Анализ уязвимостей - ЛАБ W7

Описание

Обзор

Эта лабораторная работа посвящена анализу результатов сетевого сканирования, интерпретации выходных данных Nmap для выявления уязвимых сервисов, определению операционной системы по значениям TTL, а также анализу результатов сканирования Nessus, включая критическую уязвимость Ghostcat.

Вопрос 1: Проанализируйте packet1.pcap и найдите флаг.

Инструкции: Откройте packet1.pcap в Wireshark и проанализируйте захваченные пакеты, чтобы найти флаг.

Шаги:

1. Откройте packet1.pcap в Wireshark
2. Просмотрите TCP-потоки или детали пакетов
3. Ищите скрытые строки или паттерны флага

Вопрос 2: Проанализируйте packet2.pcap и найдите флаг.

Инструкции: Откройте packet2.pcap в Wireshark и проанализируйте захваченные пакеты, чтобы найти флаг.

Шаги:

1. Откройте packet2.pcap в Wireshark
2. Просмотрите TCP-потоки или детали пакетов
3. Ищите скрытые строки или паттерны флага

Флаг: SUCTF2023{EXMACHINAAVA}

Вопрос 3: Интерпретация выходных данных Nmap

Результаты сканирования Nmap

PORT     STATE SERVICE       VERSION
21/tcp   open  ftp           vsftpd 2.3.4
22/tcp   open  ssh           OpenSSH 5.3p1
80/tcp   open  http          Apache 2.2.8
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1

1. Что может сделать злоумышленник с каждым портом?

2. Какие уязвимости, вероятно, присутствуют на основе версий?

• vsftpd 2.3.4: Уязвимость выполнения команд через бэкдор
• Windows 7 SP1: Уязвимость MS17-010 (EternalBlue)
• Apache 2.2.8: HTTP-смуглинг запросов и DoS (CVE-2007-6750)

3. Какая из них представляет наибольший риск и почему?

Порт 21 (FTP) является наиболее опасным. Бэкдор прост в эксплуатации, не требует учётных данных и предоставляет мгновенный доступ к shell.

4. Какой путь атаки можно построить на основе этого?

• Шаг 1: Эксплуатация бэкдора vsftpd на порту 21 для получения начального доступа к shell
• Шаг 2: Повышение привилегий до SYSTEM с помощью ms16-032
• Шаг 3: Извлечение учётных данных или атака на SMB-порт (MS17-010) для закрепления

5. Какие должны быть меры по устранению?

• Удалить/заблокировать FTP, если он не нужен. Немедленно обновить vsftpd
• Обновить или вывести из эксплуатации Windows 7 (EOL). Обновить Apache
• Применить SMB-патчи (KB4012212) или отключить SMBv1

Screenshot - Nmap Analysis

Вопрос 4: Определение ОС (OS Fingerprinting) - TTL

Образец 1

Ответ: Linux OS

Образец 2

Ответ: Windows 7

Образец 3

Ответ: Windows 10/11

Справочная таблица TTL

Screenshot - OS Fingerprinting

Вопрос 5: Анализ файла Nessus

Анализ уязвимости Ghostcat

Загрузите Network_Scan.nessus в Nessus и проанализируйте результаты. Сосредоточьтесь на критических или высоких находках, указанных в анализе с названием "Ghostcat".

Результаты

1. Какой номер порта затронут?

Порт 6667/tcp/icp

2. Какой протокол затронут?

AJP (Apache JServ Protocol) / TCP

3. Какой показатель CVSS у найденной уязвимости?

10.0 (Critical) - Базовый показатель CVSS v3.0

4. Можете ли вы найти эксплойт, связанный с этой уязвимостью?

Да - Публичные эксплойты доступны на:

• Exploit-DB (EDB-49039)
• GitHub

5. Найдите CVE для этой уязвимости.

CVE-2020-1938 (также связана: CVE-2020-1745)

Обзор уязвимости Ghostcat

Сводка

Сводка по устранению

Используемые инструменты

• Wireshark - Анализ пакетов
• Nmap - Сетевое сканирование и определение ОС
• Nessus - Сканирование уязвимостей
• TTL Analysis - Идентификация ОС