LIMB
Всем Hi, с вами Февраль.
Сегодня, я хочу поговорить про активную разведку внутри Fortiweb.
Предисловие.
Когда-то я сделал несколько публикаций. Среди них:
Маленький слив Fortiweb. – https://forum.LIMB.cc/threads/7575/
Раздача Fortiweb. – https://forum.LIMB.cc/threads/7797/
Уважаемый @cybergangster посоветовал мне развить эту тему, так что сегодня вы видите именно её.
Теория.
Для начала разберем: Что такое Fortiweb?
Fortiweb - это межсетевой экран для защиты веб-приложений и API (по-простому WAF) от компании Fortinet.
Fortiweb анализирует HTTP/HTTPS-трафик, отражает атаки из списка OWASP Top 10, защищает от ботов, SQLi, XSS.
Обычно Fortiweb выступает в роли устройства или виртуальной машины, установленной в режиме reverse proxy позади межсетевого экрана (например, FortiGate) и перед веб-серверами, скрывая их реальные IP-адреса.
Обычно Fortiweb ставят организации, чей бизнес критически зависит от доступности веб-сайтов.
Например: Банки, Провайдеры, Гос. Сектор, E-commerce и так далее.
Судя по данным из itprice, цена за Fortiweb может достигать - 302 400$/год, минимальная же цена состовляет - ~581$/год.
Цена Fortiweb зависит от того, какой вариант купила компания (устройство или виртуальную машину).
В shodan выдало больше 5000 результатов, но я думаю все понимают что это только малая часть того, что можно найти.
Изначально я думал, что, получив root-доступ к Fortiweb, можно атаковать только сам сайт, но оказывается, при получении root-контроля над Fortiweb открывается огромное количество векторов атак не только на сайт(ы), который стоит за WAF, но и на всю сеть целиком.
Но чтобы что-то атаковать, нужно понимать, что именно мы атакуем.
Как это сделать?
Практика.
Я буду рассматривать следующий таргет:
Зайдя под root я вижу это:
Отсюда я вижу серийный номер лицензии - FVVM02TM22001297
По начальным символам FVVM02TM, я понимаю, что это FortiWeb-VM02.
Приблизительная цена за FortiWeb-VM02 - 3000$ в год.
Неплохо.
Теперь наведём курсор на Support Contract, и увидим почту:
После этого я вбиваю домен dnbc.gov.co в поисковик, и вижу это:
Direccion Nacional de Bomberos Colombia, или же Национальное управление пожарной охраны Колумбии.
По сути, здесь уже понятно, что именно мы атакуем. Но так бывает не всегда. Например, Edwin может вести свой бизнес и поставить WAF на свой собственный сайт, а не на сайт управления пожарной охраны Колумбии.
Как узнать на все 100%, к чему мы получили доступ?
Для этого нужно открыть консоль (в правом верхнем углу).
После этого мы прочитаем конфигурацию SSL-сертификатов!
Команда:
В довесок мы получили private key и пароль!
Хоть мы и получили сертификат, но для обычного человека это всё просто набор символов.
Введём команду:
Или перейдём на сайт:
https://www.sslshopper.com/certificate-decoder.html
Вставляем туда наш сертификат и получаем результат:
Подтверждаем, что сертификат принадлежит не только dnbc.gov.co, но и всем субдоменам в том числе.
Теперь попробуем посмотреть политики публикации. (правила, по которым FortiWeb принимает входящий трафик снаружи и решает, что с ним делать).
Команда:
Отсюда мы можем увидеть:
имя политики, какой профиль защиты применяется, к какому пулу серверов направляется трафик, а также имя сертификата.
В нашем случае, мы видим:
POL_ORFEO, POL_PAGINA_WEB, POL_RUE.
Самое интересное здесь - POL_ORFEO. Это, скорее всего, известная система электронного документооборота, разработанная в Колумбии и широко используемая госучреждениями.
Давайте попробуем узнать настоящие IP-адреса бэкенд серверов за WAF.
Команда:
Отлично.
Теперь мы увидели настоящие IP адреса.
SP_ORFEO - 10.3.0.5 (внутренняя сеть)
SP_PAGINA_WEB - 20.186.164.242:443
SP_RUE - 130.35.144.64:443
Ну и давайте посмотрим login:pass всех админов.
