0


网络安全--wazuh环境配置及漏洞复现

一、wazuh配置

1.1进入官网下载OVA启动软件

Virtual Machine (OVA) - Installation alternatives (wazuh.com)

1.2点击启动部署,傻瓜式操作

1.3通过账号:wazuh-user,密码:wazuh进入wazuh

1.4将桥接模式更改为仅nat模式 1.5更改配置之后输入重新启动命令 service network restart

查看自身ip

ip a

1.6配置已好,本地开启小皮Apache直接访问

1.7有时会因为网络问题出现如下问题,我们采用重启wazuh即可

wazuh重启:

systemctl restart wazuh-manager

二、wazuh案例复现

2.1wazuh初体验

当我们使用本地的cmd通过ssh一直连接wazuh的时候便会出现十级报错,此次在后台可以明显的看到有爆破的提示扫描,通过分析其具体的数据包以及对应的规则理解到wuzuh在外来访问的时候,会触发到解码器,其作用是用来抓取关键信息,其中核心便是正则表达式进行正则匹配,当数据来了之后,wazuh程序会分析我们的日志,把这些日志信息发到相对应的解码器去,通过解码器去进行解码,解码完后,再发送到相应的规则,然后把解码完的数据通过规则,再次进行匹配,最终展示到仪表盘的Modules里的Security events里

复现例图:

2.2我们通过一道文件上传题举例其背后拦截的原理

2.2.1题目:

2.2.2第一步:来到nginx目录下/var/www/html创建index.php并写入案例

案例:

<?php
function fun($var): bool{
    $blacklist = ["\$_", "eval","copy" ,"assert","usort","include", "require", "$", "^", "~", "-", "%", "*","file","fopen","fwriter","fput","copy","curl","fread","fget","function_exists","dl","putenv","system","exec","shell_exec","passthru","proc_open","proc_close", "proc_get_status","checkdnsrr","getmxrr","getservbyname","getservbyport", "syslog","popen","show_source","highlight_file","`","chmod"];
 
    foreach($blacklist as $blackword){
        if(strstr($var, $blackword)) return True;
    }
 
    
    return False;
}
error_reporting(0);
//设置上传目录
define("UPLOAD_PATH", "./uploads");
$msg = "Upload Success!";
if (isset($_POST['submit'])) {
$temp_file = $_FILES['upload_file']['tmp_name'];
$file_name = $_FILES['upload_file']['name'];
$ext = pathinfo($file_name,PATHINFO_EXTENSION);
if(!preg_match("/php/i", strtolower($ext))){
die("只要好看的php");
}
 
$content = file_get_contents($temp_file);
if(fun($content)){
    die("诶,被我发现了吧");
}
$new_file_name = md5($file_name).".".$ext;
        $img_path = UPLOAD_PATH . '/' . $new_file_name;
 
 
        if (move_uploaded_file($temp_file, $img_path)){
            $is_upload = true;
        } else {
            $msg = 'Upload Failed!';
            die();
        }
        echo '<div style="color:#F00">'.$msg." Look here~ ".$img_path."</div>";
}

2.2.3这是咱们的前端页面

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>
</head>
<body>
    <div class="light"><span class="glow">
            <form enctype="multipart/form-data" method="post" action="./index.php">
                嘿伙计,传个火,点支烟,快活人生?!
                <input class="input_file" type="file" name="upload_file" />
                <input class="button" type="submit" name="submit" value="upload" />
            </form>
    </span><span class="flare"></span>
    </div>
</body>
</html>

2.2.4执行

2.4.5分析

其中原因也就在这个循环判断和检测身上,而检测到底是检测什么,咱们继续往下看

2.4.6额外补充(限制原因在此)

2.4.6.1 eval函数中的参数是字符

2.4.6.2 assert函数中的参数为表达式(不能在其中执行字符),非要用:好,上编码选择base64(原理:多加了一个eval函数)

2.4.6.3 异或取反绕过,百分号,变相取等,字符串拼接

而我们可以利用以上所说的为我们自身建造php后门进阶到shell反弹获取权限

抛出例题:

异或:

①因为代码中对字符"A"和字符"`"进行了异或操作。在PHP中,两个变量进行异或时,先会将字符串转换成ASCII值,再将ASCII值转换成二进制再进行异或,异或完,又将结果从二进制转换成了ASCII值,再将ASCII值转换成字符串

