Test di Penetrazione Web — Drupal (CVE-2018-7600)

Tipo: Progetto di Tirocinio | Azienda: BB CyberSec | Periodo: Nov 2024 – Gen 2025

📋 Panoramica del Progetto

Questo progetto documenta un test di penetrazione completo condotto su un'applicazione web Drupal come parte del mio tirocinio in cybersecurity presso BB CyberSec. La valutazione si è concentrata sull'identificazione e lo sfruttamento della vulnerabilità critica CVE-2018-7600 (Drupalgeddon 2), una vulnerabilità di esecuzione remota di codice che colpisce il core di Drupal.

🎯 Obiettivi

Eseguire un audit di sicurezza strutturato di un'applicazione web basata su Drupal
Identificare le vulnerabilità utilizzando strumenti standard del settore
Sfruttare CVE-2018-7600 per dimostrare impatto e gravità
Documentare i risultati e raccomandare misure di sicurezza concrete

🛠️ Strumenti Utilizzati

Strumento	Scopo
Nmap	Scansione di rete ed enumerazione dei servizi
Burp Suite	Analisi del traffico dell'applicazione web e test manuali
Metasploit	Sfruttamento di CVE-2018-7600
Droopescan	Rilevamento versione Drupal ed enumerazione dei plugin
Nikto	Scanner di vulnerabilità del server web

🔍 Metodologia

Il test di penetrazione ha seguito la metodologia standard PTES (Penetration Testing Execution Standard):

1. Ricognizione ed Enumerazione

Scansionato il target con Nmap per identificare porte aperte e servizi in esecuzione
Rilevata la versione di Drupal utilizzando Droopescan
Enumerate le directory web e gli endpoint

2. Analisi delle Vulnerabilità

Identificata CVE-2018-7600 (Drupalgeddon 2) — una vulnerabilità RCE critica (CVSS: 9.8)
Analizzata la superficie di attacco utilizzando Burp Suite
Scansionate ulteriori debolezze con Nikto

3. Sfruttamento

Utilizzato il modulo Metasploit exploit/unix/webapp/drupal_drupalgeddon2 per sfruttare CVE-2018-7600
Ottenuto con successo l'esecuzione remota di codice sul sistema target
Dimostrato il potenziale di escalation dei privilegi

4. Post-Sfruttamento e Reporting

Documentati tutti i risultati con valutazioni di gravità
Valutato l'impatto aziendale di ogni vulnerabilità
Derivate raccomandazioni concrete di remediation

🚨 Dettagli della Vulnerabilità

Campo	Dettagli
ID CVE	CVE-2018-7600 (Drupalgeddon 2)
Punteggio CVSS	9.8 (Critico)
Versioni Affette	Drupal < 7.58, < 8.3.9, < 8.4.6, < 8.5.1
Tipo di Vulnerabilità	Esecuzione Remota di Codice (RCE)
Vettore di Attacco	Rete — nessuna autenticazione richiesta
Impatto	Compromissione totale del sistema

✅ Risultati e Raccomandazioni

#	Risultato	Gravità	Raccomandazione
1	CVE-2018-7600 — RCE non autenticata	🔴 Critico	Aggiornare Drupal all'ultima versione immediatamente
2	Core Drupal obsoleto	🔴 Critico	Implementare un processo di gestione delle patch
3	Porte aperte non necessarie	🟡 Medio	Applicare il principio del minimo privilegio sul firewall
4	Intestazioni di sicurezza mancanti	🟡 Medio	Configurare CSP, HSTS, X-Frame-Options
5	Elenco directory abilitato	🟠 Alto	Disabilitare l'elenco directory sul server web

🛡️ Competenze Dimostrate

Test di Penetrazione Hacking Etico Sicurezza delle Applicazioni Web Analisi delle Vulnerabilità Sviluppo di Exploit Reporting di Sicurezza Nmap Metasploit Burp Suite Ricerca CVE

⚠️ Dichiarazione di non responsabilità

Questo progetto è stato condotto in un ambiente di laboratorio controllato come parte di un tirocinio autorizzato presso BB CyberSec. Tutti i test sono stati eseguiti con esplicita autorizzazione. Le tecniche documentate qui sono solo a scopo educativo. Il test di penetrazione non autorizzato è illegale.

👤 Autore

Erman Bölükbasi — Ingegnere della Sicurezza Informatica & Studente di Informatica

web-penetration-drupal

Più Popolari