Advent of Cyber día 3

La gracia está en reconstruir el ataque desde sus rastros y después contrastarlo con el escenario. Cambiar filtros sin una pregunta concreta puede dejarnos mirando un dashboard precioso y completamente inútil. (ㆆ_ㆆ)

Contexto histórico: recorrido de Advent of Cyber 2024. Las capturas y respuestas corresponden al ejercicio original.

Advent of Cyber día 2

Objetivos:

• Seguir revisando logs
• Utilización de ELK
• Aprender sobre Remote Code Execution y como este funciona a través de subir archivos de forma insegura

Herramientas:

• ELK
• Blue Team

---

Comienzo

ELK, o ElasticSearch, LogStash y Kibana, es un stack de agregación de logs que combina análisis de datos y herramientas de procesamiento para analizar logs. Su utilidad radica en poder leer logs desde múltiples fuentes en un lugar centralizado.

Kibana es la interfaz de exploración y visualización. KQL (Kibana Query Language) es uno de sus lenguajes de consulta; no hay que confundir la aplicación con el lenguaje. Algunas vistas permiten sintaxis Lucene. Elastic: KQL.

Vamos a analizar un ataque a un sistema de hotel y luego recrear el ataque.

Iniciaremos el trabajo como blue team.

---

Blue team

Escenario: Los sistemas alertaron al equipo SOC a un shell siendo subido a la plataforma de reservas WareVille Rails el primero de octubre del 2024. Debemos analizar como es que el atacante logró esto.

Iniciamos la attackbox y la VM. En nuestra attackbox, nos dirigimos a la URL que nos propociona el desafío y nos vamos a Discover como en el día 2. Desde ahí nos dirigimos hacia la colección "wareville-rails" Cambiamos la fecha para seleccionar los logs de Octubre 1 00:00 hasta Octubre 2 00:00. Aplicamos filtros para acotar nuestra búsqueda: IPs de cliente no relevantes para la pregunta actual; si excluimos respuestas 404, recordar que también pueden contener reconocimiento útil. El filtro no demuestra que todo lo excluido sea benigno

De esta forma podemos trabajar con actividad que podría ser sospechosa. Durante la revisión de cada log nos encontramos con que se hizo una petición y acceso de un archivo "shell.php".

Aquí podemos acotar la búsqueda buscando todos los logs que contengan shell.php. Con la barra de búsqueda superior, escribimos message: "shell.php".

---

Red Team

Aparentemente hay una vulnerabilidad donde alguien subió un archivo creando un web-shell para realizar RCE (Remote code execution). Ahora haremos un ataque Web-Shell y RCE en la página de frostypines.

Lo primero será evaluar los logs de frostypines, con fecha Octubre 3. Nos vamos directamente con el query message: "shell.php"

---

Preguntas

Blue:

• Dónde se subió el web shell?
  • Revisar desde dónde se obtiene el GET
• Cuál es la dirección IP que accedió al shell?
  • Acotar logs que entreguen la información junto a shell Red:
• Cuál es el contenido del archivo flag.txt?
  • Debemos conectarnos a la página http://frostypines.thm/ del desafío, irnos a reservas
  • Con las credenciales otorgadas (admin@frostypines.thm y admin) accedemos
  • Vamos a agregar una nueva habitación
  • Cargamos un script webshell y lo guardamos
  • Vamos hacia la url de la nueva "habitación" creada y tenemos para ejecutar comandos
  • De ahí sólo toca buscar flag.txt :)

Con esto hemos resuelto el día 3

Procedemos al día 4

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: f1b75f73b41c          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+