مختبر المهاجم: CVE-2017-5638 & CVE-2021-41773

مختبر محاكاة هجمات قائم على Docker يحتوي على 7 مضيفات، مصمم لتوضيح سلسلة قتل متعددة المراحل، والحركة الجانبية، واكتشاف IDS متعدد النقاط.

نظرة عامة

يحاكي هذا المختبر بيئة شبكة واقعية يتقدم فيها المهاجم من الاستطلاع الأولي إلى نقطة ارتكاز، وأخيرًا إلى هدف عالي القيمة عبر التنقل (Pivoting). يتضمن مثيلين مستقلين لـ Suricata IDS يعملان كمرافقين (sidecars) للمضيفين الحرجين، مما يوفر "منظور المدافع" لدورة الهجوم بأكملها.

سلسلة القتل

1. الاستطلاع: ينفذ المهاجم مسحًا للشبكة (ICMP، TCP SYN، التقاط ترويسات HTTP) عبر الشبكة الفرعية 172.28.0.0/24.
2. نقطة ارتكاز (CVE-2017-5638): يستغل المهاجم خادم Apache Struts 2 القابل للاختراق (web-struts) عبر حقن OGNL في ترويسة Content-Type.
3. التنقل (الحركة الجانبية): باستخدام المضيف المخترق web-struts، يطلق المهاجم استغلالًا ثانويًا ضد هدف داخلي.
4. الهدف النهائي (CVE-2021-41773): يستغل المهاجم ثغرة اجتياز المسار وتنفيذ الأكواد عن بُعد (RCE) في Apache HTTP Server 2.4.49 (web-vuln) للحصول على صلاحيات الجذر.

بنية المختبر

يتكون المختبر من 10 حاويات في المجمل:

• المهاجم (172.28.0.100): بيئة شبيهة بـ Kali مع نصوص استغلال مُعدة مسبقًا.
• المضيفون المستهدفون:
  • web-struts (172.28.0.11): Apache Struts 2.3.28 (قابل للاستغلال عبر S2-045).
  • web-vuln (172.28.0.10): Apache httpd 2.4.49 (قابل للاستغلال عبر اجتياز المسار/RCE).
  • db-mysql (172.28.0.12): قاعدة بيانات داعمة.
  • ssh-server (172.28.0.13): هدف ارتكاز قديم.
  • ftp-server, smb-server, dns-server: خدمات بنية تحتية لزيادة الواقعية.
• مرافقو IDS:
  • ids-suricata-struts: يراقب مساحة شبكة web-struts.
  • ids-suricata-web: يراقب مساحة شبكة web-vuln.

البدء

المتطلبات الأساسية

• Docker و Docker Compose الإصدار 2.
• قشرة متوافقة مع Bash.

الإعداد

شغّل سكريبت الإعداد لبناء البيئة وتشغيلها:

./scripts/setup.sh

سيؤدي ذلك إلى تهيئة الشبكة، وسحب/بناء الصور، وتشغيل جميع الحاويات العشر.

الاستخدام

يوفر المختبر سكريبت موزّعًا (dispatcher) لتشغيل مراحل مختلفة من الهجوم.

تشغيل سلسلة القتل الكاملة

./scripts/attack.sh full

تشغيل مراحل محددة

• الاستطلاع فقط: ./scripts/attack.sh recon
• نقطة ارتكاز Struts: ./scripts/attack.sh struts-foothold
• التنقل من Struts إلى Web: ./scripts/attack.sh struts-pivot
• استغلال مباشر (بدون تنقل): ./scripts/attack.sh direct

أوامر مخصصة

يمكنك تمرير أمر مخصص ليتم تنفيذه على الهدف النهائي:

./scripts/attack.sh full "whoami; cat /etc/os-release"

مراقبة التنبيهات

تُكتب التنبيهات في ملفات eve.json منفصلة لكل مثيل IDS:

• ./alerts/web-struts/eve.json
• ./alerts/web-vuln/eve.json

يمكنك متابعة كلا التدفقين مباشرة باستخدام:

./scripts/tail-alerts.sh

التنظيف

لإيقاف وإزالة جميع مكونات المختبر:

./scripts/teardown.sh