Immunity Canvas“军工级”武器库泄露，大幅降低攻击门槛，企业宜早做防范

2021年3月2日，有国外安全研究人员在社交媒体称，Immunity Canvas 7.26工具的源码遭到泄露，里面包含959个漏洞利用工具(已做排重处理)。值得注意的是，2018年公开的英特尔"幽灵"漏洞的利用工具也在泄露的武器库中。

Immunity Canvas是什么?

CANVAS是Immunity公司开发的专业安全工具包，为全球渗透测试人员和安全专业人员提供数百种漏洞利用，是一个自动化的漏洞利用系统以及一个全面、可靠的漏洞利用开发框架。不法黑客可能利用已泄露的工具包在未经用户许可的情况下，对其感兴趣的目标进行检测、渗透活动，该事件已引起安全行业的广泛关注。

该工具包的售价高达数万美元/年：

事实上，有研究人员表示，至少自2020年12月开始，CANVAS 7.26的破解版本已经泄漏并在网上进行交易。

坏消息：攻击门槛降低了

Immunity Canvas工具包有集成化、自动化、简单化的特点，大幅降低了攻击门槛。本次泄露包含该工具的源码，会有更专业的黑客根据个人喜好添加新武器、新功能。

• 集成化：针对Windows、Linux、MACOS操作系统，涉及扫描、探测、入侵方方面面的各类工具，数量多以百计;
• 自动化：攻击流程自动化、攻击操作傻瓜化，有一定基础的安全爱好者，点点鼠标就能完成一个攻击。

腾讯安全团队对已泄露的工具包做了简单分析，判断这是个功能完整的红队工具包。本次泄露包括该工具的源码，可以直接在windows和linux直接安装。根据Changelog.txt文件可以看到当前泄露的Immunity CANVAS 7.26大概是2020年9月份的版本：

从目录看，泄露的Immunity CANVAS 7.26版工具包包含：漏洞利用程序、WINDOWS\LINUX\MACOS系统后门、Fuzz、代理、Rootkit等：

下图为使用Immunity CANVAS控制台使用永恒之蓝漏洞进行攻击：

好消息：泄露的工具包相对老旧，暂未发现0day

不过，我们将工具包中的CVE进行排重分类，发现其中老漏洞比较多，新漏洞比较少，从有CVE标示的漏洞插件来看，2019年和2020的漏洞占比<5%，暂时未发现本次泄露的武器库中存在0day漏洞。

工具包内包含的漏洞利用脚本大多已被公开：

漏洞公开时间到工具集成时间对比：

几个重量级攻击武器

即便如此，工具包中仍然有几个重量级高危漏洞攻击组件需要引起注意(虽然这些漏洞都已经得到修补并发布了补丁，但仍然有许多企业内部依然未更新组件和打补丁)。

(1) spectre_file_leak (CVE-2017-5753)：

2018年引发轰动的“幽灵”、熔断两个CPU 漏洞之一，利用Spectre(幽灵)漏洞， 当用户通过浏览器访问包含恶意利用的网站时，帐号、密码、邮箱等个人隐私信息可能会被泄漏。

漏洞源于CPU厂商为了提高CPU性能而引入的新特性。不管是台式机、笔记本电脑、云服务器以及智能手机等硬件产品，还是Windows、Linux、Mac OS、IOS、Android等操作系统，都受到这两个CPU漏洞的影响。