CVE-2024-4577-LetsDefend-walkthrough

インシデント対応ウォークスルー: ゼロデイ攻撃（CVE-2024-4577）への対策

[LetsDefend 解説] PHP-CGI (CVE-2024–4577)

シナリオ: 当社の侵入検知システム（IDS）および侵入防止システム（IPS）が、12:05 PM UTC に重要なシステムコンポーネントを標的とした潜在的な攻撃を検知しました。この解説では、不正利用の試みを確認し、攻撃者の行動を理解するための調査プロセスを詳しく説明します。

調査:

1. 脆弱性の理解（CVE-2024-4577）:

   • 提供されたリソースから脆弱性とその悪用方法に関する貴重な洞察を得ました。

2. 影響を受けるPHPバージョンの特定:

   • 2つの方法を使用:
     • news.txt の分析によるPHP更新履歴の確認。
     • 直接 php.exe -v を実行してバージョンを特定。
   • 脆弱性のあるバージョン: 8.2.19

3. PHP-CGI設定の確認:

   • httpd.conf を分析し、php-cgi.exe を通じて悪用を可能にするディレクティブを確認。

4. 攻撃者のIPの特定:

   • Apacheログディレクトリ内の access.log を調査。
   • 攻撃者IP: 192.168.110.1

5. 標的となったページ:

   • アプリケーションは主に upload.php を使用していますが、攻撃者はテスト目的で index.html を使用した可能性があります。
   • 標的となったページ: (おそらく upload.php)

6. Apacheバージョン:

   • error.log を調査してApacheバージョンを特定。
   • Apacheバージョン: 2.4.59

7. 実行されたプロセスの分析:

   • PECmdおよびTimeline Explorerを用いた初期調査では不審な活動は確認されませんでした。
   • アクセスログとエラーログの相関分析により、成功した攻撃試行を特定。
   • Timeline Explorerにより、不正利用成功後に実行された以下のプロセスを特定:
     • whoami.exe
     • calc.exe

不正利用の特定: 攻撃者はゼロデイ脆弱性（CVE-2024-4577）を悪用しました。

学習成果:

• このチャレンジでは以下の実践的な経験を得ました:
  • ゼロデイ脆弱性（CVE-2024-4577）の調査
  • 脆弱性のあるソフトウェアバージョンの特定
  • 不正利用方法の分析
  • コマンド検出のためのPrefetchの活用

注意: この解説では、攻撃者に手口を提供しないよう、脆弱性のあるバージョン、攻撃者のIP、標的ページなどの具体的な詳細は省略しています。

Badge Acquired Cve 2024 4577 Php Cgi Cybersecurity Lets Defend Letsdefendio

作成者: ph1n3y