Schwachstellenanalyse - LAB W7

Beschreibung

Überblick

Dieses Labor konzentriert sich auf die Analyse von Netzwerkscan-Ergebnissen, die Interpretation von Nmap-Ausgaben zur Identifizierung verwundbarer Dienste, die Durchführung von OS-Fingerprinting anhand von TTL-Werten und die Analyse von Nessus-Scan-Ergebnissen einschließlich der kritischen Ghostcat-Schwachstelle.

Frage 1: Analysiere packet1.pcap und finde die Flag.

Anweisungen: Öffne packet1.pcap in Wireshark und analysiere die erfassten Pakete, um die Flag zu finden.

Schritte:

1. Öffne packet1.pcap in Wireshark
2. Folge den TCP-Streams oder untersuche die Paketdetails
3. Suche nach versteckten Strings oder Flag-Mustern

Frage 2: Analysiere packet2.pcap und finde die Flag.

Anweisungen: Öffne packet2.pcap in Wireshark und analysiere die erfassten Pakete, um die Flag zu finden.

Schritte:

1. Öffne packet2.pcap in Wireshark
2. Folge den TCP-Streams oder untersuche die Paketdetails
3. Suche nach versteckten Strings oder Flag-Mustern

Die Flag lautet SUCTF2023{EXMACHINAAVA}

Frage 3: Interpretiere eine Nmap-Ausgabe

Nmap-Scanergebnisse

PORT     STATE SERVICE       VERSION
21/tcp   open  ftp           vsftpd 2.3.4
22/tcp   open  ssh           OpenSSH 5.3p1
80/tcp   open  http          Apache 2.2.8
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1

1. Was kann ein Angreifer mit jedem Port tun?

2. Welche Schwachstellen sind basierend auf der Version wahrscheinlich vorhanden?

• vsftpd 2.3.4: Backdoor-Befehlsausführungsschwachstelle
• Windows 7 SP1: MS17-010 (EternalBlue) Schwachstelle
• Apache 2.2.8: HTTP-Request-Smuggling und DoS (CVE-2007-6750)

3. Welches ist das höchste Risiko und warum?

Port 21 (FTP) ist am gefährlichsten. Die Backdoor ist einfach auszunutzen, erfordert keine Anmeldedaten und gewährt sofortigen Shell-Zugriff.

4. Welcher Angriffspfad kann daraus aufgebaut werden?

• Schritt 1: Nutze die vsftpd-Backdoor auf Port 21 für den initialen Shell-Zugriff aus
• Schritt 2: Eskaliere die Privilegien zu SYSTEM mithilfe von ms16-032
• Schritt 3: Extrahiere Anmeldedaten oder greife den SMB-Port (MS17-010) für die Persistenz an

5. Welche Abhilfemaßnahmen sollten ergriffen werden?

• FTP entfernen/blockieren, falls nicht benötigt. vsftpd sofort patchen
• Windows 7 (EOL) aktualisieren oder ausmustern. Apache aktualisieren
• SMB-Patches (KB4012212) anwenden oder SMBv1 deaktivieren

Screenshot - Nmap-Analyse

Frage 4: Identifiziere das Betriebssystem (OS-Fingerprinting) - TTL

Beispiel 1

Antwort: Linux-Betriebssystem

Beispiel 2

Antwort: Windows 7

Beispiel 3

Antwort: Windows 10/11

TTL-Referenzleitfaden

Screenshot - OS-Fingerprinting

Frage 5: Analysiere die Nessus-Datei

Ghostcat-Schwachstellenanalyse

Lade Network_Scan.nessus in Nessus hoch und analysiere die Befunde. Konzentriere dich auf kritische oder hohe Befunde, die in der Analyse namens "Ghostcat" identifiziert wurden.

Befunde

1. Welche Portnummer ist betroffen?

Port 6667/tcp/icp

2. Welches Protokoll ist betroffen?

AJP (Apache JServ Protocol) / TCP

3. Wie hoch ist der CVSS-Score der gefundenen Schwachstelle?

10.0 (Kritisch) - CVSS v3.0 Basisscore

4. Kannst du einen Exploit im Zusammenhang mit dieser Schwachstelle finden?

Ja - Öffentliche Exploits verfügbar auf:

• Exploit-DB (EDB-49039)
• GitHub

5. Finde die CVE für diese Schwachstelle.

CVE-2020-1938 (auch verwandt: CVE-2020-1745)

Ghostcat-Schwachstellenübersicht

Zusammenfassung

Zusammenfassung der Abhilfemaßnahmen

Verwendete Tools

• Wireshark - Paketanalyse
• Nmap - Netzwerkscan und OS-Fingerprinting
• Nessus - Schwachstellenscan
• TTL Analysis - Betriebssystemidentifikation