Laboratório de Atacante: CVE-2017-5638 & CVE-2021-41773

Um laboratório de emulação de ataque baseado em Docker com 7 hosts, projetado para demonstrar uma cadeia de ataque multi-estágio, movimento lateral e detecção IDS multi-ponto.

Visão Geral

Este laboratório simula um ambiente de rede realista onde um atacante progride desde o reconhecimento inicial até um ponto de apoio (foothold) e, finalmente, a um alvo de alto valor através de movimentação lateral (pivoting). Ele conta com duas instâncias independentes do Suricata IDS atuando como sidecars nos hosts críticos, fornecendo uma "visão do defensor" de todo o ciclo de vida do ataque.

A Cadeia de Ataque

1. Reconhecimento: O atacante realiza uma varredura de rede (ICMP, TCP SYN, captura de banner HTTP) na sub-rede 172.28.0.0/24.
2. Ponto de Apoio (CVE-2017-5638): O atacante explora um servidor Apache Struts 2 vulnerável (web-struts) através de injeção OGNL no cabeçalho Content-Type.
3. Movimentação Lateral (Pivoting): Usando o host comprometido web-struts, o atacante lança um exploit secundário contra um alvo interno.
4. Alvo Final (CVE-2021-41773): O atacante explora uma vulnerabilidade de path traversal e RCE no Apache HTTP Server 2.4.49 (web-vuln) para obter acesso root.

Arquitetura do Laboratório

O laboratório consiste em 10 contêineres no total:

• Atacante (172.28.0.100): Um ambiente semelhante ao Kali com scripts de exploit pré-configurados.
• Hosts Alvo:
  • web-struts (172.28.0.11): Apache Struts 2.3.28 (Vulnerável ao S2-045).
  • web-vuln (172.28.0.10): Apache httpd 2.4.49 (Vulnerável a path traversal/RCE).
  • db-mysql (172.28.0.12): Banco de dados de suporte.
  • ssh-server (172.28.0.13): Alvo de ponto de apoio legado.
  • ftp-server, smb-server, dns-server: Serviços de infraestrutura para realismo.
• IDS Sidecars:
  • ids-suricata-struts: Monitora o namespace de rede do web-struts.
  • ids-suricata-web: Monitora o namespace de rede do web-vuln.

Primeiros Passos

Pré-requisitos

• Docker e Docker Compose v2.
• Shell compatível com Bash.

Configuração

Execute o script de configuração para construir e iniciar o ambiente:

./scripts/setup.sh

Isso irá inicializar a rede, baixar/construir as imagens e iniciar todos os 10 contêineres.

Uso

O laboratório fornece um script despachante para acionar diferentes fases do ataque.

Executar Cadeia de Ataque Completa

./scripts/attack.sh full

Executar Fases Específicas

• Apenas Reconhecimento: ./scripts/attack.sh recon
• Ponto de Apoio Struts: ./scripts/attack.sh struts-foothold
• Pivô Struts para Web: ./scripts/attack.sh struts-pivot
• Exploit Direto (Sem Pivô): ./scripts/attack.sh direct

Comandos Personalizados

Você pode passar um comando personalizado para ser executado no alvo final:

./scripts/attack.sh full "whoami; cat /etc/os-release"

Monitoramento de Alertas

Os alertas são gravados em arquivos eve.json individuais para cada instância IDS:

• ./alerts/web-struts/eve.json
• ./alerts/web-vuln/eve.json

Você pode acompanhar ambos os feeds em tempo real usando:

./scripts/tail-alerts.sh

Limpeza

Para parar e remover todos os componentes do laboratório:

./scripts/teardown.sh