搭建一个Drupal Core RCE（CVE-2019–6340 ）漏洞的蜜罐

2024-03-06 06:48
文章标签 漏洞 搭建 core 2019 cve rce 蜜罐 drupal 6340

本文主要是介绍搭建一个Drupal Core RCE（CVE-2019–6340 ）漏洞的蜜罐，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

不久前，我开始了一个管理真实网络蜜罐的项目。最初我建立它是为了管理一些WordPress蜜罐，但在Drupalgeddon2出来后，使我不得不重新构建该项目。这意味着我需要相当长的一段时间才能最终发布它。现在，我终于能够分享我的努力成果了：https://gitlab.com/SecurityBender/webhoneypot-framework。

Webhoneypot框架是使用Python 3编写的，需要docker和docker-compose才能运行。你可以使用JSON和相应的docker-compose文件来配置蜜罐。docker-compose文件描述了用于蜜罐的容器及其设置，而JSON文件则用于配置框架如何检测攻击并获取蜜罐的快照。

JSON配置的基本结构如下所示：中国菜刀

{"docker_compose_file": "./docker-compose.yml","pre_start": "...","post_start": "...","snapshot_path": "./snapshots","snapshots": [...],"detections": [...]
}

docker_compose_file的选项非常简单。使用选项pre_start和post_start，用户可以在启动蜜罐后分别在启动前执行脚本。我通常使用它来调整Web根目录的文件权限和文件所有权。

该框架的主要功能是在检测到攻击后创建蜜罐的快照。目前，可以创建目录或MySQL数据库的快照。

要获取MySQL快照，应在快照下添加mysql_snapshot选项。这将会创建一个标准MySQL容器的MySQL转储（https://hub.docker.com/_/mysql）：

{"type": "mysql_snapshot","mysql_container_name": "webhoneypot_mysql_1","mysql_user": "root","mysql_password": "Password123!","mysql_restore_path": "./mysql/config"
}

来自docker库的MySQL容器，允许通过将文件放入容器的/docker-entrypoint-initdb.d文件夹来恢复数据库转储。因此mysql_restore_path选项应指向该目录的挂载点。

另一个选项是使用folder_snapshot来创建目录快照：

{"type": "folder_snapshot","folder_path": "./apache/html"
},

这将创建指定文件夹的ZIP存档，并将其放在已配置的快照文件夹中。

为了检测攻击，webhoneypot框架目前仅支持folder_changed和file_contains。

检测方法folder_changed可以检测与初始快照相比的任意文件更改：奇热影视

{"type": "folder_changed","folder_path": "./apache/html","ignore_files": ["folder_to_ignore/"]
}

folder_path选项必须与folder_snapshot块中指定的选项匹配。为了减少干扰，可以忽略某些文件或文件夹。

第二个检测方法file_contains检测指定的文件是否包含特定的字符串或正则表达式：

{"type": "file_contains","file_path": "./nginx/logs/access.log","pattern": "pattern to search"
}

要运行该脚本，只需克隆存储库并运行webhoneypot.py：

$ git clone https://gitlab.com/SecurityBender/webhoneypot-framework.git && cd webhoneypot-framework
$ ./webhoneypot.py -h                                                                                             
usage: webhoneypot.py [-h] -c CONFIG option
Management script for docker-based web application honeypots
positional arguments:option                the honeypot option, can be[start|stop|init|update|reset]
optional arguments:-h, --help            show this help message and exit-c CONFIG, --config CONFIGthe honeypot configuration file

该脚本主要支持以下五个选项：

  • start：启动honeypot容器
  • 停止：停止蜜罐容器
  • init：初始化蜜罐（例如，第一次设置）并创建初始快照
  • 更新：更新蜜罐并创建新的初始快照
  • reset：快照蜜罐，检测更改并恢复初始快照

在野捕获 CVE-2019-6340

有了以上的基础，现在我们可以构建和配置Drupal蜜罐来尝试在野捕获CVE-2019-6340。CVE-2019-6340是Drupal core 中的RCE漏洞，它允许攻击者在主机系统上执行任意命令。

