Cisco Network / Linux / 모의 해킹 / 정보 보안

CentOS Linux 설치 - 10. CentOS6 yum error(2021년10월 이후)

김정우 강사 — Thu, 28 Oct 2021 14:06:31 +0900

cat <<-'EOF' > /etc/yum.repos.d/CentOS-Base.repo
[base]
name=CentOS-$releasever - Base
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os&infra=$infra
baseurl=http://linuxsoft.cern.ch/centos-vault/6.6/os/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#released updates
[updates]
name=CentOS-$releasever - Updates
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates&infra=$infra
baseurl=http://linuxsoft.cern.ch/centos-vault/6.6/updates/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras&infra=$infra
baseurl=http://linuxsoft.cern.ch/centos-vault/6.6/extras/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus&infra=$infra
baseurl=http://linuxsoft.cern.ch/centos-vault/6.6/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#contrib - packages by Centos Users
[contrib]
name=CentOS-$releasever - Contrib
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=contrib&infra=$infra
baseurl=http://linuxsoft.cern.ch/centos-vault/6.6/contrib/$basearch/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6
EOF

nessus act

김정우 강사 — Thu, 7 Oct 2021 14:25:41 +0900

https://www.tenable.com/products/nessus/nessus-essentials
https://www.tenable.com/products/nessus/activation-code

PSSH-8LAL-4N26-NT2R-NZXS
D234-C7CB-04AF-79A6-1555
A56D-67DC-3F06-9B49-06E2
7954-92BC-A088-9C82-3736
CF94-E4AD-6479-6111-D6C4
7995-3E5F-73E6-A02B-1333
F30D-7F01-86E5-30D7-96EA
E4BC-45AE-126B-BC3D-31AF
9ABD-A3CB-A007-B053-CB53
604A-6A9A-4FA5-2D41-D000
BE56-EC45-66AF-C709-515C
A8FE-9ADE-572C-FEE3-210C
44FE-D533-5ABF-164B-2AB7
780D-0F3F-6979-7FA5-7EED
8CBD-AB59-F2FA-D781-2231
6EE4-E4D3-DEE4-184D-B5C4
2494-F5FA-5C81-56D4-3964
96A9-F789-075E-E288-7ECE
C3DD-C732-FF67-F78D-7E15
6CE8-FD3C-AEF8-7615-0C67
CDC8-11EC-8883-2C0C-5B1C
0177-D11C-5B69-EB35-9126
9F0F-D6B7-E26B-526F-E014
AE4F-338E-04D6-4D83-9CB0
3707-DDB9-D5A4-6863-956C

username : root
password : toor

- 만약, 다운로드가 실패된 경우

root@kali:~# find / -name nessuscli
/opt/nessus/sbin/nessuscli
root@kali:~#
root@kali:~# cd /opt/nessus/sbin
root@kali:/opt/nessus/sbin# ls
nessus-service nessuscli nessusd

root@kali:/opt/nessus/sbin# ./nessuscli update

root@kali:/opt/nessus/sbin# /bin/systemctl restart nessusd

[참고] ....

DVWA - 10. Remote Code Execution(PHP-CGI) 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 12:02:59 +0900

DVWA - 10. Remote Code Execution(PHP-CGI) 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Using Known Vulnerable Components

- OWASP Top10 A9 - 알려진 취약점이 있는 구성 요소 사용

- 슈퍼유저 권한으로 운영되는 취약한 라이브러리/프레임워크, 기타 SW 모듈로 인한 데이터 유실 및 서버 권한 획득이

가능한 취약점이다.

2. CGI

- CGI : Common Gateway Interface

- 서버가 클라이언트로부터 요청을 수신하면, 이 요청이 어플리케이션에서 처리되어야 할 경우, 서버가 어플리케이션을

실행시키고 이에 대한 응답을 받는 기능을 수행한다.

- Ex) 브라우저가 서버를 경유하여 DB 서버에 질의를 내는 웹페이지를 작성할 때 사용함

3. PHP CGI Remote Code Execution

- PHP가 CGI 기반으로 동작할때 CGI 스크립트가 질의 문자열을 제대로 처리하지 못하여 발생하는 취약점이다.

- PHP CGI 옵션(-s, -d) 취약점을 이용하여 리버스 쉘 획득, 시스템 특정 파일을 획득할 수 있다.

