mdudek-ics/antiweb_testing-suiteउपकरणों का सूट जो CVE-2017-9097 (+RCE) का लाभ उठाता है
ICS/OT से जुड़े वेब अनुप्रयोगों में एक कमजोरी पाई गई है जो Anti-Web सर्वरों (संस्करण 3.8.7 तक) पर चलते हैं। पहचानी गई कमजोरियाँ औद्योगिक प्रक्रिया स्वचालन और दूरसंचार उद्योग के कई प्रतिष्ठित निर्माताओं को प्रभावित करती हैं। इन उपकरणों में पहले से ही दो समान और पुराने CVE (CVE-2010-4730 और CVE-2010-4733) हैं, जिसके बाद रिपोर्ट करने पर तीसरा CVE (2017-9097) प्राप्त हुआ और तुरंत विक्रेता ने एक पैच जारी किया। इसके तुरंत बाद अन्य पैच भी आए।
इन उपकरणों के जोखिम की अनुमानित सीमा का अंदाजा लगाने के लिए हम Shodan पर अनुक्रमित होस्टों का उपयोग करते हैं, जो लगभग 800 से अधिक संभावित रूप से कमजोर उपकरण हैं।
हमारे टूल द्वारा शोषण करने के प्रयास किए जा रहे LFI के संबंध में, आज प्रभावित विभिन्न विक्रेताओं के पास अपने आधिकारिक पैच हैं जो इस कमजोरी को दूर करते हैं। इसलिए किसी तरह से कमजोरी का शोषण करने का प्रयास इन प्रौद्योगिकियों के संचालकों और जिम्मेदार लोगों की प्रतिबद्धता की पुष्टि करता है, जो एक मूलभूत प्रश्न का उत्तर देता है: "क्या संबंधित पैच स्थापित किए गए हैं?"
पहला टूल LFI के अस्तित्व का शोषण और पुष्टि करने का प्रयास करता है। दूसरा टूल LFI का लाभ उठाने की कोशिश करेगा, उस फ़ाइल को प्राप्त करके जहां वेब पैनल तक पहुंच देने वाली क्रेडेंशियल्स संग्रहीत हैं। जहां उपयोगकर्ता नाम स्पष्ट पाठ में हैं और पासवर्ड md5 हैश में हैं, जिन्हें टूल तोड़ने का प्रयास करेगा। और अंत में एक अंतिम टूल जो RCE का शोषण करेगा।
usr@pwn:~$ git clone https://github.com/ezelf/AntiWeb_testing-Suite
usr@pwn:~$ cd AntiWeb_testing-Suite
usr@pwn:~$ ls -l
total 16
drwxr-xr-x 4 root root 4096 sep 14 21:05 LFI
drwxr-xr-x 4 root root 4096 sep 14 21:05 RCE
-rwxrwxr-x 1 root root 1852 sep 24 08:42 README.md
drwxr-xr-x 3 root root 4096 sep 24 08:00 seekAndDestroy
यह केवल LFI के अस्तित्व की पुष्टि करता है, पूर्वनिर्धारित पथों की जाँच करता है और/या उपयोगकर्ता को अपना स्वयं का पथ प्रदान करने की संभावना देता है।
वैकल्पिक रूप से, कोई एक वैध सत्र कुकी (cookie) भी पास कर सकता है।
usr@pwn:~$ python anti-web-v1.py --help
usage: anti-web.py [-h] [-v] --host HOST [--port PORT] [--file LFI]
[+] CVE: CVE-2017-9097
optional arguments:
-h, --help show this help message and exit
-v, --version show program's version number and exit
--host HOST host
--port PORT Set port (default = 80)
--file LFI Test LFI
-ck COOKIE Set Cookie
[+] Demo: anti-web.py --host 192.168.1.100 --port 80
यह उपकरण LFI का अच्छा उपयोग करने का प्रयास करता है। इसके लिए यह फ़ाइल "/home/config/users.cfg" को लक्षित करता है, जहां वे क्रेडेंशियल्स पाई जाती हैं जो वेब एप्लिकेशन तक पहुंच प्रदान करती हैं।
"Seek And Destroy", इस फ़ाइल को पार्स करता है, उस हैश की पहचान करता है जो पासवर्ड और उपयोगकर्ता के संयोजन से Md5 हैश फ़ंक्शन में पास होने पर उत्पन्न होता है। पूर्व-गणना की गई सूचियों के साथ, यह पता चलेगा कि इन हैशों के पीछे क्या छिपा है।
एकल होस्ट या उनकी सूची पर व्यक्तिगत रूप से हमला किया जा सकता है
usr@pwn:~$ python seekAndDestroy.py --help
usage: seekAndDestroy.py [-h] [-v] [--host HOST] [--list HOST_LIST]
[--port PORT]
[+] Obtain and break the credentials of your industrial control system .