配置蜜罐

我已经为构建Drupalgeddon2蜜罐做了一个配置。你可以在GitLab上找到它。让我们克隆它并为CVE-2019-6340做准备。

$ git clone https://gitlab.com/SecurityBender/webhoneypot-drupal.git
$ cd webhoneypot-drupal

在目录中我们有多个目录和文件：

webhoneypot-drupal/
├── apache/
│   └── Dockerfile
├── nginx/
│   ├── config/
│   │   └── default.conf
│   └── Dockerfile
├── docker-compose.yml
├── drupal.json
└── drupal.sh

apache和nginx目录分别包含Apache和nginx容器的数据和配置文件。其中最重要的文件是docker-compose.yml和drupal.json。

docker-compose.yml包含了启动必要容器的所有信息：

version: '2'services:apache:build: apache/volumes:- ./apache/html:/var/www/html- ./apache/tmp:/tmpnetworks:- webhoneypotnginx:build: nginx/volumes:- ./nginx/config/default.conf:/etc/nginx/conf.d/default.conf:ro- ./nginx/logs:/var/log/nginxports:- "80:80"networks:- webhoneypotdepends_on:- apachenetworks:webhoneypot:driver: bridge

在此设置中，我们有一个Apache容器，它托管并运行Drupal和一个用作反向代理的nginx。我们将html和tmp目录挂载到Apache容器，以便从主机访问它们，并让我们拍摄快照以及恢复它们。出于同样的目的，我们还将日志目录挂载到了nginx容器。

主要配置在drupal.json中完成：

{"docker_compose_file": "./docker-compose.yml","pre_start": "","post_start": "./drupal.sh","snapshot_path": "./snapshots","snapshots": [{"type": "folder_snapshot","folder_path": "./apache/html"},{"type": "folder_snapshot","folder_path": "./apache/tmp"},{"type": "folder_snapshot","folder_path": "./nginx/logs"}],"detections": [{"type": "folder_changed","folder_path": "./apache/html","ignore_files": ["sites/default/files/php/twig/"]},{"type": "folder_changed","folder_path": "./apache/tmp","ignore_files": []},{"type": "file_contains","file_path": "./nginx/logs/access.log","pattern": "node/1\\?_format=hal_json"}]
}

首先，我们使用docker_compose_file指定用于通过docker-compose创建，启动和停止docker容器的文件。每次启动容器后，都会执行drupal.sh来调整./apache/html（Web根目录）目录的所有者和权限，并清除nginx访问日志。此外，我们将蜜罐配置为在每次重置后拍摄./apache/html，./apache/tmp和./nginx/logs目录的快照。我注意到很多drupalgeddon2都利用了/tmp中的drop文件，所以我添加了它。

最关键的是检测部分。你可能会看到我们想要检测./apache/html和./apache/tmp目录中的更改。检测到与初始快照不同的所有文件。因为Drupal将一些生成的文件存储在sites/default/files/php/twig/中，所以我们忽略对该目录的任何更改。检测的另一个选项是检查文件是否包含特定的正则表达式。在这种情况下，我们监控nginx访问日志中的典型的CVE-2019-6340 url。

运行蜜罐

配置蜜罐完成后，我们来获取易受攻击的Drupal版本（例如8.6.9），并将其解压缩到./apache/html目录中：

$ wget -q https://ftp.drupal.org/files/projects/drupal-8.6.9.zip
$ unzip drupal-8.6.9.zip -d ./apache/
$ mv ./apache/drupal-8.6.9 ./apache/html

现在让我们克隆Webhoneypot框架，并初始化Drupal蜜罐。使用./webhoneypot.py -c ../webhoneypot-drupal/drupal.json init初始化脚本，将启动并构建所需的容器。

$ ./webhoneypot.py -c ../webhoneypot-drupal/drupal.json init
2019-04-07 15:11:50,455 - DEBUG - Starting docker compose /opt/webhoneypot-drupal/docker-compose.yml ...
Creating network "webhoneypot-drupal_webhoneypot" with driver "bridge"
Building apache
[...]
Building nginx
[...]
Creating webhoneypot-drupal_apache_1 ... done
Creating webhoneypot-drupal_nginx_1  ... done
Press any key if honeypot setup is finished