Команда:
На этом наша разведка могла бы закончится, мы получили достаточно данных и можем производить атаку, но я решил пойти немного дальше.
Мне показалось странным несколько вещей.
1 - количество пользователей которое было когда я зашел в Fortiweb (267).
2 - это большая нагрузка на CPU и 0 активности в логах.
Я решил проверить этот Fortiweb на наличие следов компрометации и ввел команду:
Это покажет нам 10 самых популярных процессов внутри сети.
Обратите внимание на два процесса.
Первый - PID 16208 — /bin/garbage -o standalone
Второй - PID 21030 — /var/log/xxx/templog-YH
Эти 2 процесса скорее всего вредоносные.
По Первому процессу это понятно ведь он забрал 63% всей оперативной памяти устройства и ещё он работает в автономном режиме.
А со вторым интереснее. Вроде как templog это временный лог, но запуск идёт из не стандартного места (все системные службы запускаются из папок /bin/ или /sbin/). А тут /var/log/… Так еще и директория /xxx/.
Вывод: Кто-то явно шалил до меня.
Ну и под конец: когда вы произвели разведку или атаку, не забывайте чистить за собой логи.
Команда:
Заключение.
Для меня это был очень интересный опыт. Хочу сказать сразу: я не сетевик, и в моей статье могут быть неточности. Буду рад любой критике.
Я также добавил файл full-configuration.txt - в нём находится полная конфигурация этого таргета. Кому интересно - изучайте!
И напоследок: если вы вдруг попали в Fortiweb, а в графе Administrators увидели это:
То лучше бросьте этот таргет. До добра оно не доведёт.
Made by February. All rights reserved (c).
Сегодня, я хочу поговорить про активную разведку внутри Fortiweb.
Не удалось прогрузить медиа
Когда-то я сделал несколько публикаций. Среди них:
Маленький слив Fortiweb. – https://forum.LIMB.cc/threads/7575/
Раздача Fortiweb. – https://forum.LIMB.cc/threads/7797/
Уважаемый @cybergangster посоветовал мне развить эту тему, так что сегодня вы видите именно её.
Теория.
Для начала разберем: Что такое Fortiweb?
Fortiweb - это межсетевой экран для защиты веб-приложений и API (по-простому WAF) от компании Fortinet.
Fortiweb анализирует HTTP/HTTPS-трафик, отражает атаки из списка OWASP Top 10, защищает от ботов, SQLi, XSS.
Обычно Fortiweb выступает в роли устройства или виртуальной машины, установленной в режиме reverse proxy позади межсетевого экрана (например, FortiGate) и перед веб-серверами, скрывая их реальные IP-адреса.
Обычно Fortiweb ставят организации, чей бизнес критически зависит от доступности веб-сайтов.
Например: Банки, Провайдеры, Гос. Сектор, E-commerce и так далее.
Судя по данным из itprice, цена за Fortiweb может достигать - 302 400$/год, минимальная же цена состовляет - ~581$/год.
Цена Fortiweb зависит от того, какой вариант купила компания (устройство или виртуальную машину).
В shodan выдало больше 5000 результатов, но я думаю все понимают что это только малая часть того, что можно найти.
Не удалось прогрузить медиа
Изначально я думал, что, получив root-доступ к Fortiweb, можно атаковать только сам сайт, но оказывается, при получении root-контроля над Fortiweb открывается огромное количество векторов атак не только на сайт(ы), который стоит за WAF, но и на всю сеть целиком.
Но чтобы что-то атаковать, нужно понимать, что именно мы атакуем.
Как это сделать?
Практика.
Я буду рассматривать следующий таргет:
Hidden text, you need have 30 messages, now you have 0 posts.
Зайдя под root я вижу это:
Не удалось прогрузить медиа
Отсюда я вижу серийный номер лицензии - FVVM02TM22001297
По начальным символам FVVM02TM, я понимаю, что это FortiWeb-VM02.
Приблизительная цена за FortiWeb-VM02 - 3000$ в год.
Неплохо.
