hantwister/fakedellomDell OMSA가 "관리"할 수 있는 가짜 호스트로, 로그인 화면을 우회할 수 있게 해줍니다.
Dell OMSA가 "관리"할 수 있는 가짜 호스트로, 로그인 화면을 통과하게 해 주며, 퍼징(fuzzing)이나 기타 테스트의 시작점으로 사용할 수 있습니다.
Dell의 OpenManage Server Administrator에서 잠재적 취약점¹을 조사하는 동안, 저는 다음 두 가지에 관심이 있었습니다:
관리자 자격 증명이 있는 Dell 서버를 직접 들고 다닐 필요가 없도록, 로그인 화면 통과만으로 충분한 취약점¹을 쉽게 활용할 수 있다는 점, 그리고
제가 제어하는 "가짜" 서버(관리 노드)가 OMSA의 요청에 예상치 못한 악의적인 방식으로 응답하여 새로운 취약점이 발생할 수 있는지 확인하는 점.
¹예: https://www.exploit-db.com/exploits/39486/ 및 최소 하나 이상의 XXE
정말 빠르고 대충 만든 Java 코드로, OMSA의 요청을 수신하고 원하는 대로 응답하도록 설계되었습니다. 처음 이 코드를 작성했을 때는 로그인 과정에서 발생하는 두 가지 요청에 대한 응답만 있었는데, OMSA 인스턴스에 "진정한"³ 관리자로 진입²하는 데 충분했습니다. 다른 종류의 요청을 대상으로 하려면 애플리케이션을 살펴보고, OMSA가 보내는 POST 데이터를 확인하고, 어떤 응답이 예상되는지 파악한 다음, 원하는 응답을 구성하여 이 코드에 로직으로 구현하세요.
²로그인에 성공한 직후 OMSA는 다른 요청이 쏟아지는 시작 페이지로 리디렉션합니다. 브라우저를 중지하는 것이 좋습니다. OMSA는 오류가 발생하면 로그인 화면으로 다시 리디렉션하는 경향이 있으며, 이 코드가 후속 요청을 처리하도록 수정되지 않아 적절한 방식으로 응답하지 않으면 실제로 그렇게 될 것입니다.
³분명히 두 개의 별도 권한 세트가 있으며, 어떤 코드를 건드리느냐에 따라 사용되는 세트가 달라질 수 있습니다. 세트당 3비트만 사용되는 것으로 보이므로, 7(4 + 2 + 1)이 각 세트의 최대 권한을 나타냅니다. 한 세트는 32비트 정수의 상위 16비트를 차지하고, 두 번째 세트는 하위 16비트를 차지합니다. 결국 가짜 관리 노드는 7 + (7 << 16)으로 응답합니다. OMSA가 사용자 권한에 따라 특정 리소스에 대한 접근을 제한하는지 테스트하려는 경우 이 값을 변경할 수 있습니다.
2016년 5월 31일 기준으로 XXE를 악용하기 위한 응답도 추가되었습니다. OMSA는 악성으로 보이는 URL 요청을 필터링하려고 하지만, 관리 중인 노드에서 돌려받는 데이터에 대해서는 그렇게 과민하지 않은 것 같습니다.
이 코드는 Dell 서버나 다른 어떤 서버를 관리하는 데 도움이 되도록 만들어진 것이 전혀 아닙니다. Dell의 모든 비밀 기술을 재구현하려고 시도할 수는 있겠지만, 이는 이 코드의 의도와는 거리가 먼 일입니다. 이 코드와 달리 Dell이 설계한 쿼리에 대해 Dell의 동작을 충실히 재현하려는 경우, Oracle v Google( https://www.eff.org/cases/oracle-v-google ) 또는 기타 법적 문제가 적용될 수 있으므로 변호사와 상담하는 것이 좋습니다.
최종 목표는 fakedell.XMLResponder 서블릿을 https://[yourIP]:5986/wsman에서 접근할 수 있게 하는 것입니다.
구버전 OMSA와의 추가 테스트에 따르면 이 서블릿을 https://[yourIP]:443/wsman에서도 접근할 수 있게 하는 것이 좋습니다.
서버는 자체 서명 인증서를 사용해야 합니다. OMSA에 로그인할 때 관리할 원격 호스트로 IP를 입력하고 인증서 경고를 무시하도록 선택하세요.
여기 있는 web.xml은 루트 애플리케이션을 가정하며 서블릿을 /wsman에 매핑합니다. 사용자의 구성에 맞게 조정해야 할 수도 있습니다.
Java 서버나 다른 도구를 사용하여 모든 수신/발신 트래픽을 로그로 기록할 수 있습니다. 예를 들어, Tomcat이 8080 포트에서 수신 대기하고, stunnel이 5986 포트에서 수신 대기하도록 구성했으며, Wireshark를 사용하여 루프백 장치의 모든 8080 포트 트래픽을 캡처했습니다.
즐거운 시간 되세요~
대체 라이선스에 대한 강력한 사유가 있다면 연락 주시면 상의할 수 있습니다. (솔직히 말하면, 이것은 작은 PoC이자 스켈레톤 프레임에 불과하기 때문에, 어렵지 않게 다시 만들 수 있을 것입니다.)
그렇지 않다면,
FakeDellOM
Copyright (C) 2016 Harrison Neal, [email protected]
This program is free software: you can redistribute it and/or modify
it under the terms of the GNU General Public License as published by
the Free Software Foundation, either version 3 of the License, or
(at your option) any later version.
This program is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
GNU General Public License for more details.
You should have received a copy of the GNU General Public License
along with this program. If not, see <http://www.gnu.org/licenses/>.