- CVE 2012-1823 취약점 : https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2012-1823

'php' 도움말 확인

root@kim-virtual-machine:/etc/nsm/rules# php -h
Usage: php [options] [-f] <file> [--] [args...]
   php [options] -r <code> [--] [args...]
   php [options] [-B <begin_code>] -R <code> [-E <end_code>] [--] [args...]
   php [options] [-B <begin_code>] -F <file> [-E <end_code>] [--] [args...]
   php [options] -S <addr>:<port> [-t docroot]
   php [options] -- [args...]
   php [options] -a

-a               Run interactively
-c <path>|<file> Look for php.ini file in this directory
-n               No php.ini file will be used   // php.ini 파일을 사용하지 않음
-d foo[=bar]     Define INI entry foo with value 'bar'   // php.ini에 정의된 설정 내용을 임의로 설정함
-e               Generate extended information for debugger/profiler
-f <file>        Parse and execute <file>.
-h               This help
-i               PHP information
-l               Syntax check only (lint)
-m               Show compiled in modules
-r <code>        Run PHP <code> without using script tags <?..?>
-B <begin_code> Run PHP <begin_code> before processing input lines
-R <code>        Run PHP <code> for every input line
-F <file>        Parse and execute <file> for every input line
-E <end_code>    Run PHP <end_code> after processing all input lines
-H               Hide any passed arguments from external tools.
-S <addr>:<port> Run with built-in web server.
-t <docroot>     Specify document root <docroot> for built-in web server.
-s               Output HTML syntax highlighted source.   // 소스코드를 클라이언트 브라우저에서 확인 가능
-v               Version number
-w               Output source with stripped comments and whitespace.
-z <file>        Load Zend extension <file>.

args... Arguments passed to script. Use -- args when first argument
starts with - or script is read from stdin

--ini Show configuration file names

--rf <name>      Show information about function <name>.
--rc <name>      Show information about class <name>.
--re <name>      Show information about extension <name>.
--rz <name>      Show information about Zend extension <name>.
--ri <name>      Show configuration for extension <name>.

[참고] php-cgi 취약점 테스트 명령어

allow_url_fopen=1 외부의 URL로부터 파일을 읽어옴
allow_url_include= 1 외부의 파일을 incoud, includ_once, require, require_once와 같은 파일로 include 허용함
auto_prepend_file=php://input HTTP Request Body로부터 데이터를 갖고와 실행함

4. Remote Code Execution(PHP-CGI) 공격 패턴 분석

10-0. Remote Code Execution(PHP-CGI).log

10-1. Remote Code Execution(PHP-CGI) 공격 패턴.txt

5. Snort 룰 설정

10-2. Remote Code Execution(PHP-CGI) 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 10. Remote Code Execution(PHP-CGI)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"10. Remote Code Execution(PHP-CGI) AUTO PREPEND FILE"; flow:established,to_server; content:"auto_prepend_file"; http_uri; fast_pattern:only;

pcre:"/\bauto_prepend_file\s*?=/U"; sid:3000101; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"10. Remote Code Execution(PHP-CGI) ALLOW URL INCLUDE"; flow:established,to_server; content:"allow_url_include"; http_uri; fast_pattern:only;

pcre:"/\ballow_url_include\s*?=/U"; sid:3000102; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"10. Remote Code Execution(PHP-CGI) PHP"; flow:established,to_server; content:"?"; http_uri; content:"-"; fast_pattern:only; http_uri; content:!"=";

http_raw_uri; pcre:"/(?:\/(?:php)?|\.php)\?[\s\+]*\-[A-Za-z]/U"; sid:3000103; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"10. Remote Code Execution(PHP-CGI) Remote File Inclusion"; flow:established,to_server; content:".php?"; http_uri; content:"=php|3a|//"; http_uri;

sid:3000104; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"10. Remote Code Execution(PHP-CGI) POST"; flow:established,to_server; content:"POST"; http_method; content:"php|3a 2f 2f|input"; http_raw_uri;

content:"<?"; http_client_body; sid:3000105; rev:1;)

:wq!

인코딩 내용

문자열	ASCII 16진수
:	3a
/	2f

pcre 내용

pcre	내용
\bauto_prepend_file\s*?=	auto_prepend_file = auto_prepend_file =
\b	경계 문자, 단어 시작
\bauto_prepend_file	auto_prepend_file로 시작
\s	화이트스페이스 (공백, Tab)
*?	게으른 수량자
=	=

pcre 내용

pcre	내용
\ballow_url_include\s*?=	allow_url_include = allow_url_include =
\b	경계 문자, 단어 시작
\ballow_url_include	auto_prepend_file로 시작
\s	화이트스페이스 (공백, Tab)
*?	게으른 수량자
=	=

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'Remote Code Execution(PHP-CGI)' 취약점 진단 실시

dvwa 우클릭 -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 10. Remote Code Execution(PHP-CGI) 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/nQbEy4HVMsE

DVWA - 09. Source Code Disclosure(PHP-CGI) 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 12:02:13 +0900

DVWA - 09. Source Code Disclosure(PHP-CGI) 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Using Known Vulnerable Components

- OWASP Top10 A9 - 알려진 취약점이 있는 구성 요소 사용

- 슈퍼유저 권한으로 운영되는 취약한 라이브러리/프레임워크, 기타 SW 모듈로 인한 데이터 유실 및 서버 권한 획득이

가능한 취약점이다.

