<!-- omit in toc -->
#### 通常の動作
通常、コードは問題なく動作し、新しいDHCPオプションを解析します。
例として、次のコード:```bash
DHCP4_OPTION_ONE=42
DHCP4_OPTION_TWO="bla bla"

declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
  optname=${opt%%=*}
  optname=${optname,,}
  optname=new_${optname#dhcp4_}
  optvalue=${opt#*=}
  echo "export $optname=$optvalue"
done

<!-- omit in toc -->
#### コードインジェクション
しかし、安全でない `eval` のため、bashコマンドを注入することが可能です。```bash
DHCP4_OPTION_ONE="x'& echo Hacked! #"
DHCP4_OPTION_TWO='bla bla'

eval "$(                             
  declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
    optname=${opt%%=*}
    optname=${optname,,}
    optname=new_${optname#dhcp4_}
    optvalue=${opt#*=}
    echo "export $optname=$optvalue"
  done
)"

### ソース
- [Exploit database エントリ](https://www.exploit-db.com/exploits/44890)
- [RedHat アナウンス](https://access.redhat.com/security/vulnerabilities/3442151)
- [Tenable ブログ記事](https://www.tenable.com/blog/advisory-red-hat-dhcp-client-command-injection-trouble)
- [GitHub リポジトリ](https://github.com/kkirsche/CVE-2018-1111)
- [Twitter アナウンス](https://twitter.com/_fel1x/status/996388421273882626?lang=en)

## セットアップ
このエクスプロイトを実証するための最小限のセットアップは、`victim`マシン（Fedora 28 を実行）と`attacker`マシンの2台だけです。このセットアップでは、攻撃者はDHCPサービスを提供し、被害者の接続を待つだけで済みます。

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network_simple.svg" style="max-width:400px;" width="90%"/>
  <figcaption>最小限のエクスプロイトセットアップ。</figcaption>
</figure>

より現実的なセットアップでは、マシンをプライベートネットワーク上に配置し、3台目のマシンである`gateway`を、良性のDHCPサーバーとして、また外部インターネットへのゲートウェイとして設定します。このセットアップでは、攻撃者は攻撃を実行する前に、被害者が正規のDHCPサーバーに接続するのを防ぐ必要があります。

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network.svg" style="max-width:800px;" width="90%"/>
  <figcaption>ゲートウェイマシンがDHCP、ルーター、ファイアウォールとして動作するプライベートネットワークのセットアップ。</figcaption>
</figure>

以下のセクションでは、次のことを行います。
1. VirtualBox をインストールします。
2. 3台の仮想マシンを作成します：`gateway`、`attacker`、`victim`
3. マシンにOSをインストールします (ユーザー、ネットワーク、SSHアクセス)
4. VirtualBox が提供する仮想内部ネットワーク用に、良性のDHCPサーバーをホストするようにゲートウェイを設定します。
5. 攻撃に必要なPythonの依存関係をインストールします。

手動セットアップをスキップして [すぐにアクションに飛び込む](#performing-the-attack) には、`ansible`フォルダ内の [`setup.sh`](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/ansible/setup.sh) スクリプトを実行することができます。このスクリプトは、[Ansible Roles](https://docs.ansible.com/ansible/latest/user_guide/playbooks_reuse_roles.html) を使用して仮想マシンを（ほぼ）自動的に作成し、設定します。`setup.sh` を起動する前に、Ansible と VirtualBox がインストールされていることを確認してください。

### 前提条件

#### VirtualBox のインストール
以下の手順は、[公式インストールガイド](https://www.virtualbox.org/wiki/Downloads) からのものです。

次の行を `/etc/apt/sources.list` に追加します:```bash
deb [arch=amd64] 'https://download.virtualbox.org/virtualbox/debian' bionic contrib

#### Ansibleのインストール（オプション）
「[Ubuntu用公式ガイド](https://docs.ansible.com/ansible/latest/installation_guide/intro_installation.html#installing-ansible-on-ubuntu)」より：```bash
sudo apt update
sudo apt install software-properties-common
sudo apt-add-repository --yes --update ppa:ansible/ansible
sudo apt install ansible

SSH config (`~/.ssh/config`) に以下のエントリを追加してください:```
Host gateway.ethhack
  Port 6001
  User gateway   

Host victim.ethhack
  Port 6002
  User victim

Host attacker.ethhack
  Port 6003
  User attacker

Host *.ethhack
  LogLevel ERROR
  HostName localhost
  IdentityFile ~/.ssh/ethhack
  StrictHostKeyChecking no
  UserKnownHostsFile /dev/null

- ネットワークインターフェース1：VirtualBoxのデフォルトNATネットワークに接続
- ネットワークインターフェース2：`intnet`内部ネットワークに接続\
  （MACアドレスの「d」はDHCPを示します）
- ホストの`600x`ポートから仮想マシンのSSHポートへのポートフォワーディング```bash
VM_NAME="gateway"
VRDE_PORT=5001
SSH_PORT=6001
VM_MAC='08:00:dd:dd:dd:dd'

VBoxManage createvm --name "${VM_NAME}" --ostype Ubuntu_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath ubuntu-18.04.5-live-server-amd64.iso)"

#### OSインストール
初回起動時には、インストール手順を進めるために仮想デスクトップが必要です。仮想マシンをヘッドレスモードで起動し、`rdesktop-vrdp`を使用して接続できます。VirtualBoxがデスクトップコンピュータ上で動作している場合は、GUIから仮想マシンを起動する方が簡単かもしれませんが、この方法はリモートのVirtualBoxホストでも機能します。```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### SSHログイン
アクセスを容易にするために、上記で作成したSSHキーを`gateway`マシンにインストールできます。```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub gateway.ethhack
ssh gateway.ethhack

そして、ネットワーク設定を更新してください。```
sudo netplan apply
ip addr show dev enp0s8

内部インターフェースでDHCPを有効にするために、`/etc/default/isc-dhcp-server`を編集しましょう:```bash
sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

選択されたデフォルトのリース時間1分はかなり短いですが、デモンストレーション目的には有用です。

<!--```bash
echo '
authoritative;

default-lease-time 60;
max-lease-time 7200;

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.100 192.168.0.105;
  option domain-name-servers 192.168.0.53;
  option domain-name "100waystocook.pizza.";
}
' | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

sudo systemctl restart isc-dhcp-server

DHCP イベントは `/var/log/syslog` に記録されます。 
関連するエントリを強調表示するには、次のようにします：```bash
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

#### OSインストール
初めてマシンを起動する際には、インストール手順を進めるために仮想デスクトップが必要です。仮想マシンをヘッドレスモードで起動し、`rdesktop-vrdp`を使用して接続できます。VirtualBoxがデスクトップコンピュータ上で動作している場合は、GUIから仮想マシンを起動する方が簡単かもしれませんが、この方法はリモートのVirtualBoxホストでも機能します。```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### SSHログイン
アクセスを容易にするために、上記で作成したSSHキーを`attacker`マシンにインストールできます：```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub attacker.ethhack
ssh attacker.ethhack