初始启动成功，我们可以通过公共IP地址访问Drupal实例。配置（启用RESTful服务等） – 比我想象的更难 – 完成后我们按ENTER键，脚本将开始创建蜜罐的初始快照。

2019-04-07 15:23:17,604 - DEBUG - Creating snapshot "initial" ...
2019-04-07 15:23:17,621 - DEBUG - Create folder backup of "/opt/webhoneypot-drupal/apache/html" to "/opt/webhoneypot-drupal/snapshots/initial/_opt_webhoneypot-drupal_apache_html.zip" ...
2019-04-07 15:23:48,775 - DEBUG - Create folder backup of "/opt/webhoneypot-drupal/apache/tmp" to "/opt/webhoneypot-drupal/snapshots/initial/_opt_webhoneypot-drupal_apache_tmp.zip" ...
2019-04-07 15:23:48,787 - DEBUG - Create folder backup of "/opt/webhoneypot-drupal/nginx/logs" to "/opt/webhoneypot-drupal/snapshots/initial/_opt_webhoneypot-drupal_nginx_logs.zip" ...

测试蜜罐

一切运行良好，现在让我们来对它进行测试。我从@leonjza获取到了一个POC并运行了它：

$ python3 poc.py http://<my-ip>/ "id"     
CVE-2019-6340 Drupal 8 REST Services Unauthenticated RCE PoCby @leonjza
References:https://www.drupal.org/sa-core-2019-003https://www.ambionics.io/blog/drupal8-rce[warning] Caching heavily affects reliability of this exploit.
Nodes are used as they are discovered, but once they are done,
you will have to wait for cache expiry.
Targeting http://37.120.165.218/...
[+] Finding a usable node id...
[x] Node enum found a cached article at: 1, skipping
[+] Using node_id 2
[+] Target appears to be vulnerable!
uid=33(www-data) gid=33(www-data) groups=33(www-data)

POC成功被执行。现在让我们看看我们的检测是否正常：

$ ./webhoneypot.py -c ../webhoneypot-drupal/drupal.json reset
2019-04-07 17:04:11,767 - DEBUG - Creating snapshot "20190407_170411" ...
[...]
2019-04-07 17:04:48,115 - DEBUG - Stopping docker compose /opt/docker/webhoneypot-drupal/docker-compose.yml ...
Stopping webhoneypot-drupal_nginx_1  ... done
Stopping webhoneypot-drupal_apache_1 ... done
Removing webhoneypot-drupal_nginx_1  ... done
Removing webhoneypot-drupal_apache_1 ... done
Removing network webhoneypot-drupal_webhoneypot
2019-04-07 17:05:08,442 - INFO - Pattern "node/1\?_format=hal_json" detected in file!
2019-04-07 17:05:08,443 - DEBUG - Restoring snapshot "initial" ...
[...]

这就是一个现实世界的Drupal蜜罐，用于检测CVE-2019-6340攻击。

警告

一个被妥协的蜜罐可用于许多其他非法目的（例如加密货币挖矿，发送垃圾邮件，DoS等）。我强烈建议你们设置一个定期的cronjob（每15到30分钟）重置蜜罐。此外，你还可以通过限制容器的CPU时间，或通过主机防火墙来阻止某些传出连接。

这篇关于搭建一个Drupal Core RCE（CVE-2019–6340 ）漏洞的蜜罐的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

原文地址:
本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.chinasem.cn/article/779167。

相关文章

使用DeepSeek搭建个人知识库(在笔记本电脑上)

使用DeepSeek搭建个人知识库(在笔记本电脑上)

《使用DeepSeek搭建个人知识库(在笔记本电脑上)》本文介绍了如何在笔记本电脑上使用DeepSeek和开源工具搭建个人知识库,通过安装DeepSeek和RAGFlow,并使用CherryStudi... 目录部署环境软件清单安装DeepSeek安装Cherry Studio安装RAGFlow设置知识库总
阅读更多...
Linux搭建Mysql主从同步的教程