2. CGI

- CGI : Common Gateway Interface

- 서버가 클라이언트로부터 요청을 수신하면, 이 요청이 어플리케이션에서 처리되어야 할 경우, 서버가 어플리케이션을

실행시키고 이에 대한 응답을 받는 기능을 수행한다.

- Ex) 브라우저가 서버를 경유하여 DB 서버에 질의를 내는 웹페이지를 작성할 때 사용함

3. PHP CGI Remote Code Execution

- PHP가 CGI 기반으로 동작할때 CGI 스크립트가 질의 문자열을 제대로 처리하지 못하여 발생하는 취약점이다.

- CVE 2012-1823 취약점 : https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2012-1823

'php' 도움말 확인

args... Arguments passed to script. Use -- args when first argument
starts with - or script is read from stdin

--ini Show configuration file names

[참고] php-cgi 취약점 테스트 명령어

4. Source Code Disclosure(PHP-CGI) 공격 패턴 분석

9-0. Source Code Disclosure(PHP-CGI).log

9-1. Source Code Disclosure(PHP-CGI) 공격 패턴.txt

5. Snort 룰 설정

9-2. Source Code Disclosure(PHP-CGI) 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 8. Remote Execution Shellshock
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"9. Source Code Disclosure(PHP-CGI)"; priority:1; flow:established,to_server; content:"?"; http_uri; content:"-"; fast_pattern; http_uri; content:!"="; http_raw_uri; pcre:"/(?:\/(?:php)?|\.php)\?[\s\+]*\-[A-Za-z]/Ui"; sid:3000091; rev:1;)

:wq!

pcre 내용-1

pcre

내용

(?:\/(?:php)?|\.php)\?[\s\+]*\-[A-Za-z]

/?-s

/? -s

/php?-s

/php? -s

.php?-s

.php? -s

pcre 내용-2

pcre	내용
(?:\/(?:php)?\|\.php)	/	/php	.php
?:	\|(OR)이 있기 때문에 그룹화 안에 있는거 중에 하나만 있어도 매칭함
/(?:php)?	/만 있거나, /php만 있거나 (?:는 없어도 됨)
\|	OR
\.php	.php

pcre 내용-3

pcre	내용
\?[\s\+]*\-[A-Za-z]	?-s	? -s	? -s
\?	?
\s	공백
\+	공백
[\s\+]*	공백이 0번 이상 반복
\-	-
[A-Za-z]	A~Z, a~z 중 한글자

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'Source Code Disclosure(PHP-CGI)' 취약점 진단 실시

dvwa 우클릭 -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 09. Source Code Disclosure(PHP-CGI) 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/7RQSZEPzQ4s

DVWA - 08. Remote Execution Shellshock 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 12:01:55 +0900

DVWA - 08. Remote Execution Shellshock 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Using Known Vulnerable Components

- OWASP Top10 A9 - 알려진 취약점이 있는 구성 요소 사용

- 슈퍼유저 권한으로 운영되는 취약한 라이브러리/프레임워크, 기타 SW 모듈로 인한 데이터 유실 및 서버 권한 획득이

가능한 취약점이다.

2. Shellshock Vulnerability(CGI)

- Bash Shell : 사용자가 CLI 기반에서 명령어를 입력하면 운영체제가 이에 대응하는 동작하게 하는 명령어 해석기이다.

- Bash Shell Bug : Bash로 해당 명령을 실행했을때, 그에 대응하는 결과 뿐만 아니라, 다른 결과까지 실행되는 버그이다.

- Bash Shell Bug 관련 기사

http://www.edaily.co.kr/news/NewsRead.edy?SCD=JE41&newsid=01387446606224712&DCD=A00504&OutLnkChk=Y

http://www.ddaily.co.kr/news/article.html?no=122932

- exploit-db 사이트(https://www.exploit-db.com/)를 이용하여 Bash Shell Bug 관련된 내용을 찾아보도록 한다.

