공격자 연구소: CVE-2017-5638 및 CVE-2021-41773

다중 단계 킬 체인, 측면 이동, 다중 지점 IDS 탐지를 시연하도록 설계된 7개 호스트 기반 Docker 공격 에뮬레이션 연구소입니다.

개요

이 연구소는 공격자가 초기 정찰부터 거점 확보, 그리고 피벗을 통해 최종 고가치 표적에 도달하는 현실적인 네트워크 환경을 시뮬레이션합니다. 중요한 호스트에 사이드카로 동작하는 두 개의 독립적인 Suricata IDS 인스턴스를 포함하여 전체 공격 수명 주기에 대한 '방어자 관점'을 제공합니다.

킬 체인

정찰: 공격자가 172.28.0.0/24 서브넷 전체에 걸쳐 네트워크 스윕(ICMP, TCP SYN, HTTP 배너 그랩)을 수행합니다.
거점 확보 (CVE-2017-5638): 공격자가 Content-Type 헤더의 OGNL 인젝션을 통해 취약한 Apache Struts 2 서버(web-struts)를 악용합니다.
피벗 (측면 이동): 손상된 web-struts 호스트를 사용하여 공격자가 내부 표적에 대한 2차 익스플로잇을 실행합니다.
최종 표적 (CVE-2021-41773): 공격자가 Apache HTTP Server 2.4.49(web-vuln)의 경로 탐색 및 RCE 취약점을 악용하여 루트 액세스를 획득합니다.

연구소 아키텍처

연구소는 총 10개의 컨테이너로 구성됩니다:

공격자 (172.28.0.100): 미리 준비된 익스플로잇 스크립트가 있는 Kali 유사 환경.
표적 호스트:
- web-struts (172.28.0.11): Apache Struts 2.3.28 (S2-045에 취약).
- web-vuln (172.28.0.10): Apache httpd 2.4.49 (경로 탐색/RCE에 취약).
- db-mysql (172.28.0.12): 지원 데이터베이스.
- ssh-server (172.28.0.13): 레거시 거점 표적.
- ftp-server, smb-server, dns-server: 현실성을 위한 인프라 서비스.
IDS 사이드카:
- ids-suricata-struts: web-struts 네트워크 네임스페이스를 모니터링합니다.
- ids-suricata-web: web-vuln 네트워크 네임스페이스를 모니터링합니다.

시작하기

전제 조건

Docker 및 Docker Compose v2.
Bash 호환 셸.

설정

환경을 빌드하고 시작하려면 설정 스크립트를 실행하세요:

./scripts/setup.sh

이 명령어는 네트워크를 초기화하고 이미지를 가져오거나 빌드한 후 10개 컨테이너를 모두 시작합니다.

사용법

연구소는 공격의 여러 단계를 트리거하는 디스패처 스크립트를 제공합니다.

전체 킬 체인 실행

./scripts/attack.sh full

특정 단계 실행

정찰만: ./scripts/attack.sh recon
Struts 거점 확보: ./scripts/attack.sh struts-foothold
Struts-to-Web 피벗: ./scripts/attack.sh struts-pivot
직접 익스플로잇 (피벗 없음): ./scripts/attack.sh direct

사용자 정의 명령

최종 표적에서 실행할 사용자 정의 명령을 전달할 수 있습니다:

./scripts/attack.sh full "whoami; cat /etc/os-release"

알림 모니터링

알림은 각 IDS 인스턴스의 개별 eve.json 파일에 기록됩니다:

./alerts/web-struts/eve.json
./alerts/web-vuln/eve.json

다음을 사용하여 두 피드를 실시간으로 꼬리(tail)할 수 있습니다:

./scripts/tail-alerts.sh

정리

모든 연구소 구성 요소를 중지하고 제거하려면:

./scripts/teardown.sh

인기

docker-lab-cve-2017-5638-cve-2021-41773