CVE-2024-4577-LetsDefend-walkthrough

Walkthrough di risposta agli incidenti: Mitigazione di un attacco zero-day (CVE-2024-4577)

[Write-up di LetsDefend] PHP-CGI (CVE-2024–4577)

Scenario: Il nostro sistema di rilevamento delle intrusioni (IDS) e sistema di prevenzione delle intrusioni (IPS) hanno identificato un potenziale attacco mirato a un componente critico del sistema alle 12:05 UTC. Questo write-up descrive in dettaglio il processo di indagine per confermare il tentativo di sfruttamento e comprendere le azioni dell'attaccante.

Indagine:

1. Comprendere la vulnerabilità (CVE-2024-4577):

   • Le risorse fornite hanno offerto preziose informazioni sulla vulnerabilità e sui potenziali metodi di sfruttamento.

2. Identificare la versione vulnerabile di PHP:

   • Sono stati impiegati due metodi:
     • Analizzare news.txt per la cronologia degli aggiornamenti PHP.
     • Eseguire direttamente php.exe -v per determinare la versione.
   • Versione vulnerabile: 8.2.19

3. Verificare la configurazione PHP-CGI:

   • Analizzato httpd.conf per confermare la direttiva che abilita lo sfruttamento tramite php-cgi.exe.

4. Identificare l'IP dell'attaccante:

   • Esaminato access.log nella directory dei log di Apache.
   • IP attaccante: 192.168.110.1

5. Pagina presa di mira:

   • Mentre l'applicazione utilizza principalmente upload.php, l'attaccante potrebbe aver usato index.html per scopi di test.
   • Pagina presa di mira: (probabilmente upload.php)

6. Versione di Apache:

   • Ispezionato error.log per determinare la versione di Apache.
   • Versione Apache: 2.4.59

7. Analizzare i processi eseguiti:

   • L'indagine iniziale utilizzando PECmd e Timeline Explorer non ha rivelato attività sospette.
   • La correlazione dei log di accesso e di errore ha identificato tentativi di attacco riusciti.
   • Timeline Explorer ha identificato i seguenti processi eseguiti dopo lo sfruttamento riuscito:
     • whoami.exe
     • calc.exe

Identificazione dell'exploit: L'attaccante ha sfruttato la vulnerabilità zero-day (CVE-2024-4577).

Risultati dell'apprendimento:

• Questa sfida ha fornito esperienza pratica con:
  • Indagare sulle vulnerabilità zero-day (CVE-2024-4577)
  • Identificare versioni software vulnerabili
  • Analizzare i metodi di exploit
  • Utilizzare Prefetch per il rilevamento di potenziali comandi

Nota: Questo write-up esclude dettagli specifici come la versione vulnerabile, l'IP dell'attaccante e la pagina presa di mira per evitare di fornire un modello per gli attaccanti.

Badge acquisito Cve 2024 4577 Php Cgi Cybersecurity Lets Defend Letsdefendio

Writeup di: ph1n3y