바로가기 : https://www.exploit-db.com/exploits/34765

Exploit Database Note:
The following is an excerpt from: https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/

Like “real” programming languages, Bash has functions, though in a somewhat limited implementation, and it is possible to put these bash functions into environment variables. This flaw is triggered when extra code is added to the end of these function definitions (inside the enivronment variable). Something like:

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test

The patch used to fix this flaw, ensures that no code is allowed after the end of a bash function. So if you run the above example with the patched version of bash, you should get an output similar to:

$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

env x='() { :;}; 명령어는 함수를 이용한 환경변수 설정의 기본 형식이다. 만약, 명령어 끝나는 ; 뒤에 명령어는 오류가 발생하거나, 실행되지 않는게 원칙이다. 취약점이 있는 경우에는 echo vulnerable의 환경 변수를 이용하여 "echo this is a test" 를 실행하게 된다. 이때 { :;}; 에서 ':'는 참을 의미하기 때문에 무조건 함수가 실행된다.

다음과 같이 테스트를 실시한다.

root@kim-virtual-machine:/home/kim# env x='() { :;}; echo cisco' bash -c "echo this is a test"
cisco
this is a test

root@kim-virtual-machine:/home/kim# env x='() { :;}; cat /etc/passwd' bash -c "echo this is a test"
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync

~ 중간 생략 ~

- 함수 선언 뒤에 임의의 명령어를 삽입했을 경우, 유효성 검증 단계 없이 명령어를 실행한다.

- Bash Shell Bug 취약점을 갖고 있는 대표적인 버전은 다음과 같다.

bash-4.2.45-5.el7_0.2
bash-4.1.2-15.el6_5.1
bash-4.1.2-15.el6_5.1.sjis.1
bash-4.1.2-9.el6_2.1
bash-4.1.2-15.el6_4.1
bash-3.2-33.el5.1
bash-3.2-33.el5_11.1.sjis.1
bash-3.2-24.el5_6.1

bash-3.2-32.el5_9.1
bash-3.2-32.el5_9.2
bash-3.0-27.el4.2

- 현재 Bash 버전을 확인한다.

root@kim-virtual-machine:/home/kim# dpkg -l bash
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Installed/Config-f/Unpacked/Failed-cfg/Half-inst/t-aWait/T-pend
|/ Err?=(none)/Hold/Reinst-required/X=both-problems (Status,Err: uppercase=bad)
||/ Name Version Description
+++-==============-==============-============================================
ii bash 3.2-0ubuntu16 The GNU Bourne Again SHell

3. Using Known Vulnerable Components - Shellshock Vulnerability(CGI)

- CGI가 발생하는 필드에 쉘 쇼크 코드를 입력하여 리버스 쉘을 획득하거나 다른 명령을 실행할 수 있다.

4. Remote Execution Shellshock 공격 패턴 분석

8-0. Remote Execution Shellshock.log

8-1. Remote Execution Shellshock 공격 패턴.txt

5. Snort 룰 설정

8-2. Remote Execution Shellshock 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 8. Remote Execution Shellshock
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"8. Remote Execution Shellshock Header"; priority:1; flow:established,to_server; content:"|28 29 20 7b|"; http_header; sid:3000081; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"8. Remote Execution Shellshock URI"; priority:1; flow:established,to_server; content:"|28 29 20 7b|"; http_uri; pcre:"/[=?&\x2f]\s*?\x28\x29\x20\x7b/U"; sid:3000082; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"8. Remote Execution Shellshock"; priority:1; flow:established,to_server; content:"HTTP/1."; pcre:"/^[^\r\n]*?HTTP\/1(?:(?!\r?\n\r?\n)[\x20-\x7e\s]){1,500}\n[\x20-\x7e]{1,100}\x3a[\x20-\x7e]{0,500}\x28\x29\x20\x7b/s"; content:"|28 29 20 7b|"; fast_pattern:only; sid:3000083; rev:1;)

:wq!

