如何搭建一個Drupal Core RCE漏洞的蜜罐

如何搭建一個Drupal Core RCE漏洞的蜜罐，相信很多沒有經驗的人對此束手無策，為此本文總結了問題出現的原因和解決方法，通過這篇文章希望你能解決這個問題。

Webhoneypot框架是使用Python 3編寫的，需要docker和docker-compose才能運行。你可以使用JSON和相應的docker-compose文件來配置蜜罐。docker-compose文件描述了用于蜜罐的容器及其設置，而JSON文件則用于配置框架如何檢測攻擊并獲取蜜罐的快照。

JSON配置的基本結構如下所示：

{
    "docker_compose_file": "./docker-compose.yml",
    "pre_start": "...",
    "post_start": "...",
    "snapshot_path": "./snapshots",
    "snapshots": [
        ...
    ],
    "detections": [
        ...
    ]
}

docker_compose_file的選項非常簡單。使用選項pre_start和post_start，用戶可以在啟動蜜罐后分別在啟動前執行腳本。我通常使用它來調整Web根目錄的文件權限和文件所有權。

該框架的主要功能是在檢測到攻擊后創建蜜罐的快照。目前，可以創建目錄或MySQL數據庫的快照。

要獲取MySQL快照，應在快照下添加mysql_snapshot選項。這將會創建一個標準MySQL容器的MySQL轉儲（https://hub.docker.com/_/mysql）：

{
    "type": "mysql_snapshot",
    "mysql_container_name": "webhoneypot_mysql_1",
    "mysql_user": "root",
    "mysql_password": "Password123!",
    "mysql_restore_path": "./mysql/config"
}

來自docker庫的MySQL容器，允許通過將文件放入容器的/docker-entrypoint-initdb.d文件夾來恢復數據庫轉儲。因此mysql_restore_path選項應指向該目錄的掛載點。

另一個選項是使用folder_snapshot來創建目錄快照：

{
    "type": "folder_snapshot",
    "folder_path": "./apache/html"
},

這將創建指定文件夾的ZIP存檔，并將其放在已配置的快照文件夾中。

為了檢測攻擊，webhoneypot框架目前僅支持folder_changed和file_contains。

檢測方法folder_changed可以檢測與初始快照相比的任意文件更改：

{
    "type": "folder_changed",
    "folder_path": "./apache/html",
    "ignore_files": [
        "folder_to_ignore/"
    ]
}

folder_path選項必須與folder_snapshot塊中指定的選項匹配。為了減少干擾，可以忽略某些文件或文件夾。

第二個檢測方法file_contains檢測指定的文件是否包含特定的字符串或正則表達式：

{
    "type": "file_contains",
    "file_path": "./nginx/logs/access.log",
    "pattern": "pattern to search"
}

要運行該腳本，只需克隆存儲庫并運行webhoneypot.py：

$ git clone https://gitlab.com/SecurityBender/webhoneypot-framework.git && cd webhoneypot-framework
$ ./webhoneypot.py -h                                                                                             
usage: webhoneypot.py [-h] -c CONFIG option
Management script for docker-based web application honeypots
positional arguments:
  option                the honeypot option, can be
                        [start|stop|init|update|reset]
optional arguments:
  -h, --help            show this help message and exit
  -c CONFIG, --config CONFIG
                        the honeypot configuration file

該腳本主要支持以下五個選項：

• start：啟動honeypot容器

• 停止：停止蜜罐容器

• init：初始化蜜罐（例如，第一次設置）并創建初始快照

• 更新：更新蜜罐并創建新的初始快照

• reset：快照蜜罐，檢測更改并恢復初始快照

在野捕獲 CVE-2019-6340

有了以上的基礎，現在我們可以構建和配置Drupal蜜罐來嘗試在野捕獲CVE-2019-6340。CVE-2019-6340是Drupal core 中的RCE漏洞，它允許攻擊者在主機系統上執行任意命令。

配置蜜罐

我已經為構建Drupalgeddon2蜜罐做了一個配置。你可以在GitLab上找到它。讓我們克隆它并為CVE-2019-6340做準備。

$ git clone https://gitlab.com/SecurityBender/webhoneypot-drupal.git
$ cd webhoneypot-drupal