Linux搭建Mysql主从同步的教程

《Linux搭建Mysql主从同步的教程》：本文主要介绍Linux搭建Mysql主从同步的教程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux搭建mysql主从同步1.启动mysql服务2.修改Mysql主库配置文件/etc/my.cnf3.重启主库my
阅读更多...
国内环境搭建私有知识问答库踩坑记录(ollama+deepseek+ragflow)

国内环境搭建私有知识问答库踩坑记录(ollama+deepseek+ragflow)

《国内环境搭建私有知识问答库踩坑记录(ollama+deepseek+ragflow)》本文给大家利用deepseek模型搭建私有知识问答库的详细步骤和遇到的问题及解决办法,感兴趣的朋友一起看看吧... 目录1. 第1步大家在安装完ollama后，需要到系统环境变量中添加两个变量2. 第3步 “在cmd中
阅读更多...
本地搭建DeepSeek-R1、WebUI的完整过程及访问

本地搭建DeepSeek-R1、WebUI的完整过程及访问

《本地搭建DeepSeek-R1、WebUI的完整过程及访问》：本文主要介绍本地搭建DeepSeek-R1、WebUI的完整过程及访问的相关资料,DeepSeek-R1是一个开源的人工智能平台,主... 目录背景       搭建准备基础概念搭建过程访问对话测试总结背景       最近几年，人工智能技术
阅读更多...
5分钟获取deepseek api并搭建简易问答应用

5分钟获取deepseek api并搭建简易问答应用

《5分钟获取deepseekapi并搭建简易问答应用》本文主要介绍了5分钟获取deepseekapi并搭建简易问答应用,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需... 目录1、获取api2、获取base_url和chat_model3、配置模型参数方法一：终端中临时将加
阅读更多...
SQL注入漏洞扫描之sqlmap详解

SQL注入漏洞扫描之sqlmap详解

《SQL注入漏洞扫描之sqlmap详解》SQLMap是一款自动执行SQL注入的审计工具,支持多种SQL注入技术,包括布尔型盲注、时间型盲注、报错型注入、联合查询注入和堆叠查询注入... 目录what支持类型how---less-1为例1.检测网站是否存在sql注入漏洞的注入点2.列举可用数据库3.列举数据库
阅读更多...
Mycat搭建分库分表方式

Mycat搭建分库分表方式

《Mycat搭建分库分表方式》文章介绍了如何使用分库分表架构来解决单表数据量过大带来的性能和存储容量限制的问题,通过在一对主从复制节点上配置数据源,并使用分片算法将数据分配到不同的数据库表中,可以有效... 目录分库分表解决的问题分库分表架构添加数据验证结果 总结分库分表解决的问题单表数据量过大带来的性能
阅读更多...
Java汇编源码如何查看环境搭建

Java汇编源码如何查看环境搭建

《Java汇编源码如何查看环境搭建》：本文主要介绍如何在IntelliJIDEA开发环境中搭建字节码和汇编环境,以便更好地进行代码调优和JVM学习,首先,介绍了如何配置IntelliJIDEA以方... 目录一、简介二、在IDEA开发环境中搭建汇编环境2.1 在IDEA中搭建字节码查看环境2.1.1 搭建步
阅读更多...
Python基于火山引擎豆包大模型搭建QQ机器人详细教程(2024年最新)

Python基于火山引擎豆包大模型搭建QQ机器人详细教程(2024年最新)

《Python基于火山引擎豆包大模型搭建QQ机器人详细教程(2024年最新)》：本文主要介绍Python基于火山引擎豆包大模型搭建QQ机器人详细的相关资料,包括开通模型、配置APIKEY鉴权和SD... 目录豆包大模型概述开通模型付费安装 SDK 环境配置 API KEY 鉴权Ark 模型接口Prompt
阅读更多...
鸿蒙开发搭建flutter适配的开发环境

鸿蒙开发搭建flutter适配的开发环境

《鸿蒙开发搭建flutter适配的开发环境》文章详细介绍了在Windows系统上如何创建和运行鸿蒙Flutter项目,包括使用flutterdoctor检测环境、创建项目、编译HAP包以及在真机上运... 目录环境搭建创建运行项目打包项目总结环境搭建1.安装 DevEco Studio NEXT IDE
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2