인코딩 내용

문자열	ASCII 16진수
(	28
)	29
공백	20
{	7b
\	5c
~	7e
/	2f

pcre 내용

pcre	내용
[=?&\x2f]\s*?\x28\x29\x20\x7b	=() { = () { = () { ?() { ? () { ? () {
[=?&\x2f]	=, ?, &, /
\s	화이트 스페이스(스페이스, Tab)
*?	게으른 수량자
\x28\x29\x20\x7b	() {

pcre 내용-1

pcre

^[^\r\n]*?HTTP\/1(?:(?!\r?\n\r?\n)[\x20-\x7e\s]){1,500}\n[\x20-\x7e]{1,100}\x3a

[\x20-\x7e]{0,500}\x28\x29\x20\x7b

내용

HTTP/1~aaa

aaa: () {

HTTP/1~aaa

aaa: aaa () {

HTTP/1~aaa
aaa:aaa() {

HTTP/1~aaa
aaa:aaa () {

pcre 내용-2

pcre	내용
^[^\r\n]*?HTTP\/1	HTTP/1 aaaHTTP/1 aaa HTTP/1 aaa HTTP/1
^[^\r\n]	문자열 시작이 개행 문자를 제외한 나머지
*?	게으른 수량자
HTTP\/1	HTTP/1

pcre 내용-3

pcre	내용
^[^\r\n]*?HTTP\/1(?:(?!\r?\n\r?\n)[\x20-\x7e\s]){1,500}
HTTP/1~aaa HTTP/1 ~aaa HTTP/1~ aaa HTTP/1 ~ aaa aaaHTTP/1 ~ aaa aaa HTTP/1 ~ aaa aaa HTTP/1 ~ aaa
?:	뒤에 있는 것들'(?!\r?\n\r?\n)[\x20-\x7e\s]'을 그룹화 실시, 이때 ?는 수량자 X
?!	부정 전치탐색, 앞에 'HTTP/1'이 있고, 뒤에 '\r?\n\r?\n'이 없을 경우만 매칭
HTTP\/1(?!\r?\n\r?\n)	즉, HTTP/1 다음에 개행(줄바꿈,엔터)가 없어야 매칭됨
\x20	공백
\x7e	~
\s	화이트 스페이스(스페이스, Tab)
[\x20-\x7e\s]	공백부터 ~ 까지(모든 문자열) 공백orTab
{1,500}	문자 개수가 1개에서 500개 수량자, 앞에 그룹에 적용됨
HTTP\/1(?:(?!\r?\n\r?\n)[\x20-\x7e\s]){1,500}	HTTP/1 뒤에 개행이 없으며, 모든 문자열/공백이 1글자에서 500글자까지 매칭

pcre 내용-4

pcre	내용
\n[\x20-\x7e]{1,100}\x3a	개행(줄바꿈,엔터)가 있으며, 모든 문자열/공백이 1글자에서 100글자까지 매칭하며, 뒤에 : aaa: aaa :
\n	개행 문자, 줄바꿈
[\x20-\x7e]	공백부터 ~ 까지(모든 문자열)
{1,100}	문자 개수가 1개에서 100개까지
\x3a	:

pcre 내용-5

pcre	내용
[\x20-\x7e]{0,500}\x28\x29\x20\x7b	aaa ()공백{ aaa
[\x20-\x7e]	공백부터 ~ 까지(모든 문자열)
{0,500}	문자 개수가 0개에서 500개까지
[\x20-\x7e]{0,500}	모든 문자열/공백이 0글자에서 500글자까지 매칭
\x28\x29\x20\x7b	()공백{

[참고] CRLF

라인피드(LF : Line Feed) : 현재 위치에서 바로 아래로 이동
캐리지리턴(CR: Carriage Return) : 커서의 위치를 앞으로 이동

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'Remote Execution Shellshock' 취약점 진단 실시

vulnerabilities 우클릭 -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 08. Remote Execution Shellshock 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/XHIEarG_voM

DVWA - 07. Directory Browsing 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 12:01:31 +0900

DVWA - 07. Directory Browsing 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Missing Functional Level Access Control

- OWASP Top10 A7 - 기능 수준의 접근 통제 누락
- 접근 통제 및 검증이 서버 설정, 관리 부분에서 제대로 구성되지 않았을때 중요 자원 접근이 가능한 취약점이다.

- Ex) 디렉토리 접근, 파일 접근, 파일 다운로드 및 업로드

2. Restrict Folder Access

- 디렉토리 브라우징 또는 디렉토리 리스팅이라고 하며, 웹 서버의 디렉토리 목록이 노출되어 접근이 가능한 취점이다.

- Linux Apache와 Windows IIS에서 디렉토리 검색 기능이 활성화되어 있는 경우 가능하다.

3. Missing Functional Level Access Control - Restrict Folder Access

- 웹-서버 디렉토리 검색 기능이 활성화 되어 있는 경우, 디렉토리 접근이 가능한 내용이다.

