pentesting-obioba

ブラックボックス・ペネトレーションテスト: Shellshock（CVE-2014-6271）+ Log4Shell（CVE-2021-44228）。rootへの権限昇格。エグゼクティブレポートおよび技術レポート

Pentesting Obioba — セキュリティ監査（ブラックボックス）

The Bridge Digital Talent Accelerator（2025-2026年）の 360°サイバーセキュリティブートキャンプ のプロジェクト。

🎯 目的

レガシーサーバーに対してブラックボックス手法でセキュリティ監査を実施し、事前の認証情報を持たない外部の脅威アクターをシミュレートすること。目的は、不正アクセスを可能にし、システム完全制御までの権限昇格を許す脆弱性を特定することでした。

🧪 環境

• 対象: Obiobaサーバー（レガシーデータベースのリポジトリ）
• 攻撃者: Kali Linux
• 手法: ブラックボックス — インフラに関する事前知識なし
• 環境: 管理・隔離されたラボ環境

🔁 実施したフェーズ

1. 偵察と列挙

Nmapのフラグ -sV -sC -p- を使用した公開サービスの識別。関心のある3つの攻撃ベクトルを発見: SSH（ポート22）、Apache Webサービス（ポート8081）、Java/Nagiosサービス（ポート8080）。

2. 脆弱性分析

/cgi-bin/ パスを確認するためのDIRBによるWeb列挙。ポート8080に対するNessusスキャンで、CVSS 10.0の重大なLog4Shell脆弱性が判明。

3. エクスプロイト — Shellshock（CVE-2014-6271）

Metasploit（apache_mod_cgi_bash_env_exec）を使用して、ポート8081の脆弱なCGIスクリプトを悪用。www-data ユーザーとしてシェルを取得。

4. 権限昇格 — Log4Shell（CVE-2021-44228）

Metasploit（log4shell_header_injection）を使用して、ポート8080のHTTPヘッダーにJNDIインジェクションを実行。Javaサービスはrootとして実行されており、システム全体が侵害された。

5. エグゼクティブレポートと緩和計画

CIAトライアドへの影響の文書化、重要度別のリスク分析、具体的な期限を伴う是正計画。

🛠️ 使用したツール

🛡️ MITRE ATT&CKマッピング

📊 結果

3時間以内にサーバー全体を完全に侵害。両方の脆弱性は既知であり、何年も前からパッチが提供されている — これは、メンテナンスされていないレガシーシステムの現実的なリスクを示しています。

🔒 機密保持に関する注意

⚠️ 詳細な技術レポート、スクリーンショット、プロジェクトの証拠資料は、教育機関（The Bridge Digital Talent Accelerator）との機密保持上の理由により、このリポジトリでは公開されていません。

採用担当者またはセキュリティ業界の専門家で、完全な資料（エグゼクティブレポート、PoC、スクリーンショット、緩和計画）をご覧になりたい方は、お気軽にご連絡ください:

📧 [email protected] 🔗 LinkedIn

⚠️ 免責事項

このプロジェクトは教育的な目的のために、隔離されたラボ環境で実施されました。記載されている技術は、防御能力の向上を目的としています。

📧 連絡先

Facundo Martín Fernández Otón · GitHub