Een command-line tool in Kali Linux die lokaal een offline versie van Exploit-DB doorzoekt.

# Offline in Kali zoeken naar exploits voor ProFTPD
$ searchsploit proftpd 1.3.5

3. Geautomatiseerde Scanners (Nessus / OpenVAS)

Als een bedrijf duizenden servers heeft, kun je onmogelijk handmatig elke versie van elke software gaan opzoeken op Google. Hiervoor bestaan Vulnerability Scanners. Deze zware softwarepakketten hebben een gigantische database met alle bekende CVE's.

Ze scannen een heel netwerk, ontdekken alle besturingssystemen en software, vergelijken dit met hun CVE-database en printen een mooi rapport uit: "Server X is vatbaar voor CVE-2020-0796. Installeer deze patch."

4. False Positives (Vals Alarm)

Waarom kan een bedrijf niet gewoon altijd een automatische scanner runnen en de hacker ontslaan? Omdat scanners "dom" zijn. Ze kijken vaak alleen naar het versienummer. Soms heeft een IT beheerder de fout al lang opgelost zonder het versienummer te veranderen. De scanner zal paniek slaan en de fout rapporteren.

Dit noemen we een False Positive (Vals Alarm). De taak van de pentester is om handmatig te bewijzen (verifiëren) of de kwetsbaarheid ook echt werkt. Pas dan wordt het in het eindrapport gezet.

🎯 Praktijkopdrachten

• Bekijk Exploit-DB

  Ga naar Exploit-DB.com en zoek op 'Windows'. Bekijk hoe hackers code publiceren om zwaktes aan te vallen.

• Lees de NVD database

  Zoek op Google naar CVE-2017-0144 (de beruchte EternalBlue / WannaCry exploit) en lees waarom dit een CVSS score van 8.1 / 10.0 had.

📝 Kennis Test