От анонимного FTP до RCE: как мы скомпрометировали сервер из-за конфигурационных ошибок

Начнем с этапа разведки. Со стороны заказчика нам был предоставлен только скоуп размером в более 300 IP-адресов.

Сканирование хостов проводилось при помощи утилиты Nmap, в несколько итераций:

• сначала были определены «живые» хосты;
• далее эти хосты мы просканировали по всем портам;
• для открытых портов при помощи флага -sV мы идентифицировали сервисы, запущенные на этих портах, и их версии.

Так, мы обнаружили хост (x.x.x.x), привлекший наше внимание большим количеством low-hanging fruit портов, среди которых был и 21-й порт. И, конечно, базовой проверкой при обнаружении FTP-сервера является проверка возможности прохождения аутентификации от лица анонимного пользователя. Мы это попробовали, и у нас получилось! Однако мы столкнулись с тем, что у анонимного пользователя нет прав ни на просмотр содержимого каталога, ни на загрузку или выгрузку файлов.

Как видно на скриншоте выше, выполняется подключение к FTP-серверу x.x.x.x (1 строка), далее вводятся логин и пароль (2 и 3 строки) и выполняется загрузка файла на сервер (5 строка).

Используя полученные учетные данные, мы прошли аутентификацию на FTP-сервере и обнаружили, что у данной учетной записи есть права на просмотр содержимого каталогов, а также на загрузку и выгрузку файлов.

Анализируя содержимое FTP-сервера, мы обнаружили, что его содержимое — то же, что мы видели в листинге каталогов веб-сервера. Так, мы определили, что при помощи опции Directory Listing веб-сервера Apache отображается содержимое корневого каталога FTP-севера, и соответственно, если мы загрузим файл на FTP-сервер, мы сможем обратиться к загруженному файлу через веб-интерфейс.

Мы написали простой web-shell на PHP: при обращении к данному файлу команда, переданная в параметре запроса cmd, передается в стандартную функцию языка программирования PHP system(), позволяющую выполнять команды на уровне операционной системы сервера:

Так как у полученной учетной записи были права на загрузку файлов, нам без проблем удалось загрузить PHP-файл в корневую директорию FTP-сервера:

При обращении к загруженному файлу PHP-код интерпретировался на стороне сервера, и, таким образом, мы могли выполнять команды в контексте операционной системы сервера:

Исследуя содержимое хоста через web-shell, мы обнаружили, что на этом хосте содержится большое количество файлов, относящихся к коммерческой тайне. Также на этом хосте мы нашли несколько файлов с кредами, в том числе для PostgreSQL, который был запущен локально на этом хосте:

Помимо этого, мы выяснили, что этот хост смотрит во внутреннюю сеть:

Мы незамедлительно сообщили заказчику о критической дыре в их внешнем периметре. Заказчик принял решение не развивать атаку дальше и оперативно устранил все выявленные проблемы.