MSMQ脆弱性 概念実証

このリポジトリは、TCPポート1801で待ち受けるMicrosoft Message Queuingをターゲットとした、すぐに実行可能な概念実証（PoC）を含んでいます。この作業は、元のプロジェクト（https://github.com/leongxudong/MSMQ-Vulnerability）の資料に基づき、それを使用しています。

このリポジトリは、そのプロジェクトが提供するバイナリアーティファクトを使用しています。PoCに含まれ、参照されるバイナリファイルは以下の通りです：

1. establish_connection.bin
2. connection_parameters.bin
3. user_message.bin

説明

このPoCは、一連のMSMQプロトコルフレームをターゲットホストのポート1801に送信することにより、CVE-2023-21554に記載された条件を再現しようと試みます。PoCスクリプトはネットワークレベルのアクティビティのみを実行し、ポストエクスプロイテーションアクションは一切実行しません。このプロジェクトは、隔離されたラボ環境での分析および防御検証のみを目的としています。

含まれるファイル

1. CVE-2023-21554.py — 3つのバイナリブロブを順番に送信する元のPoCスクリプト
2. CVE-2023-21554.py — レスポンス、16進ダンプ、タイムスタンプ、ソケットレベルのエラーを記録する攻撃側ヘルパースクリプト。このスクリプトを使用して、より有用な攻撃側の証拠を取得してください。
3. establish_connection.bin — 元のリポジトリからのバイナリステージ1ペイロード
4. connection_parameters.bin — 元のリポジトリからのバイナリステージ2ペイロード
5. user_message.bin — 元のリポジトリからのバイナリステージ3ペイロード
6. README.md — このファイル

前提条件

1. 攻撃ホストにPython 3がインストールされていること
2. ターゲットホストのポート1801へのネットワークアクセスと、そのホストをテストする明示的な許可があること
3. テスト後に変更を元に戻せるよう、ターゲット仮想マシンのスナップショットがあること
4. 検証用の証拠をキャプチャするツール（例：Wiresharkやtcpdump）、およびWindows用のSysinternals procdump

ラボ環境でPoCを実行する方法

1. 3つのバイナリファイルをPoCスクリプトと同じフォルダに配置する

2. PoCスクリプトまたはCVE-2023-21554.pyを編集してターゲットIPアドレスを設定する

3. 攻撃マシン上でターゲットIPとポートのネットワークキャプチャを開始する。別のシェルでのコマンド例（IPはターゲットに置き換える）：

   sudo tcpdump -i eth0 host 10.0.2.15 and port 1801 -w msmq_test.pcap

4. タイムスタンプ付きのログと16進ダンプを取得するために拡張チェックスクリプトを実行する

   python3 CVE-2023-21554.py

5. 分析のためにPoCの出力とネットワークキャプチャファイルを保存する

PoCが成功したかどうかを判断する方法

1. 攻撃側の兆候

1. CVE-2023-21554.pyがペイロードステージの直後にconnection_resetまたはorderly_closeを報告する（これらはヘルパーによって出力される明示的なステータスです）。
2. PoCがターゲットから無視できない応答（小さくて異常な応答バイト）を受信する。その応答を保存し、比較のために16進ダンプする。
3. ネットワークキャプチャがエクスプロイトパケットの直後にTCPリセット（RST）またはその他の異常終了を示す。

2. ターゲット側の兆候

1. テスト時にメッセージキューイングサービスのプロセスmqsvc.exeがクラッシュまたは再起動する。
2. Windowsイベントビューアに、アクセス違反または障害が発生したアプリケーション名mqsvc.exeを示すアプリケーションまたはシステムイベントが含まれている。
3. テスト時にキャプチャされたprocdumpがmqsvcプロセス内の例外を示している。

実用的なWiresharkの手順とフィルタ（コピペ対応）

各フィルタで<TARGET>をターゲットIPに置き換えてください。

攻撃者とターゲット間のMSMQポート上のすべてのトラフィックを表示： ip.addr == <TARGET> && tcp.port == 1801

サーバー発信のTCP RSTのみを表示： ip.src == <TARGET> && tcp.port == 1801 && tcp.flags.reset == 1

アプリケーションデータ（空でないTCPペイロード）を含むパケットを表示： ip.addr == <TARGET> && tcp.port == 1801 && tcp.len > 0

ゼロ長セグメントまたはFINを表示： ip.addr == <TARGET> && tcp.port == 1801 && (tcp.len == 0 || tcp.flags.fin == 1)

再送信とTCP異常を表示： tcp.analysis.retransmission || tcp.analysis.fast_retransmission || tcp.analysis.duplicate_ack

サーバー応答バイト（生の16進ダンプ）を抽出する手順

1. パケットリストペインで該当するサーバーパケットを見つける。小さなtcp.len値またはRSTの直前のパケットを探す。
2. パケットを右クリック → Follow → TCP Stream。
3. Follow TCP StreamダイアログでShow data as: Rawを選択し、Save Asで正確なバイトをエクスポートする。
4. または、パケットを選択し、Packet Bytesペインからバイトをコピーする。生のバイト/16進ダンプを証拠として保存する（例：server_reply.hex）。

リセットがターゲットから来たのかミドルボックスから来たのかを判断する方法

1. RSTの送信元IPがターゲットと一致することを確認する。一致する場合、ターゲットホストまたはそのカーネルがソケットを閉じたことを強く示します。
2. RSTの送信元が異なる経路上のデバイスの場合、通常はミドルボックスまたはファイアウォールが代わりに接続をドロップしたことを示します。TTLの違いとインターフェースIPが診断に役立ちます。

タイミング相関（重要）

1. エクスプロイトパケットとサーバーの反応の間のタイムスタンプの差に注意する。クラッシュまたは突然のRSTは、通常、問題のパケットから数十から数百ミリ秒以内に発生します。これらの時間を証拠の一部として記録してください。

比較テスト

1. 既知のパッチ適用済みホストに対して同じシーケンスをキャプチャし、RST、FIN、または短いサーバー応答の有無を比較する。違いがあれば結論が強化されます。

証拠収集チェックリスト

1. CVE-2023-21554.pyからの完全な標準出力ログをテキストファイルに保存する
2. ネットワークキャプチャファイル（例：msmq_test.pcap）を保存する
3. テスト時間に対応するアプリケーションとシステムのイベントをイベントビューアからエクスポートする
4. 利用可能であれば、procdumpを使用してmqsvc.exeのクラッシュダンプをキャプチャし、分析用に保存する

安全性と法的注意事項

このコードは、ターゲットホスト上でサービスのクラッシュや不安定性を引き起こす可能性があります。所有していない、またはテストする明示的な許可がないシステムに対して実行しないでください。常に隔離されたラボ環境でテストし、テスト実行前にVMスナップショットを取得してください。元の作業は上流のプロジェクト（https://github.com/leongxudong/MSMQ-Vulnerability）に帰属します。

帰属

このリポジトリは、元のプロジェクト（https://github.com/leongxudong/MSMQ-Vulnerability）から派生したものです。

貢献

検出ヘルパーや証拠収集スクリプトを追加する場合は、それらを文書化し、安全なラボ使用のための指示を含めてください。

連絡先と参考資料

元のコンテキストとバイナリアーティファクトについては、上記のリンク先の上流リポジトリを参照してください。防御のためのガイダンスについては、ベンダーのアドバイザリおよびCVE-2023-21554に関する公開されたライトアップを参照してください。