4. Directory Browsing 공격 패턴 분석

7-0. Directory Browsing.log

7-1. Directory Browsing 공격 패턴.txt

5. Snort 룰 설정

7-2. Directory Browsing 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 7. Directory Browsing
alert tcp $HOME_NET any -> $EXTERNAL_NET any (msg:"7. Directory Browsing"; content:"index of /"; nocase; sid:3000071; rev:1;)

:wq!

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'Directory Browsing' 취약점 진단 실시

dvwa 우클릭 -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 07. Directory Browsing 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/jtsJ6ctP0C4

DVWA - 06. Path Traversal 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 12:00:46 +0900

DVWA - 06. Path Traversal 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Missing Functional Level Access Control

- OWASP Top10 A7 - 기능 수준의 접근 통제 누락

- 접근 통제 및 검증이 서버 설정, 관리 부분에서 제대로 구성되지 않았을때 중요 자원 접근이 가능한 취약점이다.

- Ex) 디렉토리 접근, 파일 접근, 파일 다운로드 및 업로드

2. Directory/File Traversal

- 웹 브라우저를 통해서 확인 가능한 상위 디렉토리를 검색하여 시스템 파일을 검색/접근하거나 다운로드하는 취약점이다.

- 해결하는 방법으로는 변수를 이용하여 기본적으로 접근 가능한 경로를 제한하거나, 상대 경로를 절대 경로로 반환한다.

- 디렉토리 리스팅 : 웹브라우저를 통해서 서버 관리자가 관리적으로 리스팅하도록 지정한 디렉토리가 접근되는 취약점

root@kim-virtual-machine:/home/kim# ls /var/log/../../../
bin    dev   initrd.img lost+found nsm   root srv usr
boot   etc   lib media      opt   run sys var
cdrom home lib64 mnt      proc sbin tmp vmlinuz

machine:/home/kim# ls -l /var/log/../../../etc/passwd
-rw-r--r-- 1 root root 2314 Mar 5 03:54 /var/log/../../../etc/passwd

root@kim-virtual-machine:/home/kim# cat /var/log/../../../etc/passwd | head -2
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin

3. Missing Functional Level Access Control - Directory/File Traversal

- URL 파라미터에 상위 디렉토리로 이동하는 ../를 실시하여 다른 디렉토리 이동 및 파일 접근이 가능하다.

4. Path Traversal 공격 패턴 분석

6-0. Path Traversal.log

6-1. Path Traversal 공격 패턴.txt

5. Snort 룰 설정

6-2. Path Traversal 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 6. Path Traversa
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"6. Path Traversal /etc/passwd"; content:"/etc/passwd"; nocase; sid:3000061; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"6. Path Traversal Linux"; content:"|2e2e2f2e2e2f|"; sid:3000062; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"6. Path Traversal Windows"; content:"|2e2e5c2e2e5c|"; sid:3000063; rev:1;)
alert tcp $HOME_NET any -> $EXTERNAL_NET any (msg:"6. Path Traversal Windows(c\windows)"; flow:established,to_server; content:"User-Agent|3a| c|3a 5c|"; nocase; http_header; sid:3000064; rev:1;)

:wq!

인코딩 내용

문자열	ASCII 16진수
.	2e
/	2f
:	3a
\	5c

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'SQL Injection' 취약점 진단 실시

dvwa 우클릭 -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 06. Path Traversal 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/WpbSvOQqhRc

DVWA - 05. XSS Injection 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 12:00:13 +0900

DVWA - 05. DVWA XSS Injection 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Cross-Site Scripting(XSS)

- OWASP Top10 A3 - 크로스 사이트 스크립팅

- 자바 스크립트에 의해서 쿠키, 아이디/패스워드, 세션 정보를 획득하거나, 비정상적인 동작을 발생시키는 취약점이다.
- Ex) 피싱 사이트 접속, 악성 프로그램 다운로드 및 설치, 랜섬 웨어, 쿠기 정보를 이용한 계정 접속

2. Reflected & Stored 차이점

1) Reflected 방식

- 공격자가 태그/스크립트를 삽입한 URL을 클라이언트가 사용했을 경우, 서버로 HTTP 요청을 보내고 응답 받을시

태그/스크립트가 클라이언트에서 실행되는 방식
- 그렇기 때문에 클라이언트는 실제 웹 싸이트 접근이 아닌 피싱 사이트로 접속되는 문제가 발생할 수 있다.
- 공격자가 악의적인 URL을 유포하는 방법 : 이메일, 게시판에 URL 링크 정보 노출, SNS를 통해서 URL 링크 정보 노출
- Ex) URL 클릭시 : 피싱 사이트 접속 이후 개인 정보 유출, 바탕화면에 쓸때 없는 아이콘 생성 및 불필요한 프로그램 설치

