CVE-2024-4577-LetsDefend-walkthrough

Incident Response Walkthrough: Mitigating a Zero-Day Attack (CVE-2024-4577)

[تقرير LetsDefend] PHP-CGI (CVE-2024–4577)

السيناريو: رصد نظام كشف التسلل (IDS) ونظام منع التسلل (IPS) هجومًا محتملًا يستهدف مكوّنًا حرجًا في النظام في الساعة 12:05 مساءً بتوقيت UTC. يوضّح هذا التقرير عملية التحقيق لتأكيد محاولة الاستغلال وفهم إجراءات المهاجم.

التحقيق:

1. فهم الثغرة الأمنية (CVE-2024-4577):

   • وفّرت الموارد رؤى قيّمة حول الثغرة وطرق الاستغلال المحتملة.

2. تحديد إصدار PHP المعرّض للثغرة:

   • تم استخدام طريقتين:
     • تحليل news.txt لسجل تحديثات PHP.
     • تشغيل php.exe -v مباشرةً لتحديد الإصدار.
   • الإصدار المعرّض للثغرة: 8.2.19

3. التحقق من إعدادات PHP-CGI:

   • تم تحليل httpd.conf للتأكد من التوجيه الذي يتيح قابلية الاستغلال عبر php-cgi.exe.

4. تحديد عنوان IP الخاص بالمهاجم:

   • تم فحص access.log داخل دليل سجلات Apache.
   • عنوان IP المهاجم: 192.168.110.1

5. الصفحة المستهدفة:

   • على الرغم من أن التطبيق يستخدم بشكل أساسي upload.php، ربما استخدم المهاجم ملف index.html لأغراض الاختبار.
   • الصفحة المستهدفة: ( يُرجّح أنها upload.php)

6. إصدار Apache:

   • تم فحص error.log لتحديد إصدار Apache.
   • إصدار Apache: 2.4.59

7. تحليل العمليات المنفَّذة:

   • لم يكشف التحقيق الأولي باستخدام PECmd وTimeline Explorer عن أي نشاط مشبوه.
   • أدت مطابقة سجلات الوصول والأخطاء إلى تحديد محاولات هجوم ناجحة.
   • حدد Timeline Explorer العمليات التالية التي تم تنفيذها بعد الاستغلال الناجح:
     • whoami.exe
     • calc.exe

تحديد الاستغلال: استغل المهاجم ثغرة اليوم الصفري (CVE-2024-4577).

نتائج التعلّم:

• وفّر هذا التحدي خبرة عملية في:
  • التحقيق في ثغرات اليوم الصفري (CVE-2024-4577)
  • تحديد إصدارات البرامج المعرّضة للثغرة
  • تحليل طرق الاستغلال
  • استخدام Prefetch للكشف المحتمل عن الأوامر

ملاحظة: يستبعد هذا التقرير تفاصيل محددة مثل الإصدار المعرّض للثغرة وعنوان IP الخاص بالمهاجم والصفحة المستهدفة لتجنب توفير مخطط جاهز للمهاجمين.

تم الحصول على الشارة Cve 2024 4577 Php Cgi Cybersecurity Lets Defend Letsdefendio

إعداد: ph1n3y