CVE-2024-4577-LetsDefend-walkthrough

Compte-rendu d'intervention : Atténuation d'une attaque Zero-Day (CVE-2024-4577)

[Analyse LetsDefend] PHP-CGI (CVE-2024–4577)

Scénario : Notre système de détection d'intrusion (IDS) et notre système de prévention d'intrusion (IPS) ont identifié une attaque potentielle ciblant un composant critique du système à 12h05 UTC. Ce compte-rendu détaille le processus d'investigation visant à confirmer la tentative d'exploitation et à comprendre les actions de l'attaquant.

Investigation :

1. Compréhension de la vulnérabilité (CVE-2024-4577) :

   • Les ressources fournies ont apporté des informations précieuses sur la vulnérabilité et les méthodes d'exploitation potentielles.

2. Identification de la version vulnérable de PHP :

   • Deux méthodes ont été employées :
     • Analyse de news.txt pour l'historique des mises à jour PHP.
     • Exécution directe de php.exe -v pour déterminer la version.
   • Version vulnérable : 8.2.19

3. Vérification de la configuration PHP-CGI :

   • Analyse de httpd.conf pour confirmer la directive permettant l'exploitabilité via php-cgi.exe.

4. Identification de l'IP de l'attaquant :

   • Examen de access.log dans le répertoire des logs Apache.
   • IP de l'attaquant : 192.168.110.1

5. Page ciblée :

   • Bien que l'application utilise principalement upload.php, l'attaquant a pu utiliser un index.html à des fins de test.
   • Page ciblée : (Probablement upload.php)

6. Version d'Apache :

   • Inspection de error.log pour déterminer la version d'Apache.
   • Version d'Apache : 2.4.59

7. Analyse des processus exécutés :

   • L'investigation initiale à l'aide de PECmd et Timeline Explorer n'a révélé aucune activité suspecte.
   • La corrélation des logs d'accès et d'erreurs a permis d'identifier les tentatives d'attaque réussies.
   • Timeline Explorer a identifié les processus suivants exécutés après l'exploitation réussie :
     • whoami.exe
     • calc.exe

Identification de l'exploit : L'attaquant a exploité la vulnérabilité zero-day (CVE-2024-4577).

Résultats d'apprentissage :

• Ce défi a offert une expérience pratique avec :
  • L'investigation de vulnérabilités zero-day (CVE-2024-4577)
  • L'identification de versions logicielles vulnérables
  • L'analyse des méthodes d'exploitation
  • L'utilisation de Prefetch pour la détection potentielle de commandes

Remarque : Ce compte-rendu exclut les détails spécifiques comme la version vulnérable, l'IP de l'attaquant et la page ciblée afin d'éviter de fournir un modèle aux attaquants.

Badge obtenu Cve 2024 4577 Php Cgi Cybersécurité Lets Defend Letsdefendio

Analyse par : ph1n3y