2) Stored 방식

- 공격자가 서버(게시판)에 태그/스크립트를 저장시켜, 클라이언트가 게시판을 읽을 경우 태그/스크립트가 실행되는 방식

- Ex) 게시판을 읽을 경우 : 쿠기 정보 갈취, 악성 코드 유입, 랜섬웨어, 피싱 사이트 접속, 불필요한 프로그램 설치

3. Cross-Site Scripting(XSS)

- 스크립트를 인젝션하여 쿠키 정보 획득 또는 의도하지 않는 동작을 발생시킬수 있다

4. XSS Injection 공격 패턴 분석

5-0. XSS Injection.log

5-1. XSS Injection 공격 패턴.txt

5. Snort 룰 설정

5-2. XSS Injection 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 5. XSS Injection
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"5. XSS Injection URI"; flow:established,to_server; content:"</script>"; nocase; http_uri; sid:3000051; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"5. XSS Injection POST"; flow:established,to_server; content:"%3c%2fscript%3e"; nocase; http_client_body; sid:3000052; rev:1;)

:wq!

인코딩 내용

문자열	ASCII 16진수
<	3c
/	2f
>	3e

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'XSS Injection' 취약점 진단 실시

vulnerabilities -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 05. XSS Injection 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/jRCcWojlp90

DVWA - 04. SQL Injection 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 11:59:35 +0900

DVWA - 04. SQL Injection 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Injection

- OWASP Top10 A1 - 악의적인 명령 삽입
- 서버로 전송되는 요청 정보에 악의적인 명령을 삽입하여 불필요한 동작을 실시하거나, 서버/시스템/DB 중요 정보를

획득할 수 있는 취약점이다.
- Ex) HTML 인젝션, SQL 인젝션, PHP 인젝션, XML 인젝션

2. SQL

- SQL : structured query language

- 데이터베이스에 접근할 수 있는 데이터베이스 언어

- 종류 : mysql, mssql, oracle...

3. SQL Injection

- DB 접근 입력값을 검증하지 않을 경우, 악의적인 SQL 쿼리문을 인젝션하여 DB 정보 탈취 및 인증 우회 하는 내용이다.

4. SQL Injection 공격 패턴 분석

4-0. SQL Injection.log

4-1. SQL Injection 공격 패턴.txt

5. Snort 룰 설정

4-2. SQL Injection 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

# 4. SQL Injection
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"4. SQL Injection UNION SELECT"; flow:established,to_server; content:"UNION"; nocase; http_uri; content:"SELECT"; nocase; http_uri; pcre:"/UNION.

+SELECT/Ui"; sid:3000041; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"4. SQL Injection USER in URI"; flow:established,to_server; content:"SELECT"; nocase; http_uri; content:"USER"; nocase; http_uri; pcre:"/SELECT[^a-z].+USER/Ui"; sid:3000042; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"4. SQL Injection SLEEP"; flow:established,to_server; content:"SELECT"; nocase; http_uri; content:"SLEEP|28|"; nocase; http_uri; pcre:"/\bSELECT.*?

\bSLEEP\x28/Ui"; sid:3000043; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"4. SQL Injection INFOMATION SCHEMA"; flow:established,to_server; content:"information_schema"; nocase; http_uri; sid:3000044; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"4. SQL Injection SELECT FROM"; flow:established,to_server; content:"SELECT"; nocase; http_uri; content:"FROM"; nocase; http_uri; pcre:"/SELECT

\b.*FROM/Ui"; sid:3000045; rev:1;)

:wq!

인코딩 내용

문자열	ASCII 16진수
(	28

pcre 내용

pcre	내용
UNION.+SELECT	UNION 한번 이상 모든 문자열 반복 SELECT

pcre 내용

pcre	내용
SELECT[^a-z].+USER	SELECT 다음에 a~z를 제외한 나머지 문자열, 한번 이상 모든 문자열 반복 USER
[^a-z]	a~z 제외하고 나머지 전체
.+	한번 이상 모든 문자열 반복

pcre 내용

pcre	내용
\bSELECT.*?\bSLEEP\x28	SELECT SLEEP( SELECT SLEEP( SELECTaaa SLEEP( SELECT aaa SLEEP( SELECT aaa SLEEP(
\b	문자의 경계 공백
.*?	게으른 수량자
\x28	(

pcre 내용

pcre	내용
SELECT\b.*FROM	SELECT FROM SELECT FROM SELECT aaaFROM SELECT aaa FROM SELECT aaa aaaFROM
\b	문자의 경계 공백
.*	ANY

