Analisi delle Vulnerabilità - LAB W7

Descrizione

Panoramica

Questo laboratorio si concentra sull'analisi dei risultati delle scansioni di rete, sull'interpretazione degli output di Nmap per identificare servizi vulnerabili, sull'esecuzione dell'OS fingerprinting tramite valori TTL e sull'analisi dei risultati delle scansioni Nessus, inclusa la critica vulnerabilità Ghostcat.

Domanda 1: Analizza packet1.pcap e trova la flag.

Istruzioni: Apri packet1.pcap in Wireshark e analizza i pacchetti catturati per individuare la flag.

Passaggi:

1. Apri packet1.pcap in Wireshark
2. Segui i flussi TCP o ispeziona i dettagli dei pacchetti
3. Cerca stringhe nascoste o pattern di flag

Domanda 2: Analizza packet2.pcap e trova la flag.

Istruzioni: Apri packet2.pcap in Wireshark e analizza i pacchetti catturati per individuare la flag.

Passaggi:

1. Apri packet2.pcap in Wireshark
2. Segui i flussi TCP o ispeziona i dettagli dei pacchetti
3. Cerca stringhe nascoste o pattern di flag

la flag è SUCTF2023{EXMACHINAAVA}

Domanda 3: Interpreta un Output di Nmap

Risultati della Scansione Nmap

PORT     STATE SERVICE       VERSION
21/tcp   open  ftp           vsftpd 2.3.4
22/tcp   open  ssh           OpenSSH 5.3p1
80/tcp   open  http          Apache 2.2.8
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1

1. Cosa può fare un attaccante con ogni porta?

2. Quali vulnerabilità sono probabilmente presenti in base alla versione?

• vsftpd 2.3.4: Vulnerabilità di esecuzione comandi backdoor
• Windows 7 SP1: Vulnerabilità MS17-010 (EternalBlue)
• Apache 2.2.8: HTTP request smuggling e DoS (CVE-2007-6750)

3. Qual è il rischio più alto e perché?

La porta 21 (FTP) è la più pericolosa. La backdoor è semplice da sfruttare, non richiede credenziali e fornisce accesso immediato alla shell.

4. Quale percorso di attacco può essere costruito da questo?

• Passo 1: Sfrutta la backdoor di vsftpd sulla porta 21 per l'accesso iniziale alla shell
• Passo 2: Eleva i privilegi a SYSTEM utilizzando ms16-032
• Passo 3: Estrai le credenziali o attacca la porta SMB (MS17-010) per la persistenza

5. Quale dovrebbe essere la remediation?

• Rimuovi/blocca FTP se non necessario. Applica subito la patch a vsftpd
• Aggiorna o ritira Windows 7 (EOL). Aggiorna Apache
• Applica le patch SMB (KB4012212) o disabilita SMBv1

Screenshot - Analisi Nmap

Domanda 4: Identifica il Sistema Operativo (OS Fingerprinting) - TTL

Esempio 1

Risposta: Linux OS

Esempio 2

Risposta: Windows 7

Esempio 3

Risposta: Windows 10/11

Guida di Riferimento TTL

Screenshot - OS Fingerprinting

Domanda 5: Analizza il file Nessus

Analisi della Vulnerabilità Ghostcat

Carica Network_Scan.nessus su Nessus e analizza i risultati. Concentrati sui risultati critici o elevati identificati nell'analisi denominata "Ghostcat".

Risultati

1. Qual è il numero di porta interessato?

Porta 6667/tcp/icp

2. Qual è il protocollo interessato?

AJP (Apache JServ Protocol) / TCP

3. Qual è il punteggio CVSS della vulnerabilità trovata?

10.0 (Critico) - Punteggio base CVSS v3.0

4. Riesci a trovare qualche exploit correlato a questa vulnerabilità?

Sì - Exploit pubblici disponibili su:

• Exploit-DB (EDB-49039)
• GitHub

5. Trova il CVE per questa vulnerabilità.

CVE-2020-1938 (anche correlato: CVE-2020-1745)

Panoramica della Vulnerabilità Ghostcat

Riepilogo

Riepilogo della Remediation

Strumenti Utilizzati

• Wireshark - Analisi dei pacchetti
• Nmap - Scansione di rete e OS fingerprinting
• Nessus - Scansione delle vulnerabilità
• TTL Analysis - Identificazione del sistema operativo