<?php
    echo "A"^"`";
?>

②抛出真正的异或来分析

<?php
    function B(){
        echo "Hello Angel_Kitty";
    }
    $_++;
    $__= "?" ^ "}";
    $__();
?>

$_++意思为下划线自增,
$__="?"是跟我们①所说的一样异或运算,得到的结果进行赋值,知道这两个小东西相等那异或出B此进程也就结束,输出如上所示

其余的进阶都与这个小东西同理,换了大于小于号,其实换汤不换药,本质上都是变相取等让命令输出

异或失效:

那么当异或和取反也无法解决的代码升级问题呢:(下划线和$符禁止,自增异或取反失效)

代码如下:

<?php 

include'flag.php'; 

if(isset($_GET['code'])){ 
   $code=$_GET['code']; 
   if(strlen($code)>50){ 
       die("Too Long."); 
  } 
   if(preg_match("/[A-Za-z0-9_]+/",$code)){ 
       die("Not Allowed."); 
  } 
   @eval($code); 
}else{ 
   highlight_file(__FILE__); 
} 

本地输出示例:

在看代码之前我们先了解一个东西:PHP7前是不允许($a)();这样的方法来执行动态函数的,但PHP7中增加了对此的支持。所以,我们可以通过(‘phpinfo’)();来执行函数;第一个括号可以是任意PHP表达式

举个栗子:

<?php
$str = 'phpinfo';
$res = urlencode(~$str);
echo $res;
?>

输出结果:

利用php的特性

根据这个小案例总结上面咱们提出例题的问题:

如何绕过?只要PHP上传过程中,自然会生成一个临时文件,这个临时文件在/tmp/目录一下,名字大概如(PHP(随机字符)),那么我在访问文件的时候,我就可以使用文件上传(咱们可以上传,但是主机不接收,但是临时文件还是会生成)

而文件如何执行成为了当下的一个问题:在linux下我们执行文件可以用./但是要赋予文件相应权限,而还有一种方法可以执行,那便是(点 空格 /):

新的问题出现了,如何去匹配文件呢,那不得不说linux下文件名支持用glob通配符代替

那么便就可以是/???/???????,却会出现错误,因为我们是全局匹配,这样/bin/目录下的文件好像也符合要求,那么就该有请我们的ASCII表了,我们可以利用前面额外补充提到的取反这个东西去进行取反匹配,结果呢,总不尽人意会出现一大坨一大坨,那就证明有些东西还是无法排除的掉,而glob有一个有趣的写法,那便是支持【0-9】来表示一个范围,还有所有的文件名都是小写,那么我们离答案也越来越近了,我们只需要找到一个大写字母的“glob”通配符,就能精准的找到我们所要执行的文件(. /???/???????[@-[ ]),看图二可知,这样的匹配确实是可以匹配到东西的(不看其他啥,最后一个字母是大写就已经跟我们确认过眼神了),那这样一来,我们的实现就有办法了,那么理论形成,实践开始,关注图三:

一大坨:

图二:

图三:我们模拟一个临时上传就会发现文件是在/tmp/目录下面的

接下来我们通过抓包,细致研究:

首先code接受的参数是临时文件(code匹配的值还是要放回eval),一补两操作,一个接收pose一个接收code ,最终执行在eval,要注意的是匹配的时候空格是+(回忆sql注入)

pass:小补充(使用unbentu的一定要看)调成false,就不会生成临时文件影响咱们匹配了

 vim /etc/systemd/system/multi-user.target.wants/apache2.service

最后一个问题:怎么样去执行才好

PHP: eval - Manual

重点:闭合标签,echo输出(=),注意到这两点加个访问标签即可(自此成功)

写入端口密码,蚁剑直接连接,随便写文件(wazuh出来了,全盘监控会扫描到,接下来我们继续看向wazuh),然后反弹shell,接下来重要的是提权问题(利用find)

find /bin -perm -u=s -type f 2>/dev/null
find /usr -perm -u=s -type f 2>/dev/null
find / -perm -u=s -type f 2>/dev/null

三、防御案例

1.wazuh埋点,使用ubentu代理(添加代理)

2.复制生成的代码在ubentu底下

3.安装刚才的服务

dpkg -i wazuh-agent.deb

4.端点重启

sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

5.配置完成的代表

6.埋点成功

标签: 安全

本文转载自: https://blog.csdn.net/m0_68976043/article/details/132388114
版权归原作者 凌晨五点的星 所有, 如有侵权,请联系我们删除。

“网络安全--wazuh环境配置及漏洞复现”的评论:

还没有评论