• ${IFS}는 공백 필터링을 우회합니다
• whoami는 시스템 식별 정보를 얻으려 시도합니다
• curl은 외부 통신을 시도합니다

이는 명령 삽입 페이로드입니다

웹 서버 증거

Nginx 로그는 요청이 서버에 도달했음을 확인합니다:

POST /global-protect/login.esp HTTP 200 User-Agent: curl

악성 요청이 수락되어 처리되었습니다.

내부 처리

시스템 로그는 페이로드가 내부 로직에 도달했음을 보여줍니다:

주요 발견 사항

• 페이로드가 내부 명령(dt_curl)에 포함되었습니다
• 외부 요청이 시도되었습니다
• 실행 체인이 내부 구성 요소에 도달했습니다

하지만:

DNS 조회 실패 → 외부 통신 실패

공격자 인프라

공격 IP:

• 144.172.79.92
• 악성으로 플래그 지정됨
• 호스팅 제공업체와 연결됨

이는 외부 공격자 출처를 확인합니다.

네트워크 타임라인

공격 전에 여러 IP가 시스템과 상호작용했습니다:

144.172.79.92만이 익스플로잇에 직접 연결됩니다.

영향 평가

확인됨

• CVE-2024-3400을 대상으로 한 악용 시도
• 악성 페이로드 전달됨
• 요청이 서버에서 처리됨
• 페이로드가 내부 처리에 도달함
• 외부 통신 시도가 트리거됨

확인되지 않음

• OS 명령 실행
• 명령 출력
• 데이터 유출
• 리버스 셸
• 지속성
• 측면 이동

결론

이는 실제 명령 삽입 시도였습니다.

공격자는 다음을 성공적으로 수행했습니다:

• 악성 요청 전달
• 페이로드 삽입
• 내부 처리 트리거

하지만:

확인된 명령 실행 또는 시스템 침해는 없습니다

최종 분류

명령 삽입 시도 페이로드 처리됨 - 실행 또는 영향 확인되지 않음