[C#] C# 与 Nessus 交互，动态构建扫描任务计划

2021-04-03 06:24

阅读：544

标签：ace 包装系统 val start 查看提高 void eva

C# 与 Nessus 交互，动态构建扫描任务计划

什么是 Nessus？

　　它是一个流行的漏洞扫描程序，我们可以通过它来提高自己服务器的安全性；定期对服务器进行漏洞和补丁扫描，使用已知漏洞的数据库评估正在运行在网络上不同平台的系统，这可以帮助我们更快速的识别风险以及进行合理规避。针对个人来讲，它是免费的。

　　本文并不是一篇关于 Nessus 的安装介绍。

　　本文演示的是如何通过 C# 编码以 HTTP 的 Resful 风格来执行 GET、PUT、POST 和 DELETE 等操作，来实现登录后动态的创建扫描任务和获取执行结果等一系列步骤，而不是通过人为机械的点击按钮来一步步进行操作。

创建会话类 NessusSession

　　在服务器安装完毕 Nessus 后，输入地址（本文演示时使用的是 https://www.nidie.com.cn:8834/）【8834 端口是默认 Nessus 设置的端口】，显示的是一个授权登录页，显然，想要进一步操作必须先通过认证。

技术分享图片

　　为此，我编写了一个存储会话状态的类 NessusSession.cs:

    /// 
    /// 会话
    /// 
    public class NessusSession : IDisposable
    {
        /// 
        /// 端口
        /// 
        public int Port { get; set; }

        /// 
        /// 主机
        /// 
        public string Host { get; set; }

        /// 
        /// 令牌
        /// 
        public string Token { get; private set; }

        /// 
        /// 认证标识
        /// 
        public bool IsAuthenticated { get; private set; }

        #region ctor

        public NessusSession()
        {
            ServicePointManager.ServerCertificateValidationCallback = (object obj, X509Certificate certificate,
                X509Chain chain, SslPolicyErrors errors) => true;
        }

        public NessusSession(string host, int port = 8834) : this()
        {
            Host = host;
            Port = port;
        }

        #endregion ctor

        /// 
        /// 认证
        /// 
        /// 
        /// 
        /// 
        public bool Authenticate(string userName, string password)
        {
            var obj = new JObject
            {
                ["username"] = userName,
                ["password"] = password
            };

            var result = MakeRequest(HttpRequestMethod.Post, "session", obj);

            if (result == null || result.token == null)
            {
                return false;
            }

            Token = result.token;
            return IsAuthenticated = true;
        }

        /// 
        /// 请求
        /// 
        /// 
        /// 
        /// 
        /// 
        public dynamic MakeRequest(string method, string uri, JObject data = null)
        {
            var url = $"https://{Host}:{Port}/{uri}";
            var request = WebRequest.Create(url);
            request.Method = method;

            if (!Token.IsNullOrEmpty())
            {
                request.Headers["X-Cookie"] = $"token={Token}";
            }

            //set: json
            request.ContentType = "application/json";

            if (data == null)
            {
                request.ContentLength = 0;
            }
            else
            {
                var bytes = Encoding.UTF8.GetBytes(data.ToString());
                request.ContentLength = bytes.Length;

                using (var rs = request.GetRequestStream())
                {
                    rs.Write(bytes, 0, bytes.Length);
                }
            }

            //request --> response
            var respStream = request.GetResponse().GetResponseStream();

            if (respStream == null)
            {
                return null;
            }

            string response;

            using (var reader = new StreamReader(respStream))
            {
                response = reader.ReadToEnd();
            }

            return response.IsNullOrEmpty() ? null : response.ToJson();
        }

        /// 
        /// 注销
        /// 
        public void LogOut()
        {
            if (!IsAuthenticated) return;

            MakeRequest(HttpRequestMethod.Delete, "session");
            IsAuthenticated = false;
        }


        public void Dispose()
        {
            LogOut();
        }
    }

NessusSession

　　代码分析：

　　其中，Authenticate(userName, password) 方法的主要目的是通过登录验证，请求时通过 Jobject 对象将参数进行包装传输，在成功后将获取的 token 值（又称身份令牌）进行保存，方便后续操作。

        /// 
        /// 认证
        /// 
        /// 
        /// 
        /// 
        public bool Authenticate(string userName, string password)
        {
            var obj = new JObject
            {
                ["username"] = userName,
                ["password"] = password
            };

            var result = MakeRequest(HttpRequestMethod.Post, "session", obj);

            if (result == null || result.token == null)
            {
                return false;
            }