optional arguments:
-h, --help show this help message and exit
-v, --version show program's version number and exit
--host HOST host
--list HOST_LIST hosts
--port PORT set port (default = 80)
[+] Usage: seelAndDestroy.py --list host_list.txt --port 8080
और हम उस पर पहुंच गए हैं जो शायद सबसे दिलचस्प है: कमजोर सिस्टम का समर्थन करने वाले हार्डवेयर के ऑपरेटिंग सिस्टम कमांड को निष्पादित करने की संभावना। *** "Http से Shell तक" ***
.
#### जारी रहेगा... (कल सोमवार है। xd)
usr@pwn:~$ python rce.py --help
usage: RCE.py [-h] [-v] --host HOST [--port PORT] -ck COOKIE --cmd COMMAND
[+] COMMANDS over your industrial control system .
optional arguments:
-h, --help show this help message and exit
-v, --version show program's version number and exit
--host HOST Host
--port PORT Port
-ck COOKIE Cookie
--cmd COMMAND Command
[+] Demo: python rce.py --host <host> -ck <sessionCookie> --cmd "ls -la /"
....प्रतीक्षा करें
* https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9097
* https://ics-cert.us-cert.gov/advisories/ICSA-17-222-05
* https://www.seebug.org/vuldb/ssvid-96555 (RCE)
* https://www.seebug.org/vuldb/ssvid-96556 (LFI)
* https://vuldb.com/es/?id.102570
* https://github.com/hoytech/antiweb/
* https://nvd.nist.gov/vuln/detail/CVE-2017-9097
* https://www.9165619.com/vulnerability/cve-2017-9097-89702
* http://old.cnnvd.org.cn/vulnerability/show/cv_id/2017051027
* http://jvndb.jvn.jp/ja/contents/2017/JVNDB-2017-005240.html
* http://plugins.openvas.org/nasl.php?oid=106886 (*down)
* http://webcache.googleusercontent.com/search?q=cache:Z1VaYjaZLB4J:plugins.openvas.org/nasl.php%3Foid%3D106886+&cd=1&hl=es-419&ct=clnk&gl=cl
''' [+] CVE-2009-4462 ( Intellicom NetBiterConfig.exe ) [+] CVE-2009-4463 ( Intellicom NetBiterConfig.exe ) (http://blog.48bits.com/exposing-hms-hicp-protocol-0day-light/)
[+] CVE-2010-4730 ( Directory traversal vulnerability in cgi-bin/read.cgi in WebSCADA )
[+] CVE-2010-4731 ( Absolute path traversal vulnerability in cgi-bin/read.cgi in WebSCADA )
[+] CVE-2010-4732 ( RCE, using a config.html 2.conf action to replace the logo page's GIF image file )
[+] CVE-2010-4733 ( default username and password to obtain superadmin access via the web interface )
Intellicom NetBiter products based on the NB100 and NB200 platforms, including:
WebSCADA (WS100)
WebSCADA (WS200)
Easy Connect (EC150)
Modbus RTU – TCP Gateway (MB100)
Serial Ethernet Server (SS100).
* https://ics-cert.us-cert.gov/advisories/ICSA-10-316-01A
'''
प्रश्नगत उपकरण (AntiWeb_testing-Suite) में उपलब्ध हैं: https://github.com/ezelf/AntiWeb_testing-Suite/
वीडियो जो तीनों उपकरणों को उनके पहले बीटा संस्करण में जोड़ता है: https://www.youtube.com/watch?v=HdkZA1DO08Y