CVE-2018-11776

CVE-2018-11776 취약점 조사 — 공격자가 원격 코드 실행을 통해 Apache Struts 기반 애플리케이션을 제어할 수 있게 하는 취약점입니다.

설치 및 익스플로잇 https://github.com/hook-s3c/CVE-2018-11776-Python-PoC

Suricata

"test.rules " 파일에는 Suricata 유틸리티용 규칙이 포함되어 있습니다. 이 규칙은 네트워크 트래픽에서 익스플로잇 가능한 취약점을 탐지할 수 있게 합니다. 해당 규칙은 /etc/suricata/suricata file.yaml 파일에서 연결됩니다:

    default-rule-path: /etc/suricata 
    rule-files: 
     - test.rules

실행:

suricata -c /etc/suricata/suricata.yaml –i docker0

로그 /var/log/suricata/fast.log

커널 모듈

커널 모듈은 악성 네트워크 패킷을 차단하고 로그 파일에 기록합니다. 이 모듈은 들어오는 트래픽만 처리합니다. 처리 함수는 TCP 패킷을 찾아 데이터 필드에서 HTTP 요청이 GET 요청인지 식별하고, GET 요청인 경우 패킷에 미리 정의된 시그니처가 포함되어 있는지 확인합니다. 설치

sudo insmod module_kernel.ko

출력 결과 확인

sudo dmesg