हमलावर प्रयोगशाला: CVE-2017-5638 और CVE-2021-41773

7-होस्ट Docker-आधारित हमला अनुकरण प्रयोगशाला जो बहु-चरणीय किल चेन, पार्श्व गति, और बहु-बिंदु IDS पहचान प्रदर्शित करने के लिए डिज़ाइन की गई है।

अवलोकन

यह प्रयोगशाला एक यथार्थवादी नेटवर्क वातावरण का अनुकरण करती है जहाँ एक हमलावर प्रारंभिक टोही से लेकर पैर जमाने और अंततः पिवोटिंग के माध्यम से एक उच्च-मूल्य वाले लक्ष्य तक पहुँचता है। इसमें दो स्वतंत्र Suricata IDS उदाहरण शामिल हैं जो महत्वपूर्ण होस्टों के लिए साइडकार के रूप में कार्य करते हैं, जो पूरे हमले के जीवनचक्र का एक "रक्षक दृष्टिकोण" प्रदान करते हैं।

किल चेन

1. टोही: हमलावर 172.28.0.0/24 सबनेट में नेटवर्क स्कैन (ICMP, TCP SYN, HTTP बैनर ग्रैबिंग) करता है।
2. पैर जमाना (CVE-2017-5638): हमलावर Content-Type हेडर में OGNL इंजेक्शन के माध्यम से एक कमजोर Apache Struts 2 सर्वर (web-struts) का शोषण करता है।
3. पिवोटिंग (पार्श्व गति): समझौता किए गए web-struts होस्ट का उपयोग करके, हमलावर एक आंतरिक लक्ष्य के विरुद्ध द्वितीयक शोषण शुरू करता है।
4. अंतिम लक्ष्य (CVE-2021-41773): हमलावर Apache HTTP Server 2.4.49 (web-vuln) में पथ ट्रैवर्सल और RCE कमजोरी का शोषण करके रूट एक्सेस प्राप्त करता है।

प्रयोगशाला आर्किटेक्चर

प्रयोगशाला में कुल 10 कंटेनर शामिल हैं:

• हमलावर (172.28.0.100): पूर्व-स्थापित शोषण स्क्रिप्ट के साथ काली-जैसा वातावरण।
• लक्ष्य होस्ट:
  • web-struts (172.28.0.11): Apache Struts 2.3.28 (S2-045 के लिए कमजोर)।
  • web-vuln (172.28.0.10): Apache httpd 2.4.49 (पथ ट्रैवर्सल/RCE के लिए कमजोर)।
  • db-mysql (172.28.0.12): सहायक डेटाबेस।
  • ssh-server (172.28.0.13): विरासत पैर जमाने का लक्ष्य।
  • ftp-server, smb-server, dns-server: यथार्थता के लिए बुनियादी ढाँचा सेवाएँ।
• IDS साइडकार:
  • ids-suricata-struts: web-struts नेटवर्क नेमस्पेस की निगरानी करता है।
  • ids-suricata-web: web-vuln नेटवर्क नेमस्पेस की निगरानी करता है।

आरंभ करना

पूर्वापेक्षाएँ

• Docker और Docker Compose v2।
• Bash-संगत शेल।

सेटअप

वातावरण बनाने और शुरू करने के लिए सेटअप स्क्रिप्ट चलाएँ:

./scripts/setup.sh

यह नेटवर्क को आरंभ करेगा, इमेज खींचेगा/बनाएगा, और सभी 10 कंटेनर शुरू करेगा।

उपयोग

प्रयोगशाला हमले के विभिन्न चरणों को ट्रिगर करने के लिए एक डिस्पैचर स्क्रिप्ट प्रदान करती है।

पूर्ण किल चेन चलाएँ

./scripts/attack.sh full

विशिष्ट चरण चलाएँ

• केवल टोही: ./scripts/attack.sh recon
• Struts पैर जमाना: ./scripts/attack.sh struts-foothold
• Struts से Web पिवोट: ./scripts/attack.sh struts-pivot
• प्रत्यक्ष शोषण (बिना पिवोट): ./scripts/attack.sh direct

कस्टम कमांड

आप अंतिम लक्ष्य पर निष्पादित करने के लिए एक कस्टम कमांड पास कर सकते हैं:

./scripts/attack.sh full "whoami; cat /etc/os-release"

अलर्ट की निगरानी

अलर्ट प्रत्येक IDS उदाहरण के लिए अलग-अलग eve.json फाइलों में लिखे जाते हैं:

• ./alerts/web-struts/eve.json
• ./alerts/web-vuln/eve.json

आप निम्न का उपयोग करके दोनों फीड्स को लाइव टेल कर सकते हैं:

./scripts/tail-alerts.sh

सफाई

सभी प्रयोगशाला घटकों को रोकने और हटाने के लिए:

./scripts/teardown.sh