CVE-2024-4577-LetsDefend-walkthrough

Разбор реагирования на инцидент: Смягчение последствий атаки нулевого дня (CVE-2024-4577)

[Разбор LetsDefend] PHP-CGI (CVE-2024–4577)

Сценарий: Наша система обнаружения вторжений (IDS) и система предотвращения вторжений (IPS) выявили потенциальную атаку на критический компонент системы в 12:05 UTC. В этом разборе подробно описывается процесс расследования для подтверждения попытки эксплуатации и понимания действий злоумышленника.

Расследование:

1. Понимание уязвимости (CVE-2024-4577):

   • Предоставленные ресурсы дали ценную информацию об уязвимости и потенциальных методах эксплуатации.

2. Определение уязвимой версии PHP:

   • Были использованы два метода:
     • Анализ news.txt на предмет истории обновлений PHP.
     • Непосредственный запуск php.exe -v для определения версии.
   • Уязвимая версия: 8.2.19

3. Проверка конфигурации PHP-CGI:

   • Проанализирован httpd.conf для подтверждения директивы, обеспечивающей возможность эксплуатации через php-cgi.exe.

4. Определение IP-адреса злоумышленника:

   • Изучен access.log в каталоге журналов Apache.
   • IP злоумышленника: 192.168.110.1

5. Целевая страница:

   • Хотя приложение в основном использует upload.php, злоумышленник мог использовать index.html для тестирования.
   • Целевая страница: (вероятно, upload.php)

6. Версия Apache:

   • Проверен error.log для определения версии Apache.
   • Версия Apache: 2.4.59

7. Анализ выполненных процессов:

   • Первоначальное исследование с помощью PECmd и Timeline Explorer не выявило подозрительной активности.
   • Сопоставление журналов доступа и ошибок выявило успешные попытки атаки.
   • Timeline Explorer определил следующие процессы, выполненные после успешной эксплуатации:
     • whoami.exe
     • calc.exe

Идентификация эксплойта: Злоумышленник использовал уязвимость нулевого дня (CVE-2024-4577).

Результаты обучения:

• Это задание дало практический опыт:
  • Исследования уязвимостей нулевого дня (CVE-2024-4577)
  • Определения уязвимых версий программного обеспечения
  • Анализа методов эксплуатации
  • Использования Prefetch для потенциального обнаружения команд

Примечание: В этом разборе опущены конкретные детали, такие как уязвимая версия, IP злоумышленника и целевая страница, чтобы не предоставлять инструкции для злоумышленников.

Получен значок Cve 2024 4577 Php Cgi Кибербезопасность Lets Defend Letsdefendio

Автор: ph1n3y