Webペネトレーションテスト — Drupal (CVE-2018-7600)

種類: インターンシッププロジェクト | 企業: BB CyberSec | 期間: 2024年11月 – 2025年1月

📋 プロジェクト概要

本プロジェクトは、BB CyberSecでのサイバーセキュリティインターンシップの一環として実施した、Drupal Webアプリケーションの完全なペネトレーションテストを文書化したものです。評価は、Drupal coreに影響を与える重大な脆弱性 CVE-2018-7600（Drupalgeddon 2）の特定と悪用に焦点を当てました。

🎯 目的

DrupalベースのWebアプリケーションに対する構造化されたセキュリティ監査の実施
業界標準ツールを使用した脆弱性の特定
CVE-2018-7600の悪用による影響と重大性の実証
調査結果の文書化と具体的なセキュリティ対策の推奨

🛠️ 使用ツール

ツール	目的
Nmap	ネットワークスキャン＆サービス列挙
Burp Suite	Webアプリケーショントラフィック解析＆手動テスト
Metasploit	CVE-2018-7600の悪用
Droopescan	Drupalバージョン検出＆プラグイン列挙
Nikto	Webサーバー脆弱性スキャナ

🔍 方法論

ペネトレーションテストは、標準的な PTES（Penetration Testing Execution Standard） 方法論に従って実施しました：

1. 偵察と列挙

Nmapで対象をスキャンし、オープンポートと実行中のサービスを特定
Droopescanを使用してDrupalバージョンを検出
Webディレクトリとエンドポイントの列挙

2. 脆弱性分析

CVE-2018-7600（Drupalgeddon 2）を特定 — 重大なRCE脆弱性（CVSS: 9.8）
Burp Suiteを使用して攻撃対象領域を分析
Niktoで追加の弱点をスキャン

3. 悪用

Metasploitモジュール exploit/unix/webapp/drupal_drupalgeddon2 を使用してCVE-2018-7600を悪用
対象システム上でリモートコード実行に成功
権限昇格の可能性を実証

4. ポストエクスプロイテーションと報告

すべての調査結果を重大度評価とともに文書化
各脆弱性のビジネス影響を評価
具体的な改善策を導出

🚨 脆弱性の詳細

✅ 調査結果と推奨事項

🛡️ 実証されたスキル

ペネトレーションテスト 倫理的なハッキング Webアプリケーションセキュリティ 脆弱性分析 エクスプロイト開発 セキュリティ報告 Nmap Metasploit Burp Suite CVE調査

⚠️ 免責事項

本プロジェクトは、BB CyberSecでの許可されたインターンシップの一環として、管理されたラボ環境で実施されました。すべてのテストは明示的な許可を得て実施されました。ここで文書化された手法は教育目的のみです。許可のないペネトレーションテストは違法です。

👤 著者

Erman Bölükbasi — サイバーセキュリティエンジニア＆CS学生

CVE ID	CVE-2018-7600 (Drupalgeddon 2)
CVSSスコア	9.8 (Critical)
影響を受けるバージョン	Drupal < 7.58, < 8.3.9, < 8.4.6, < 8.5.1
脆弱性の種類	リモートコード実行 (RCE)
攻撃ベクトル	ネットワーク — 認証不要
影響	システム全体の完全な侵害

1	CVE-2018-7600 — 認証不要のRCE	🔴 重大	Drupalを最新バージョンに直ちに更新
2	古いDrupal core	🔴 重大	パッチ管理プロセスの導入
3	不要なオープンポート	🟡 中	ファイアウォールに最小権限の原則を適用
4	セキュリティヘッダーの欠如	🟡 中	CSP、HSTS、X-Frame-Optionsを設定
5	ディレクトリリスティングが有効	🟠 高	Webサーバーでディレクトリリスティングを無効化

web-penetration-drupal

人気