CVE-2024-4577-LetsDefend-walkthrough

Incident Response Walkthrough: Mitigating a Zero-Day Attack (CVE-2024-4577)

[LetsDefend लेख] PHP-CGI (CVE-2024–4577)

परिदृश्य: हमारे इंट्रूज़न डिटेक्शन सिस्टम (IDS) और इंट्रूज़न प्रिवेंशन सिस्टम (IPS) ने 12:05 PM UTC पर एक महत्वपूर्ण सिस्टम घटक को लक्षित करने वाले संभावित हमले की पहचान की। यह लेख शोषण प्रयास की पुष्टि करने और हमलावर के कार्यों को समझने के लिए जांच प्रक्रिया का विवरण देता है।

जांच:

1. भेद्यता को समझना (CVE-2024-4577):

   • संसाधनों ने भेद्यता और संभावित शोषण विधियों में मूल्यवान अंतर्दृष्टि प्रदान की।

2. भेद्य PHP संस्करण की पहचान करना:

   • दो विधियाँ अपनाई गईं:
     • PHP अद्यतन इतिहास के लिए news.txt का विश्लेषण करना।
     • संस्करण निर्धारित करने के लिए सीधे php.exe -v चलाना।
   • भेद्य संस्करण: 8.2.19

3. PHP-CGI कॉन्फ़िगरेशन सत्यापित करना:

   • php-cgi.exe के माध्यम से शोषण को सक्षम करने वाले निर्देश की पुष्टि करने के लिए httpd.conf का विश्लेषण किया।

4. हमलावर के IP की पहचान करना:

   • Apache लॉग निर्देशिका के भीतर access.log की जांच की।
   • हमलावर IP: 192.168.110.1

5. लक्षित पृष्ठ:

   • जबकि एप्लिकेशन मुख्य रूप से upload.php का उपयोग करता है, हमलावर ने परीक्षण उद्देश्यों के लिए index.html का उपयोग किया हो सकता है।
   • लक्षित पृष्ठ: (संभवतः upload.php)

6. Apache संस्करण:

   • Apache संस्करण निर्धारित करने के लिए error.log का निरीक्षण किया।
   • Apache संस्करण: 2.4.59

7. निष्पादित प्रक्रियाओं का विश्लेषण:

   • PECmd और Timeline Explorer का उपयोग करके प्रारंभिक जांच में कोई संदिग्ध गतिविधि सामने नहीं आई।
   • एक्सेस और त्रुटि लॉग को सहसंबंधित करने पर सफल हमले के प्रयासों की पहचान हुई।
   • Timeline Explorer ने सफल शोषण के बाद निष्पादित निम्नलिखित प्रक्रियाओं की पहचान की:
     • whoami.exe
     • calc.exe

शोषण पहचान: हमलावर ने ज़ीरो-डे भेद्यता (CVE-2024-4577) का शोषण किया।

सीखने के परिणाम:

• इस चुनौती ने निम्नलिखित के साथ व्यावहारिक अनुभव प्रदान किया:
  • ज़ीरो-डे भेद्यताओं (CVE-2024-4577) की जांच करना
  • भेद्य सॉफ़्टवेयर संस्करणों की पहचान करना
  • शोषण विधियों का विश्लेषण करना
  • संभावित कमांड का पता लगाने के लिए Prefetch का उपयोग करना

नोट: यह लेख हमलावरों के लिए ब्लूप्रिंट उपलब्ध कराने से बचने के लिए भेद्य संस्करण, हमलावर IP और लक्षित पृष्ठ जैसे विशिष्ट विवरणों को शामिल नहीं करता है।

Badge Acquired Cve 2024 4577 Php Cgi Cybersecurity Lets Defend Letsdefendio

लेखक: ph1n3y