Появилось свободное время и настроение))) Так и быть, сасскажу вам немного про себя))
Сижу значит после очередного пентеста и понимаю что надо бы поделиться историей которая тут произошла на прошлой неделе когда мы тестили одну крупную контору из списка топ500.
Началось все стандартно разведка портов сканы уязвимостей но все как то скучно ни одной серьезной дыры. И тут мой напарник такой смотрите ребята у них же корпоративный портал на старой версии SharePoint причем видно что админы его просто забыли потому что он висит на сервере который последний раз патчили когда Буш младший был президентом. Ну мы естественно полезли смотреть и оказалось что там есть одна интересная фича - загрузка документов через веб интерфейс причем без какой либо проверки типов файлов.
Долго думать не пришлось быстренько накатали cshtml шелл замаскировали под docx и попробовали загрузить. И о чудо файл принимается сервером и даже возвращает нам ссылку где он лежит! Только вот когда пытаемся обратиться получаем 403 ошибку оказывается там еще и права доступа какие то криво стоят. Но мы же не ищем легких путей полезли смотреть какие еще есть векторы и тут замечаем что рядом висит система биллинга которая как раз таки умеет читать документы из этого самого SharePoint.
Через пару часов фаззинга находим XXE в биллинге который как раз и позволяет нам прочитать тот самый шелл который мы залили. Дальше дело техники поднимаем реверс шелл получаем систему и начинаем двигаться по сети. Самое смешное что когда мы уже были внутри и смотрели логи оказалось что их SIEM система все это время прекрасно видела наши действия но алерты почему то не срабатывали потому что отдел безопасности отключил "надоедливые уведомления" месяц назад чтобы "разгрузить работу".
В итоге за три дня мы получили полный доступ ко всей инфраструктуре включая доменные контроллеры и базы данных с клиентами а они даже не подозревали что их взломали. Мораль всей этой истории никогда не недооценивайте человеческий фактор и всегда проверяйте свои старые сервисы потому что именно они чаще всего становятся той самой дверью через которую к вам заходят незваные гости. Кто нибудь сталкивался с подобными кейсами когда казалось бы мелочь вроде забытого тестового сервера или отключенных алертов приводила к полному компромиту? делитесь))
Рановато для мемуаров, ой рановато... 😆
Появилось свободное время и настроение))) Так и быть, сасскажу вам немного про себя))
Сижу значит после очередного пентеста и понимаю что надо бы поделиться историей которая тут произошла на прошлой неделе когда мы тестили одну крупную контору из списка топ500.
Началось все стандартно разведка портов сканы уязвимостей но все как то скучно ни одной серьезной дыры. И тут мой напарник такой смотрите ребята у них же корпоративный портал на старой версии SharePoint причем видно что админы его просто забыли потому что он висит на сервере который последний раз патчили когда Буш младший был президентом. Ну мы естественно полезли смотреть и оказалось что там есть одна интересная фича - загрузка документов через веб интерфейс причем без какой либо проверки типов файлов.
Долго думать не пришлось быстренько накатали cshtml шелл замаскировали под docx и попробовали загрузить. И о чудо файл принимается сервером и даже возвращает нам ссылку где он лежит! Только вот когда пытаемся обратиться получаем 403 ошибку оказывается там еще и права доступа какие то криво стоят. Но мы же не ищем легких путей полезли смотреть какие еще есть векторы и тут замечаем что рядом висит система биллинга которая как раз таки умеет читать документы из этого самого SharePoint.
Через пару часов фаззинга находим XXE в биллинге который как раз и позволяет нам прочитать тот самый шелл который мы залили. Дальше дело техники поднимаем реверс шелл получаем систему и начинаем двигаться по сети. Самое смешное что когда мы уже были внутри и смотрели логи оказалось что их SIEM система все это время прекрасно видела наши действия но алерты почему то не срабатывали потому что отдел безопасности отключил "надоедливые уведомления" месяц назад чтобы "разгрузить работу".
В итоге за три дня мы получили полный доступ ко всей инфраструктуре включая доменные контроллеры и базы данных с клиентами а они даже не подозревали что их взломали. Мораль всей этой истории никогда не недооценивайте человеческий фактор и всегда проверяйте свои старые сервисы потому что именно они чаще всего становятся той самой дверью через которую к вам заходят незваные гости. Кто нибудь сталкивался с подобными кейсами когда казалось бы мелочь вроде забытого тестового сервера или отключенных алертов приводила к полному компромиту? делитесь))
Ох, чувак, это просто шедевр! У нас был похожий случай, только вместо SharePoint забытый Jenkins с дефолтными креды (admin/admin, куда же без них). Админы его тупо бросили после миграции, но забыли выключить. В итоге через пару часов мы уже деплоили свои джобы прямо в прод, а их SIEM молчал, потому что «ложные срабатывания мешали аналитикам спать»
Забытый SharePoint, ленивые админы, отключённые алерты в SIEM... Прямо сборная солянка Fail of the Year. Особенно порадовало, что SIEM всё видел, но молчал видимо, тоже «устал» и решил отдохнуть, пока вы доменники забираете. У меня был похожий случай, где уязвимым оказался RSS-виджет на внутреннем портале через него вытащили хэши паролей. Вывод прост: если в топ-500 так работают, то что творится в мелких конторах? 😈 Бэкапы не помогут, когда враг уже в домене.