Goby 内测版1.8.221| 启动爬虫，继续助力红队

针对近期连续性的地方hvv，本次更新继续助力红队队员！新增一大大大波漏洞，包含近期爆出漏洞及hvv实战漏洞等，并新增蜜罐识别类型及特征，以及终于支持了网页爬虫！

文章末找此版本获取方式↓

0x001 新增漏洞

新增漏洞高达30条：包含CVE-2020-14882/CVE-2020-14750、CVE-2020-14883、XXL-JOB API Unauthenticated RCE、VMware_vCenter_File_Read等近期爆出漏洞， Weaver_e-Bridge_File_Read、Yonyou_GRP-U8_RCE等近期hvv实战漏洞，以及Fastjon和stucts2等需要爬虫的漏洞！请享用！

漏洞演示Demo: https://github.com/gobysec/GobyVuls

0x002 新增功能

1. 新增网页爬虫功能

需预先前往设置 > 资产测绘 开启。和网站截图及蜜罐识别一样，会有一丢丢耗性能，可通过配置爬虫并发数、爬虫最大链接数、爬虫最大分析连接数优化性能。默认爬取当前主机，可选择只爬取主页。

爬虫支持的Fastjson漏洞:

支持树形图展示爬虫信息

2. 新增Socket代理模式下配置发包率

默认100，建议配置小一点，否则会导致代理服务器异常，进而扫描崩溃。

3. 新增漏洞扫描类型

在原有的通用PoC及暴力破解两种类型上，新增Web通用漏洞（如sql注入等漏洞）、应用程序漏洞（如weblogic等漏洞）两种类型。通用PoC包含web通用漏洞及应用程序漏洞。

4. 新增语言支持——法语

欢迎更多海外安全从业者加入。由@Poc Sir 表哥贡献翻译，此处掌声致谢。

0x003 其它优化

• 新增物联网协议： ddp、jt808/809、sl651。

• 新增蜜罐：

  • 新增cowrie蜜罐识别；

  • 增加两个蜜罐特征。由@Sp4cea 表哥提供，此处掌声致谢。

• 支持漏洞扫描自动排出蜜罐资产。由@mojie 表哥提出建议，此处掌声致谢。

• 支持批量删除历史任务。由@Sp4cea 表哥提出建议，此处掌声致谢。

• IP聚合页支持全局内容搜索，方便查找应用组件。由@7ry_f1y 表哥提出建议，此处掌声致谢。

0x004 解决/修复问题

针对表哥/表姐反馈的问题，此版本做了大量修复：

• 修复单IP测试PoC失败问题。由@影舞者 表哥反馈，此处掌声致谢。

• 解决代理连接失败的误报。由@叶 @wjqqwj0819 表哥反馈，此处掌声致谢。

• 解决域名提取hostinfo失败的问题。由@米勒 @Crocodile Pa 表哥反馈，此处掌声致谢。

• 解决IBM漏洞漏报问题。由@脚踏禹步的青云 表哥反馈，此处掌声致谢。

• 修复CVE-2020-2551的误报问题。

• 修复反弹shell不稳定问题。

• 修复开启网站截图后扫描超时导致扫描进程卡在70%、84%的问题。

• 修复DNS获取失败导致扫描停止没有提示的问题。

• 修复ip详情页面显示不了域名漏洞的问题。

• 修复爬虫对应漏洞统计数据没有的问题。

• 修改报告PDF上的文案错误。@Zero 表哥反馈，此处掌声致谢。

注：部分表哥/表姐反馈本地已安装Chrome浏览器，但开启网站截图及蜜罐识别功能，依旧提示未安装。当遇到此情况时，请提供您的安装路径给我们，以加入识别机制，不胜感激。

0x005 小结

自上次发布版本后，一方面我们继续打磨Goby在hvv中的实战性，另一方面继续研发插件新方向（新入口点、数据API等），希望实现更多场景的应用。如，扫描过程中实时统计数据库信息等，敬请期待！

如果你在使用中遇到问题/建议，或指纹/蜜罐需求，欢迎通过以下渠道反馈给我们：

• GitHub issue: https://github.com/gobysec/Goby/issues

• 微信群：公众号发暗号“加群”

版本下载：关注微信公众号gobysec，回复：加群