            Token = result.token;
            return IsAuthenticated = true;
        }

　　因为所有的方法调用都是以 HTTP 方式进行请求，所以封装了方法 MakeRequest(string method, string uri, JObject data = null) 。在登录成功后，每次请求都会携带对应的 token 值（request.Headers["X-Cookie"] = $"token={Token}"），我们在进行参数传递的时候都是以 json 的格式进行传输，所以需要设置 request.ContentType = "application/json"，为了方便后续返回值的直接使用，我使用了 dynamic 类型作为返回值，这样也可以减少创建多个实体类。

        /// 
        /// 请求
        /// 
        /// 
        /// 
        /// 
        /// 
        public dynamic MakeRequest(string method, string uri, JObject data = null)
        {
            var url = $"https://{Host}:{Port}/{uri}";
            var request = WebRequest.Create(url);
            request.Method = method;

            if (!Token.IsNullOrEmpty())
            {
                request.Headers["X-Cookie"] = $"token={Token}";
            }

            //set: json
            request.ContentType = "application/json";

            if (data == null)
            {
                request.ContentLength = 0;
            }
            else
            {
                var bytes = Encoding.UTF8.GetBytes(data.ToString());
                request.ContentLength = bytes.Length;

                using (var rs = request.GetRequestStream())
                {
                    rs.Write(bytes, 0, bytes.Length);
                }
            }

            //request --> response
            var respStream = request.GetResponse().GetResponseStream();

            if (respStream == null)
            {
                return null;
            }

            string response;

            using (var reader = new StreamReader(respStream))
            {
                response = reader.ReadToEnd();
            }

            return response.IsNullOrEmpty() ? null : response.ToJson();
        }

　　同时，我新建一个类 HttpRequestMethod.cs 来保存 HTTP 请求方式：

    /// 
    /// HTTP 请求方法
    /// 
    public class HttpRequestMethod
    {
        public const string Get = "GET";

        public const string Post = "POST";

        public const string Put = "PUT";

        public const string Delete = "DELETE";
    }

　　LogOut() 是注销操作，采取的是 DELETE 方式。因为我希望在关闭时直接释放，所以继承了 IDisposable 接口并实现。

        /// 
        /// 注销
        /// 
        public void LogOut()
        {
            if (!IsAuthenticated) return;

            MakeRequest(HttpRequestMethod.Delete, "session");
            IsAuthenticated = false;
        }

        public void Dispose()
        {
            LogOut();
        }

　　还有一个比较特殊的地方，因为 url 的地址头是 https，所以我在构造函数中直接设置了验证服务器证书的回调为 true，来保证 SSL 证书的正常接受，即 ServicePointManager.ServerCertificateValidationCallback = (object obj, X509Certificate certificate,X509Chain chain, SslPolicyErrors errors) => true。

        public NessusSession()
        {
            ServicePointManager.ServerCertificateValidationCallback = (object obj, X509Certificate certificate,
                X509Chain chain, SslPolicyErrors errors) => true;
        }

        public NessusSession(string host, int port = 8834) : this()
        {
            Host = host;
            Port = port;
        }

登录测试

　　现在，我已经实现了会话类 NessusSession，需要编写一个测试类运行，传入 IP 或域名，以及对应的用户名和密码，因为实现了 IDisposable 接口，所以可以直接使用 using 进行释放，观察编写的方法是否生效，即验证是否登录成功。因为登录失败根本无法进行后续的操作，所以在登录失败时我直接抛出“认证失败”的异常描述值。

        [TestMethod]
        public void NessusSessionTest()
        {
            using (var session = new NessusSession("www.nidie.com.cn"))
            {
                var result = session.Authenticate("admin", "you guess");

                if (!result)
                {
                    throw new Exception("认证失败");
                }

                Console.WriteLine(session.Token);
            }
        }

　　从测试的结果来看，毫无疑问，事实是经得起考验的。

技术分享图片

创建操作类 NessusManager

　　这是第二个关键类 NessusManager，它类似 Facede 模式，包含了一系列扫描活动流程操作，需要把之前的 session 传递进来，方便后续我们直接通过该类进行操作：

    public class NessusManager : IDisposable
    {
        private readonly NessusSession _session;

        public NessusManager(NessusSession session)
        {
            _session = session;
        }

        /// 
        /// 获取扫描策略
        /// 
        /// 
        public dynamic GetScanPolicies()
        {
            return _session.MakeRequest(HttpRequestMethod.Get, "editor/policy/templates");
        }

        /// 
        /// 创建扫描任务
        /// 
        /// 
        /// 
        /// 
        /// 
        /// 
        public dynamic CreateScanJob(string policyId, string targets, string name, string description)
        {
            var data = new JObject
            {
                ["uuid"] = policyId,
                ["settings"] = new JObject
                {
                    ["name"] = name,
                    ["text_targets"] = targets,
                    ["description"] = description
                }
            };

            return _session.MakeRequest(HttpRequestMethod.Post, "scans", data);
        }

        /// 
        /// 开始扫描
        /// 
        /// 
        /// 
        public dynamic StartScan(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Post, $"scans/{scanId}/launch");
        }