Теперь наведём курсор на Support Contract, и увидим почту:
Не удалось прогрузить медиа
После этого я вбиваю домен dnbc.gov.co в поисковик, и вижу это:
Не удалось прогрузить медиа
Direccion Nacional de Bomberos Colombia, или же Национальное управление пожарной охраны Колумбии.
По сути, здесь уже понятно, что именно мы атакуем. Но так бывает не всегда. Например, Edwin может вести свой бизнес и поставить WAF на свой собственный сайт, а не на сайт управления пожарной охраны Колумбии.
Как узнать на все 100%, к чему мы получили доступ?
Для этого нужно открыть консоль (в правом верхнем углу).
Не удалось прогрузить медиа
После этого мы прочитаем конфигурацию SSL-сертификатов!
Команда:
Code:
show system certificate localНе удалось прогрузить медиа
В довесок мы получили private key и пароль!
Не удалось прогрузить медиа
Хоть мы и получили сертификат, но для обычного человека это всё просто набор символов.
Введём команду:
Code:
openssl x509 -in crt.crt -text -nooutИли перейдём на сайт:
https://www.sslshopper.com/certificate-decoder.html
Вставляем туда наш сертификат и получаем результат:
Не удалось прогрузить медиа
Подтверждаем, что сертификат принадлежит не только dnbc.gov.co, но и всем субдоменам в том числе.
Теперь попробуем посмотреть политики публикации. (правила, по которым FortiWeb принимает входящий трафик снаружи и решает, что с ним делать).
Команда:
Code:
show server-policy policyНе удалось прогрузить медиа
Отсюда мы можем увидеть:
имя политики, какой профиль защиты применяется, к какому пулу серверов направляется трафик, а также имя сертификата.
В нашем случае, мы видим:
POL_ORFEO, POL_PAGINA_WEB, POL_RUE.
Самое интересное здесь - POL_ORFEO. Это, скорее всего, известная система электронного документооборота, разработанная в Колумбии и широко используемая госучреждениями.
Давайте попробуем узнать настоящие IP-адреса бэкенд серверов за WAF.
Команда:
Code:
show server-policy server-poolНе удалось прогрузить медиа
Отлично.
Теперь мы увидели настоящие IP адреса.
SP_ORFEO - 10.3.0.5 (внутренняя сеть)
SP_PAGINA_WEB - 20.186.164.242:443
SP_RUE - 130.35.144.64:443
Ну и давайте посмотрим login:pass всех админов.
Команда:
Code:
show system adminНе удалось прогрузить медиа
На этом наша разведка могла бы закончится, мы получили достаточно данных и можем производить атаку, но я решил пойти немного дальше.
Мне показалось странным несколько вещей.
1 - количество пользователей которое было когда я зашел в Fortiweb (267).
2 - это большая нагрузка на CPU и 0 активности в логах.
Я решил проверить этот Fortiweb на наличие следов компрометации и ввел команду:
Code:
diagnose system top 10Не удалось прогрузить медиа
Обратите внимание на два процесса.
Первый - PID 16208 — /bin/garbage -o standalone
Второй - PID 21030 — /var/log/xxx/templog-YH
Эти 2 процесса скорее всего вредоносные.
По Первому процессу это понятно ведь он забрал 63% всей оперативной памяти устройства и ещё он работает в автономном режиме.
А со вторым интереснее. Вроде как templog это временный лог, но запуск идёт из не стандартного места (все системные службы запускаются из папок /bin/ или /sbin/). А тут /var/log/… Так еще и директория /xxx/.
Вывод: Кто-то явно шалил до меня.
Ну и под конец: когда вы произвели разведку или атаку, не забывайте чистить за собой логи.
Команда:
Code:
execute formatlogdiskЗаключение.
Для меня это был очень интересный опыт. Хочу сказать сразу: я не сетевик, и в моей статье могут быть неточности. Буду рад любой критике.
Я также добавил файл full-configuration.txt - в нём находится полная конфигурация этого таргета. Кому интересно - изучайте!
И напоследок: если вы вдруг попали в Fortiweb, а в графе Administrators увидели это:
Не удалось прогрузить медиа
То лучше бросьте этот таргет. До добра оно не доведёт.
Made by February. All rights reserved (c).
👍62
🔥17
😁9
😢7
💯9