Analyse de vulnérabilité - LAB W7

Description

Aperçu

Ce laboratoire se concentre sur l'analyse des résultats de scan réseau, l'interprétation des sorties Nmap pour identifier les services vulnérables, la réalisation d'empreintes OS à l'aide des valeurs TTL, et l'analyse des résultats de scan Nessus, y compris la vulnérabilité critique Ghostcat.

Question 1 : Analyser packet1.pcap et trouver le flag.

Instructions : Ouvrez packet1.pcap dans Wireshark et analysez les paquets capturés pour localiser le flag.

Étapes :

1. Ouvrez packet1.pcap dans Wireshark
2. Suivez les flux TCP ou inspectez les détails des paquets
3. Recherchez des chaînes cachées ou des motifs de flag

Question 2 : Analyser packet2.pcap et trouver le flag.

Instructions : Ouvrez packet2.pcap dans Wireshark et analysez les paquets capturés pour localiser le flag.

Étapes :

1. Ouvrez packet2.pcap dans Wireshark
2. Suivez les flux TCP ou inspectez les détails des paquets
3. Recherchez des chaînes cachées ou des motifs de flag

le flag est SUCTF2023{EXMACHINAAVA}

Question 3 : Interpréter une sortie Nmap

Nmap Scan Results

PORT     STATE SERVICE       VERSION
21/tcp   open  ftp           vsftpd 2.3.4
22/tcp   open  ssh           OpenSSH 5.3p1
80/tcp   open  http          Apache 2.2.8
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1

1. Que peut faire un attaquant avec chaque port ?

2. Quelles vulnérabilités sont probablement présentes en fonction de la version ?

• vsftpd 2.3.4 : Vulnérabilité d'exécution de commande par backdoor
• Windows 7 SP1 : Vulnérabilité MS17-010 (EternalBlue)
• Apache 2.2.8 : Contrebande de requêtes HTTP et DoS (CVE-2007-6750)

3. Lequel présente le risque le plus élevé et pourquoi ?

Le port 21 (FTP) est le plus dangereux. La backdoor est simple à exploiter, ne nécessite aucune identification et fournit un accès shell instantané.

4. Quelle chaîne d'attaque peut être construite à partir de cela ?

• Étape 1 : Exploiter la backdoor vsftpd sur le port 21 pour un accès shell initial
• Étape 2 : Élévation de privilèges vers SYSTEM en utilisant ms16-032
• Étape 3 : Extraire les identifiants ou attaquer le port SMB (MS17-010) pour la persistance

5. Quelles devraient être les mesures correctives ?

• Supprimer/bloquer FTP si non nécessaire. Corriger vsftpd immédiatement
• Mettre à jour ou retirer Windows 7 (fin de vie). Mettre à jour Apache
• Appliquer les correctifs SMB (KB4012212) ou désactiver SMBv1

Capture d'écran - Analyse Nmap

Question 4 : Identifier l'OS (Empreinte OS) - TTL

Sample 1

Réponse : Linux OS

Sample 2

Réponse : Windows 7

Sample 3

Réponse : Windows 10/11

Guide de référence TTL

Capture d'écran - Empreinte OS

Question 5 : Analyser le fichier Nessus

Analyse de la vulnérabilité Ghostcat

Téléchargez Network_Scan.nessus dans Nessus et analysez les résultats. Concentrez-vous sur les résultats critiques ou élevés identifiés dans l'analyse nommée "Ghostcat".

Résultats

1. Quel est le numéro de port affecté ?

Port 6667/tcp/icp

2. Quel est le protocole affecté ?

AJP (Apache JServ Protocol) / TCP

3. Quel est le score CVSS de la vulnérabilité trouvée ?

10.0 (Critique) - Score de base CVSS v3.0

4. Pouvez-vous trouver un exploit lié à cette vulnérabilité ?

Oui - Des exploits publics disponibles sur :

• Exploit-DB (EDB-49039)
• GitHub

5. Trouvez le CVE pour cette vulnérabilité.

CVE-2020-1938 (également lié : CVE-2020-1745)

Aperçu de la vulnérabilité Ghostcat

Résumé

Résumé des mesures correctives

Outils utilisés

• Wireshark - Analyse de paquets
• Nmap - Scan réseau et empreinte OS
• Nessus - Scan de vulnérabilités
• Analyse TTL - Identification OS