heartbleed-vulnerability-exploitation

विवरण

Heartbleed कमज़ोरी (CVE-2014-0160) की व्यावहारिक जाँच।

सारांश

यह लैब OpenSSL के TLS heartbeat एक्सटेंशन के कार्यान्वयन में एक गंभीर त्रुटि, Heartbleed कमज़ोरी की व्यावहारिक जाँच का दस्तावेज़ीकरण करती है। लक्ष्य यह समझना था कि यह कमज़ोरी प्रोटोकॉल स्तर पर कैसे काम करती है और इसके प्रभाव को देखने के लिए इसे एक नियंत्रित वातावरण में शोषित करना, तथा SOC विश्लेषण (कमज़ोरी आकलन और प्रभाव विश्लेषण) से सीधे संबंधित कौशलों का अभ्यास करना।

उद्देश्य

• Heartbleed के मूल कारण (OpenSSL के heartbeat एक्सटेंशन में अनुचित बाउंड्स चेकिंग) को समझना।
• पुनरावलोकन और स्कैनिंग टूल्स का उपयोग करके किसी कमज़ोर OpenSSL सेवा की पहचान करना।
• डेटा एक्सपोज़र का अवलोकन करने के लिए एक नियंत्रित लैब वातावरण में कमज़ोरी का शोषण करना।
• SOC/विश्लेषक दृष्टिकोण से उपचार रणनीतियों का दस्तावेज़ीकरण करना।

वातावरण और टूल्स

• लक्ष्य: कमज़ोर वेब सर्वर (पोर्ट 443 पर nginx 1.15.7) जो एक पुराना OpenSSL संस्करण चला रहा है, पृथक लैब VM।
• हमलावर/विश्लेषक मशीन: लिनक्स-आधारित विश्लेषण वातावरण।
• उपयोग किए गए टूल्स:

 nmap - सेवा गणना और कमज़ोरी खोज।

 Metasploit - शोषण के लिए auxiliary/scanner/ssl/openssl_heartbleed मॉड्यूल।

कार्यप्रणाली

1. पुनरावलोकन

• सेवा/संस्करण पहचान के साथ पूर्ण TCP पोर्ट स्कैन चलाया (nmap -sS -vv -p- -A )
• खुले पोर्ट की पहचान की: 22 (SSH), 111 (rpcbind), 443 (SSL/HTTP)।
• पोर्ट 443 को SSL/TLS पर ngix 1.15.7 चलाते हुए फिंगरप्रिंट किया (पुराने OpenSSL के लिए उम्मीदवार)

2. कमज़ोरी की पहचान

• सभी खोजी गई सेवाओं को ज्ञात कमज़ोरी स्क्रिप्ट्स के विरुद्ध जाँचने के लिए (nmap -sV --script vuln ) चलाया।
• ssl-heartbleed NSE स्क्रिप्ट के माध्यम से लक्ष्य को Heartbleed के प्रति कमज़ोर (VULNERABLE) के रूप में पुष्टि की, जिसे उच्च जोखिम के रूप में चिह्नित किया गया।

3. शोषण

• metasploit फ्रेमवर्क लॉन्च किया (msfconsole) और (search heartbleed) से संबंधित मॉड्यूल खोजा।
• auxiliary/scanner/ssl/openssl_heartbleed चुना और मॉड्यूल विकल्पों की समीक्षा की।
• RHOSTS, RPORT 443, और verbose true कॉन्फ़िगर किया, फिर मॉड्यूल चलाया।
• मॉड्यूल ने एक विकृत TLS heartbeat अनुरोध भेजा और सर्वर की अत्यधिक बड़ी प्रतिक्रिया को कैप्चर किया, जिससे आसन्न प्रोसेस मेमोरी लीक हुई।

निष्कर्ष

• लक्ष्य (nginx 1.15.7, पोर्ट 443) को nmap की ssl-heartbleed स्क्रिप्ट और Metasploit के openssl_heartbleed स्कैनर दोनों के माध्यम से CVE-2014-0160 के प्रति कमज़ोर पुष्टि की गई।
• शोषण ने सर्वर से हीप मेमोरी को सफलतापूर्वक लीक किया, जिससे बाइनरी डेटा के साथ-साथ प्रिंटेबल स्ट्रिंग्स भी लौटाई गईं।
• लीक हुई मेमोरी में एक पूर्व HTTP अनुरोध बॉडी के अंश शामिल थे, जिनमें "user_name, user_email, और user_message" पैरामीटर थे, जो यह प्रदर्शित करते हैं कि Heartbleed उस एप्लिकेशन-लेयर डेटा को उजागर कर सकता है जो संयोगवश आसन्न मेमोरी में स्थित था।
• कमज़ोरी का शोषण करने के लिए किसी प्रमाणीकरण की आवश्यकता नहीं थी, जिससे यह नेटवर्क-निकट किसी भी हमलावर द्वारा शोषणीय बन जाती है।

उपचार

• OpenSSL को पैच किए गए संस्करण में अपग्रेड करें।
• पैचिंग से पहले संभावित रूप से उजागर हुए किसी भी SSL प्रमाणपत्र/निजी कुंजी को रद्द करें और पुनः जारी करें।
• उन खातों के लिए पासवर्ड रीसेट बाध्य करें जिनके सत्र कमजोर अवधि के दौरान सक्रिय थे।
• यदि तत्काल पैचिंग संभव न हो तो heartbeat एक्सटेंशन को पूरी तरह से अक्षम कर दें।

प्रदर्शित कौशल

• पूर्ण-दायरे का पोर्ट स्कैनिंग और सेवा गणना (nmap)।
• NSE स्क्रिप्ट (vuln, ssl-heartbleed) के साथ भेद्यता स्कैनिंग
• Metasploit फ्रेमवर्क में एक्सप्लॉइट मॉड्यूल कॉन्फ़िगरेशन और निष्पादन।
• मेमोरी-सुरक्षा भेद्यता का मूल कारण विश्लेषण।
• सुरक्षा रिपोर्टिंग और उपचार योजना।

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2014-0160
• https://heartbleed.com/
• https://www.openssl.org/news/secadv/20140407.txt