cert (10) 썸네일형 리스트형 Nagios 대상 SQL Injection - (2) 취약한 대상 서버를 구할수 있어 다운 후 실행해봤습니다. .ova 파일 확장자로 vmware에 임포트만 하면 바로 실행 가능했습니다. 아래는 명령어를 입력해서 위에 부분이 조금 잘리기는 했지만 초기 실행 화면입니다. 보시다시피 default 계정정보가 포함되어있습니다. root / nagiosxi로 확인되네요. 우선 취약한 버젼을 구함으로 테스트가 가능할 것 같네요. 일단 exploit 코드를 확인해보겠습니다. exploit 을 실행하면 check 함수부터 실행하네요 /nagiosxi/ 경로를 요청하여 대상 서버인지 확인한뒤 버젼 체크를 하는 것 같네요. 위의 대상이 취약한 버젼이라고 합니다. 그 뒤 dbuser 를 root , nagiosxi 으로 설정하네요. root 권한으로 부족했던 권한으로 실행하.. Nagios 대상 SQL Injection - (1) 업무중 아래와 같은 SQL Injection이 발생하였습니다. POST /nagiosql/admin/helpedit.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Encoding: gzip,deflate Content-Length: 144 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.61 Safari/537.36 Host: 생략 Connection: Ke.. eval-stdin.php Remote Code Execution rTorrent 에서의 흥미로운 공격이 확인되어 해당 공격을 확인해보려했으나,,, 조사를 위해선 좀더 준비가 필요할 것 같아 오늘 확인되었던 eval-stdin.php 원격코드 실행 취약점에 대해 확인해보고자 합니다 우선 공격로그는 아래와 같았습니다. POST /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php HTTP/1.1 Host : x.x.x.x:80 User-Agent: Mozilla/5.0 ~~ Content-Length:14 Accept: */* Accept-Language: en-US,en;q=0.5 Content-Type: application/x-www-form-urlencoded Accept-Encoding:gzip 해당 취약점 확인을 위해 요.. dotenv Scan Vulnerability(.env)- (1) 한 사이트로 .env 스캔성 이벤트가 다수로 확인되었습니다. IP 평판조회시 다수의 스캔성 이력들이 대부분 확인되었으나, 구글이나, MSFT, 아마존등의 IP로 확인되는 IP도 많아 명확한 공격성이 있는 것인지 알아볼 필요가 있을 것 같습니다. .env 파일이 어떤것인지 먼저 알아볼 필요가 있을것 같네요. 우선 이파일은 리눅스에서의 어떤 한 패키지에서 참조하는 파일이라고 하네요. 바로 dotenv입니다. 개발단계에서 다른 회사의 AWS 주소나, 사용하는 API 키값등을 저장할 필요가 있으나, 코드에 해당 정보들이 바로 기입된다면 코드가 노출되었을 때 보안상 취약하므로 해당 값들을 .env 파일에 저장후 불러오는 식으로 사용한다고 합니다. 해서 dotenv 는 코딩에 사용시에 .env 파일에서의 저장되어있.. jenkins login 페이지 스캔 어느 사이트에서의 /jenkins/login 스캔 공격이 확인되었습니다. 요청 패킷은 별다른 내용은 없었구요 단순 GET /jenkins/login 접근이었습니다. 너무 빈번하게 들어오는 것 같아 서치해보기로 했습니다. jenkins가 무엇일까요.. 서치해보았습니다. 소프트웨어 개발할때 쓰는 툴이라고 하네요.. 코드를 통합관리할때 쓰는것 같은데 git이랑 비슷한것같네요.. 졸업작품할때 git으로 팀원들과 같이 작업하다가 한명이 코드를 모르고 날려서 ... 사용이 익숙하지 않아 복구가 힘들었던 기억이 납니다 ㅎㅎ.. 아마 그렇게 통합해서 여러 개발자가 코드를 같이 공유할 수 있도록 하는것 같아요. 하여 jenkins 툴을 이용하여 개발한 사이트에 기본 로그인 경로를 사용하는 페이지를 스캔하는 것으로 추정됩.. Mozi Botnet 에서의 Command Injection Attack - (4) 저번에 확인하지 못했던 execute_cmdstager 메소드에 대해 확인해봅시다. ruby에서 사용중인 라이브러리 함수들을 확인하기 위한 사이트가 있더군요. 코드는 안나와있네요. git에 있는지 봐봅시다. 있네요. 우선 해당 라이브러리 함수를 사용하기 위해선 아래처럼 라이브러리를 include 시켜야 한다고 합니다. 사용되는 인자값은 아래와 같다고 합니다. flavor - 사용할 명령을 지정.(:bourne, :debug_asm, :debug_write, :echo, :printf, :vbs, :certutil, :tftp, :wget 등 다양함. 각 flavor 값마다 페이로드의 실행방식이 달라짐./ 각 인자별로의 동작과정은 git에서 보시는게 편하실듯 합니다. 저는 wget 만 확인하겠습니다.) l.. Mozi Botnet 에서의 Command Injection Attack - (3) 저번 포스팅에 있었던 핸들러 문제를 해결해 봅시다.. 위와 같은 메시지가 출력되며 아무런 패킷을 발생시키지 않았습니다. 현재 핸들러에서 reverse_tcp 페이로드를 사용중이었으나, exploit 코드 확인시 default 는 bind_tcp를 사용하는 것으로 확인되어 기본설정값으로 설정해보았습니다. 추가로 혹시나 exploit시 설정된 payload값이 실행되어, Multi Handler에서 설정된 페이로드와 중복되어 실행이 안되는것인가 싶어 Multi Handler를 꺼보았습니다. 또한 exploit 시에 HTTP Request를 보냈을때의 Response를 보내줄 웹서버를 구동시켰습니다. winxp에서는 지원되는 APM이 없어서... CentOS(192.168.142.133)를 새로 깔았습니다. .. Mozi Botnet 에서의 Command Injection Attack - (2) 저번 포스팅에서 확인됐던 Mozi 감염피씨에서의 공격 기능들을 각각 분석해봅시다. 1) Eir D1000 Wireless Router RCI 해당 취약점을 exploit DB 사이트에서 찾아보니 CVE 넘버는 없고, Exploit DB 사이트에서의 ID 만 갖고있네요. 해당 ID로 kali 에서 exploit이 있는지 확인해보겠습니다. 있네요. 공격에 사용할 인자값을 확인해보겠습니다. Required에 Yes로 들어가 있는값을 채워주면 되는데, RHOSTS, RPORT, SRVHOST, SRVPORT 가 있네요. 그중에 RPORT, SRVHOST, SRVPORT세개는 exploit 개발자가 기본값으로 만들어 놓은 값들이 들어가 있기 때문에 따로 수정은 하지 않겠습니다. 수정해줘야할 RHOSTS를 공격대상.. 이전 1 2 다음
