CVE-2024-4577-LetsDefend-walkthrough

Incident Response Walkthrough: Mitigating a Zero-Day Attack (CVE-2024-4577)

[LetsDefend Write-up] PHP-CGI (CVE-2024–4577)

Szenario: Unser Intrusion Detection System (IDS) und Intrusion Prevention System (IPS) haben um 12:05 Uhr UTC einen potenziellen Angriff auf eine kritische Systemkomponente erkannt. Dieser Write-up beschreibt den Untersuchungsprozess zur Bestätigung des Exploit-Versuchs und zum Verständnis der Aktionen des Angreifers.

Untersuchung:

1. Verständnis der Schwachstelle (CVE-2024-4577):

   • Die bereitgestellten Ressourcen lieferten wertvolle Einblicke in die Schwachstelle und mögliche Exploit-Methoden.

2. Identifizierung der verwundbaren PHP-Version:

   • Es wurden zwei Methoden angewendet:
     • Analyse der news.txt auf den PHP-Update-Verlauf.
     • Direktes Ausführen von php.exe -v, um die Version zu bestimmen.
   • Verwundbare Version: 8.2.19

3. Überprüfung der PHP-CGI-Konfiguration:

   • Analyse der httpd.conf, um die Direktive zu bestätigen, die die Ausnutzbarkeit über php-cgi.exe ermöglicht.

4. Identifizierung der IP-Adresse des Angreifers:

   • Untersuchung der access.log im Apache-Logs-Verzeichnis.
   • IP-Adresse des Angreifers: 192.168.110.1

5. Zielseite:

   • Obwohl die Anwendung hauptsächlich upload.php verwendet, könnte der Angreifer eine index.html zu Testzwecken genutzt haben.
   • Zielseite: (Wahrscheinlich upload.php)

6. Apache-Version:

   • Prüfung der error.log, um die Apache-Version zu ermitteln.
   • Apache-Version: 2.4.59

7. Analyse ausgeführter Prozesse:

   • Die erste Untersuchung mit PECmd und Timeline Explorer ergab keine verdächtigen Aktivitäten.
   • Die Korrelation von Access- und Error-Logs identifizierte erfolgreiche Angriffsversuche.
   • Timeline Explorer identifizierte die folgenden Prozesse, die nach erfolgreicher Ausnutzung ausgeführt wurden:
     • whoami.exe
     • calc.exe

Exploit-Identifizierung: Der Angreifer nutzte die Zero-Day-Schwachstelle (CVE-2024-4577) aus.

Lernergebnisse:

• Diese Challenge bot praktische Erfahrung mit:
  • Untersuchung von Zero-Day-Schwachstellen (CVE-2024-4577)
  • Identifizierung verwundbarer Softwareversionen
  • Analyse von Exploit-Methoden
  • Nutzung von Prefetch zur potenziellen Befehlserkennung

Hinweis: Dieser Write-up enthält keine spezifischen Details wie verwundbare Version, IP-Adresse des Angreifers und Zielseite, um keine Vorlage für Angreifer zu bieten.

Badge Acquired Cve 2024 4577 Php Cgi Cybersecurity Lets Defend Letsdefendio

Writeup By: ph1n3y