Attacker Lab: CVE-2017-5638 & CVE-2021-41773

7ホスト構成のDockerベース攻撃エミュレーションラボです。多段階のキルチェーン、横展開、多地点でのIDS検知を実演するために設計されています。

概要

このラボは、攻撃者が初期偵察から足場の確保、そしてピボティングを経て高価値ターゲットに到達するまでをシミュレートする、現実的なネットワーク環境を再現します。重要なホストにはサイドカーとして2つの独立したSuricata IDSインスタンスが併設されており、攻撃ライフサイクル全体を「防御側の視点」で観察できます。

キルチェーン

偵察（Reconnaissance）: 攻撃者は172.28.0.0/24サブネット全体に対してネットワークスイープ（ICMP、TCP SYN、HTTPバナーの取得）を実行します。
足場の確保（CVE-2017-5638）: 攻撃者はContent-TypeヘッダーへのOGNLインジェクションにより、脆弱なApache Struts 2サーバー（web-struts）を悪用します。
ピボティング（横展開）: 侵害したweb-strutsホストを足がかりに、攻撃者は内部ターゲットに対して二次的なエクスプロイトを実行します。
最終ターゲット（CVE-2021-41773）: 攻撃者はApache HTTP Server 2.4.49（web-vuln）のパストラバーサルおよびRCEの脆弱性を悪用し、rootアクセスを獲得します。

ラボ構成

このラボは合計10個のコンテナで構成されています。

攻撃者（Attacker / 172.28.0.100）: 事前配置済みのエクスプロイトスクリプトを備えたKaliライクな環境。
ターゲットホスト:
- web-struts (172.28.0.11): Apache Struts 2.3.28（S2-045に対して脆弱）。
- web-vuln (172.28.0.10): Apache httpd 2.4.49（パストラバーサル/RCEに対して脆弱）。
- db-mysql (172.28.0.12): 付随するデータベース。
- ssh-server (172.28.0.13): レガシーな足場獲得ターゲット。
- ftp-server、smb-server、dns-server: 現実味を高めるためのインフラストラクチャサービス。
IDSサイドカー:
- ids-suricata-struts: web-strutsのネットワーク名前空間を監視します。
- ids-suricata-web: web-vulnのネットワーク名前空間を監視します。

始め方

前提条件

DockerおよびDocker Compose v2。
Bash互換シェル。

セットアップ

セットアップスクリプトを実行して、環境をビルドおよび起動します。

./scripts/setup.sh

これによりネットワークが初期化され、イメージがプル/ビルドされ、10個すべてのコンテナが起動します。

使い方

このラボには、攻撃の各フェーズをトリガーするためのディスパッチャースクリプトが用意されています。

フルキルチェーンの実行

./scripts/attack.sh full

特定フェーズの実行

偵察のみ: ./scripts/attack.sh recon
Strutsでの足場獲得: ./scripts/attack.sh struts-foothold
StrutsからWebへのピボット: ./scripts/attack.sh struts-pivot
直接エクスプロイト（ピボットなし）: ./scripts/attack.sh direct

カスタムコマンド

最終ターゲット上で実行するカスタムコマンドを渡すことができます。

./scripts/attack.sh full "whoami; cat /etc/os-release"

アラートの監視

アラートは各IDSインスタンスの個別のeve.jsonファイルに書き込まれます。

./alerts/web-struts/eve.json
./alerts/web-vuln/eve.json

以下のコマンドで両方のフィードをライブで追跡できます。

./scripts/tail-alerts.sh

クリーンアップ

ラボの全コンポーネントを停止して削除するには、次のコマンドを実行します。

./scripts/teardown.sh

人気

docker-lab-cve-2017-5638-cve-2021-41773