        /// 
        /// 获取扫描结果
        /// 
        /// 
        /// 
        public dynamic GetScanResult(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Get, $"scans/{scanId}");
        }


        public void Dispose()
        {
            _session?.Dispose();
        }
    }

NessusManager.cs

　　代码分析：

　　安装完毕 Nessus 之后，我们可以选择合适的扫描模板：

技术分享图片

　　通过 GetScanPolicies() 方法，我们就可以查看模板信息，这里的每一种模板都有对应的 UUID（又称 GUID）：

        /// 
        /// 获取扫描策略
        /// 
        /// 
        public dynamic GetScanPolicies()
        {
            return _session.MakeRequest(HttpRequestMethod.Get, "editor/policy/templates");
        }

　　获取到我们选择的模板 id 后，我们可以通过 CreateScanJob() 方法把 id 和其它所需要的参数进行传入，即可创建扫描任务：

        /// 
        /// 创建扫描任务
        /// 
        /// 
        /// 
        /// 
        /// 
        /// 
        public dynamic CreateScanJob(string policyId, string targets, string name, string description)
        {
            var data = new JObject
            {
                ["uuid"] = policyId,
                ["settings"] = new JObject
                {
                    ["name"] = name,
                    ["text_targets"] = targets,
                    ["description"] = description
                }
            };

            return _session.MakeRequest(HttpRequestMethod.Post, "scans", data);
        }

　　创建完毕之后，我们可以得到该任务 id（参数 scanId），通过 StartScan() 方法就可以直接启动对应的扫描任务。

        /// 
        /// 开始扫描
        /// 
        /// 
        /// 
        public dynamic StartScan(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Post, $"scans/{scanId}/launch");
        }

　　通过定时调用 GetScanResult() 方法，我们可以以轮询的方式不断跟踪该计划的进度和状态，类似订单跟踪，参数依然是之前创建任务返回所得到的 id（scanId）：

        /// 
        /// 获取扫描结果
        /// 
        /// 
        /// 
        public dynamic GetScanResult(int scanId)
        {
            return _session.MakeRequest(HttpRequestMethod.Get, $"scans/{scanId}");
        }

操作测试

　　目前已经编写好两个主要参与的类，下面来演示一下如何通过类 NessusManager 来完成一个基本的扫描流程：

        [TestMethod]
        public void ManagerTest()
        {
            using (var session = new NessusSession("www.nidie.com.cn"))
            {
                var result = session.Authenticate("admin", "you guess");

                if (!result)
                {
                    throw new Exception("认证失败");
                }

                using (var manager = new NessusManager(session))
                {
                    var policies = manager.GetScanPolicies();
                    var id = string.Empty;

                    foreach (var template in policies.templates)
                    {
                        if (template.name != "basic") continue;

                        id = template.uuid;
                        break;
                    }

                    var job = manager.CreateScanJob(id, "117.48.203.231", "随便扫扫", "该用户很懒，什么也没有留下");
                    int scanId = job.scan.id;

                    manager.StartScan(scanId);

                    var scanResult = manager.GetScanResult(scanId);

                    while (scanResult.info.status != "completed")
                    {
                        Console.WriteLine("扫描状态：" + scanResult.info.status);
                        Thread.Sleep(5000);
                        scanResult = manager.GetScanResult(scanId);
                    }

                    Console.WriteLine(scanResult);

                    foreach (var vulnerability in scanResult.vulnerabilities)
                    {
                        Console.WriteLine(vulnerability);
                    }
                }
            }
        }

　　在代码中，通过 manager 对象，我用 GetScanPolicies() 方法选取了名称为“basic”（“Basic Network Scan”）的模板进行创建，再调用 CreateScanJob() 方法创建扫描任务，接着调用 StartScan() 方法启动，轮询 GetScanResult() 方法返回的结果值输出，根据不同人的服务器运行速度以及网络环境等因素，整个时间可能比较漫长。

　　因为每一种模板都有标识 id，通过 manager.CreateScanJob(id, "117.48.203.231", "随便扫扫", "该用户很懒，什么也没有留下") 方法创建的就是指定模板的扫描任务，后面的三个参数对应的参数值如下图所示，其中 59 是创建完 job 后返回的 scanId，即代码中的 job.scan.id。下图的 Targets 参数表示的是被扫描者的 IP，可以多个，可以是互联网上别人的 IP。

技术分享图片