Web-Penetrationstest — Drupal (CVE-2018-7600)

Typ: Praktikumsprojekt | Unternehmen: BB CyberSec | Zeitraum: Nov 2024 – Jan 2025

📋 Projektübersicht

Dieses Projekt dokumentiert einen vollständigen Penetrationstest, der an einer Drupal-Webanwendung im Rahmen meines Cybersecurity-Praktikums bei BB CyberSec durchgeführt wurde. Die Bewertung konzentrierte sich auf die Identifizierung und Ausnutzung der kritischen Sicherheitslücke CVE-2018-7600 (Drupalgeddon 2), einer Remote-Code-Ausführungs-Sicherheitslücke, die den Drupal-Kern betrifft.

🎯 Ziele

Durchführung eines strukturierten Sicherheitsaudits einer Drupal-basierten Webanwendung
Identifizierung von Schwachstellen mit branchenüblichen Werkzeugen
Ausnutzung von CVE-2018-7600, um Auswirkungen und Schweregrad zu demonstrieren
Dokumentation der Ergebnisse und Empfehlung konkreter Sicherheitsmaßnahmen

🛠️ Verwendete Werkzeuge

Tool	Zweck
Nmap	Netzwerkscanning & Dienstaufzählung
Burp Suite	Webanwendungsverkehrsanalyse & manuelles Testen
Metasploit	Ausnutzung von CVE-2018-7600
Droopescan	Drupal-Versionserkennung & Plugin-Aufzählung
Nikto	Webserver-Schwachstellenscanner

🔍 Methodik

Der Penetrationstest folgte der standardmäßigen PTES (Penetration Testing Execution Standard)-Methodik:

1. Aufklärung & Aufzählung

Ziel mit Nmap gescannt, um offene Ports und laufende Dienste zu identifizieren
Drupal-Version mit Droopescan erkannt
Webverzeichnisse und Endpunkte aufgezählt

2. Schwachstellenanalyse

CVE-2018-7600 (Drupalgeddon 2) identifiziert – eine kritische RCE-Sicherheitslücke (CVSS: 9.8)
Angriffsfläche mit Burp Suite analysiert
Nach zusätzlichen Schwachstellen mit Nikto gesucht

3. Ausnutzung

Metasploit-Modul exploit/unix/webapp/drupal_drupalgeddon2 verwendet, um CVE-2018-7600 auszunutzen
Erfolgreich Remote-Code-Ausführung auf dem Zielsystem erlangt
Potenzial zur Rechteausweitung demonstriert

4. Post-Exploitation & Berichterstattung

Alle Ergebnisse mit Schweregradbewertungen dokumentiert
Geschäftliche Auswirkungen jeder Schwachstelle bewertet
Konkrete Abhilfeempfehlungen abgeleitet

🚨 Schwachstellendetails

Feld	Details
CVE-ID	CVE-2018-7600 (Drupalgeddon 2)
CVSS-Score	9.8 (Kritisch)
Betroffene Versionen	Drupal < 7.58, < 8.3.9, < 8.4.6, < 8.5.1
Schwachstellentyp	Remote-Code-Ausführung (RCE)
Angriffsvektor	Netzwerk – keine Authentifizierung erforderlich
Auswirkung	Vollständige Systemkompromittierung

✅ Ergebnisse & Empfehlungen

#	Ergebnis	Schweregrad	Empfehlung
1	CVE-2018-7600 — Nicht authentifizierte RCE	🔴 Kritisch	Drupal sofort auf die neueste Version aktualisieren
2	Veralteter Drupal-Kern	🔴 Kritisch	Patch-Management-Prozess implementieren
3	Unnötige offene Ports	🟡 Mittel	Prinzip der minimalen Berechtigung auf der Firewall anwenden
4	Fehlende Sicherheitsheader	🟡 Mittel	CSP, HSTS, X-Frame-Options konfigurieren
5	Directory Listing aktiviert	🟠 Hoch	Directory Listing auf dem Webserver deaktivieren

🛡️ Nachgewiesene Fähigkeiten

Penetration Testing Ethical Hacking Web Application Security Vulnerability Analysis Exploit Development Security Reporting Nmap Metasploit Burp Suite CVE Research

⚠️ Haftungsausschluss

Dieses Projekt wurde in einer kontrollierten Laborumgebung im Rahmen eines autorisierten Praktikums bei BB CyberSec durchgeführt. Alle Tests wurden mit ausdrücklicher Genehmigung durchgeführt. Die hier dokumentierten Techniken dienen ausschließlich zu Bildungszwecken. Nicht autorisierte Penetrationstests sind illegal.

👤 Autor

Erman Bölükbasi — Cybersecurity-Ingenieur & Informatikstudent

web-penetration-drupal

Beliebteste