pentesting-obioba

Pentesting black box: Shellshock (CVE-2014-6271) + Log4Shell (CVE-2021-44228). Escalation a root. Report esecutivo e tecnico

Pentesting Obioba — Audit di Sicurezza (Black Box)

Progetto del Bootcamp 360° in Cybersecurity di The Bridge Digital Talent Accelerator (2025-2026).

🎯 Obiettivo

Eseguire un audit di sicurezza su un server legacy utilizzando una metodologia black box, simulando un attaccante esterno senza credenziali preliminari. L'obiettivo era identificare vulnerabilità che consentissero accesso non autorizzato ed escalation dei privilegi fino al controllo totale del sistema.

🧪 Ambiente

• Obiettivo: Server Obioba (repository di database legacy)
• Attaccante: Kali Linux
• Metodologia: Black box — senza conoscenza preliminare dell'infrastruttura
• Ambiente: Laboratorio controllato e isolato

🔁 Fasi eseguite

1. Ricognizione ed enumerazione

Identificazione dei servizi esposti tramite Nmap con i flag -sV -sC -p-. Scoperta di tre vettori di interesse: SSH (porta 22), servizio web Apache (porta 8081) e servizio Java/Nagios (porta 8080).

2. Analisi delle vulnerabilità

Enumerazione web con DIRB per confermare i percorsi /cgi-bin/. Scansione con Nessus della porta 8080 che ha rivelato la vulnerabilità critica Log4Shell con CVSS 10.0.

3. Sfruttamento — Shellshock (CVE-2014-6271)

Sfruttamento dello script CGI vulnerabile sulla porta 8081 tramite Metasploit (apache_mod_cgi_bash_env_exec). Ottenimento di una shell come utente www-data.

4. Escalation dei privilegi — Log4Shell (CVE-2021-44228)

Iniezione JNDI negli header HTTP della porta 8080 tramite Metasploit (log4shell_header_injection). Il servizio Java girava come root — compromissione totale del sistema.

5. Report esecutivo e piano di mitigazione

Documentazione dell'impatto sulla triade CIA, analisi dei rischi per criticità e piano di remediation con tempistiche concrete.

🛠️ Strumenti utilizzati

🛡️ Mappatura MITRE ATT&CK

📊 Risultato

Compromissione totale del server in meno di 3 ore. Entrambe le vulnerabilità sono note e hanno patch disponibili da anni — il che dimostra il rischio reale dei sistemi legacy senza manutenzione.

🔒 Nota di riservatezza

⚠️ I report tecnici dettagliati, gli screenshot e le evidenze del progetto non vengono pubblicati in questo repository per motivi di riservatezza con l'ente formativo (The Bridge Digital Talent Accelerator).

Se sei un recruiter o un professionista del settore e desideri vedere il materiale completo (report esecutivi, PoC, screenshot e piani di mitigazione), non esitare a contattarmi:

📧 [email protected] 🔗 LinkedIn

⚠️ Disclaimer

Questo progetto è stato eseguito in un ambiente di laboratorio isolato a fini educativi. Le tecniche documentate sono orientate al miglioramento delle capacità difensive.

📧 Contatti

Facundo Martín Fernández Otón · GitHub