badsectorlabs/sccm-http-looter(System Center) Configuration Manager (SCCM/CM) 공유에 저장된 흥미로운 파일을 HTTP(s)를 통해 찾기
SCCM 배포 지점(DP)은 Microsoft SCCM이 소프트웨어 설치, 패치, 스크립트 배포 등에 사용되는 모든 파일을 호스팅하는 서버입니다. 기본적으로 이러한 서버는 SMB(TCP/445) 및 HTTP/S(TCP/80 및/또는 TCP/443)를 통한 액세스를 허용하며 일부 유형의 Windows 인증(예: NTLM)을 요구합니다.
현재 SCCM DP 탈취 도구들은 파일을 수집하기 위해 SMB 공유를 탐색할 수 있는 능력에 의존합니다.
그러나 조직이 내부 네트워크의 서버에 대한 인바운드 SMB 액세스를 제한하는 것은 드문 일이 아니며, 인터넷에서 인바운드 SMB 액세스를 차단하는 것은 표준 관행입니다. 반면 HTTP/S 액세스는 일반적으로 내부 네트워크에서 제한되지 않으며 인터넷에서도 자주 허용됩니다. HTTP/S를 통해 SCCM DP에서 파일을 가져올 수 있는 방법이 있다면 이는 공격자에게 기회가 됩니다.
SMB 도구는 SCCMContentLib$ 공유의 DataLib 폴더를 열거하여 파일의 해시가 포함된 <filename.ext>.INI 파일을 찾는 방식으로 작동합니다. 그런 다음 FileLib/<hash[0:4]>/<hash>에서 실제 파일을 찾을 수 있습니다. 공유에 액세스할 수 있으면 DataLib 폴더의 모든 파일을 열거할 수 있기 때문에 이 방식이 가능합니다.
HTTP/S를 사용하면 상황이 다릅니다. http://<SCCM DP>/SMS_DP_SMSPKG$/Datalib로 이동하면 번호가 매겨진 파일과 INI 파일의 디렉터리 목록이 표시됩니다.
다양한 이유(예: 속도)로 인해 이러한 배포 지점은 익명 액세스를 허용하도록 구성될 수 있습니다.
그러나 INI가 아닌 링크로 이동하면 동일한 페이지가 표시될 뿐입니다. 이로 인해 직접 액세스할 수 있는 파일 수는 Datalib의 "루트" 디렉터리에 있는 파일로 제한됩니다. 디렉터리에 대한 INI 파일에서 추출된 해시는 실제 파일만 저장하는 FileLib에서 디렉터리를 찾는 데 사용할 수 없기 때문입니다.
하지만 http://<SCCM DP>/SMS_DP_SMSPKG$/ 루트에서 직접 디렉터리 이름으로 이동하면 해당 디렉터리의 파일이 표시되며, 이 파일들을 직접 다운로드할 수 있습니다.
이것이 sccm-http-looter가 일반적으로 작동하는 방식입니다. 도구는 Datalib 디렉터리 목록에서 디렉터리를 파싱한 다음 해당 디렉터리를 요청하고 각각에서 파일을 파싱한 후, 사용자가 지정한 허용 목록에 포함된 확장자를 가진 파일을 다운로드합니다.
익명 액세스가 활성화되어 있지만 http://<SCCM DP>/SMS_DP_SMSPKG$/ 루트 아래 디렉터리의 디렉터리 목록이 비활성화된 경우, -use-signature-method 옵션으로 도구를 실행하여 사용할 수 있는 두 번째 파일 검색 기술이 있습니다. 이 모드에서 도구는 다음을 수행합니다.
http://<SCCM DP>/SMS_DP_SMSPKG$/Datalib에서 Datalib 목록을 다운로드합니다.http://<SCCM DP>/SMS_DP_SMSSIG$/<filename>.tar에서 .INI가 아닌 모든 링크 파일 이름을 다운로드합니다. 여기서 <filename>은 Datalib 페이지의 href에서 마지막 요소입니다(예: 12300005.1)..tar 서명 파일에서 실제 파일 이름을 추출합니다.http://<SCCM DP>/SMS_DP_SMSPKG$/Datalib/<filename>/<extracted filename>.INI에서 INI 파일을 다운로드합니다.http://<SCCM DP>/SMS_DP_SMSPKG$/Filelib/<hash[0:4]>/<hash>에서 실제 파일을 다운로드하고 서명 파일에 지정된 올바른 파일 이름으로 이름을 바꿉니다.서명 파일은 .tar 파일이지만 실제 tar 파일은 아닙니다. 서명 파일은 아래 표시된 바이트 문자열 0x18, 0x00, 0x00, 0x00, 0x01, 0x00, 0x01, 0x00, 0x01, 0x00, 0x01보다 512바이트 앞에 파일 이름을 포함합니다.
이 도구는 이 바이트 문자열을 검색하여 서명 파일에서 모든 파일 이름을 추출합니다.