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/etc/nsm/rules# nsm --sensor --restart --only-snort-alert

6. DVWA 'SQL Injection' 취약점 진단 실시

vulnerabilities 우클릭 -> 공격 -> 'Active Scan' 클릭

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 04. SQL Injection 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/s6PAzBq1Z8A

DVWA - 03. OS Command Injection 공격 패턴 분석 및 스노트 룰 설정

김정우 강사 — Sun, 10 Mar 2019 11:58:20 +0900

DVWA - 03. OS Command Injection 공격 패턴 분석 및 스노트 룰 설정

본 내용은 DVWA를 이용한 OWASP Top10 취약점 진단 및 웹-해킹 내용이 아니라, Snort를 이용한 DVWA 취약점 및 공격 패턴을 진단하는 실습 환경입니다.

1. Injection

획득할 수 있는 취약점이다.
- Ex) HTML 인젝션, SQL 인젝션, PHP 인젝션, XML 인젝션

2. 메타케릭터

- Shell이 특별한 의미로 해석하는 문자, 기호를 의미한다.

\|	파이프라인	앞에서 실행한 명령어 출력 결과를 뒤에서 실행하는 명령어 입력값으로 처리함
;	세미콜론	한개의 라인에 여러개 명령어를 수행해줌
&&	더블 엠퍼센트	첫 번째 명령어가 성공되면 다음 명령어를 수행함(단, 실패시 다음 명령어 수행 X)
\|\|	더블 버티컬바	첫 번째 명령어가 실패해도 다음 명령어를 수행함(단, 성공시 다음 명령어 수행 X)

kim@kim-virtual-machine:~$ su
Password: toor

root@kim-virtual-machine:/home/kim# cat /etc/passwd | head -2
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin

root@kim-virtual-machine:/home/kim# nslookup www.google.com
Server: 168.126.63.1
Address: 168.126.63.1#53

Non-authoritative answer:
Name: www.google.com
Address: 172.217.31.132

root@kim-virtual-machine:/home/kim# nslookup www.google.com ; cat /etc/passwd | head -2
Server: 168.126.63.1
Address: 168.126.63.1#53

Non-authoritative answer:
Name: www.google.com
Address: 172.217.31.132

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin

root@kim-virtual-machine:/home/kim#

3. OS Command Injection

- 취약한 시스템 함수에 명령어를 삽입하여 시스템/서버 파일/디렉토리를 접근하는 내용이다.

- 메타케릭터(;, |, &&, ||)를 이용하여 실시함

4. OS Command Injection 공격 패턴 분석

3-0. OS Command Injection.log

3-1. OS Command Injection 공격 패턴.txt

5. Snort 룰 설정

3-2. OS Command Injection 스노트 설정.txt

root@kim-virtual-machine:~# cd /etc/nsm/rules
root@kim-virtual-machine:/etc/nsm/rules#
root@kim-virtual-machine:/etc/nsm/rules# vi local.rules

:wq!

인코딩 내용

문자열	ASCII 16진수
공백	20
/	2f
\	5c

pcre 내용

pcre	내용
(ls\|dir\|cat\|head\|tail\|vi\|type\|chmod\|)\x20.*[\x2f\x5c]	ls / ls aaa/ ls aaa / type \ type aaa\ type aaa \
(ls\|dir\|cat\|head\|tail\|vi\|type\|chmod\|)	ls 또는 dir 또는....
\x20	공백
\x2f	/
\x5c	\
.*	ANY 또는 탐욕적 수량자
[\x2f\x5c]	/, \

root@kim-virtual-machine:/etc/nsm/rules# rule-update

'rule-update' 에러가 발생하면, 'local.rules' 파일을 수정한 이후 실시함

root@kim-virtual-machine:/home/kim/Desktop# nsm --sensor --restart --only-snort-alert

6. DVWA 'OS Command Injection' 취약점 진단 실시

DVWA -> Setup -> 'Create / Reset Database' 클릭

vulnerabilities -> 공격 -> 'Active Scan' 클릭

Scope -> 'Show advanced options' 체크

Input Vectors -> 체크 항목 체크

Policy 선택 -> 'Start Scan' 버튼 클릭

7. Snort 탐지 결과 확인 및 분석

Snort -> 'Show Packet Data' & 'Show Rule'를 체크하여 스노트 탐지 분석 실시

8. Snort 룰 삭제 또는 주석 처리 실시

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

DVWA - 03. OS Command Injection 공격 패턴 분석 및 스노트 룰 설정 https://youtu.be/pa6nyCPcRtY