在目錄中我們有多個目錄和文件：

webhoneypot-drupal/
├── apache/
│   └── Dockerfile
├── nginx/
│   ├── config/
│   │   └── default.conf
│   └── Dockerfile
├── docker-compose.yml
├── drupal.json
└── drupal.sh

apache和nginx目錄分別包含Apache和nginx容器的數據和配置文件。其中最重要的文件是docker-compose.yml和drupal.json。

docker-compose.yml包含了啟動必要容器的所有信息：

version: '2'

services:
  apache:
    build: apache/
    volumes:
      - ./apache/html:/var/www/html
      - ./apache/tmp:/tmp
    networks:
      - webhoneypot

  nginx:
    build: nginx/
    volumes:
      - ./nginx/config/default.conf:/etc/nginx/conf.d/default.conf:ro
      - ./nginx/logs:/var/log/nginx
    ports:
      - "80:80"
    networks:
      - webhoneypot
    depends_on:
      - apache

networks:
  webhoneypot:
    driver: bridge

在此設置中，我們有一個Apache容器，它托管并運行Drupal和一個用作反向代理的nginx。我們將html和tmp目錄掛載到Apache容器，以便從主機訪問它們，并讓我們拍攝快照以及恢復它們。出于同樣的目的，我們還將日志目錄掛載到了nginx容器。

主要配置在drupal.json中完成：

{
    "docker_compose_file": "./docker-compose.yml",
    "pre_start": "",
    "post_start": "./drupal.sh",
    "snapshot_path": "./snapshots",
    "snapshots": [
        {
            "type": "folder_snapshot",
            "folder_path": "./apache/html"
        },
        {
            "type": "folder_snapshot",
            "folder_path": "./apache/tmp"
        },
        {
            "type": "folder_snapshot",
            "folder_path": "./nginx/logs"
        }
    ],
    "detections": [
        {
            "type": "folder_changed",
            "folder_path": "./apache/html",
            "ignore_files": [
                "sites/default/files/php/twig/"
            ]
        },
        {
            "type": "folder_changed",
            "folder_path": "./apache/tmp",
            "ignore_files": [
            ]
        },
        {
            "type": "file_contains",
            "file_path": "./nginx/logs/access.log",
            "pattern": "node/1\\?_format=hal_json"
        }
    ]
}

首先，我們使用docker_compose_file指定用于通過docker-compose創建，啟動和停止docker容器的文件。每次啟動容器后，都會執行drupal.sh來調整./apache/html（Web根目錄）目錄的所有者和權限，并清除nginx訪問日志。此外，我們將蜜罐配置為在每次重置后拍攝./apache/html，./apache/tmp和./nginx/logs目錄的快照。我注意到很多drupalgeddon2都利用了/tmp中的drop文件，所以我添加了它。

最關鍵的是檢測部分。你可能會看到我們想要檢測./apache/html和./apache/tmp目錄中的更改。檢測到與初始快照不同的所有文件。因為Drupal將一些生成的文件存儲在sites/default/files/php/twig/中，所以我們忽略對該目錄的任何更改。檢測的另一個選項是檢查文件是否包含特定的正則表達式。在這種情況下，我們監控nginx訪問日志中的典型的CVE-2019-6340 url。

運行蜜罐

配置蜜罐完成后，我們來獲取易受攻擊的Drupal版本（例如8.6.9），并將其解壓縮到./apache/html目錄中：

$ wget -q https://ftp.drupal.org/files/projects/drupal-8.6.9.zip
$ unzip drupal-8.6.9.zip -d ./apache/
$ mv ./apache/drupal-8.6.9 ./apache/html

現在讓我們克隆Webhoneypot框架，并初始化Drupal蜜罐。使用./webhoneypot.py -c ../webhoneypot-drupal/drupal.json init初始化腳本，將啟動并構建所需的容器。

$ ./webhoneypot.py -c ../webhoneypot-drupal/drupal.json init
2019-04-07 15:11:50,455 - DEBUG - Starting docker compose /opt/webhoneypot-drupal/docker-compose.yml ...
Creating network "webhoneypot-drupal_webhoneypot" with driver "bridge"
Building apache
[...]
Building nginx
[...]
Creating webhoneypot-drupal_apache_1 ... done
Creating webhoneypot-drupal_nginx_1  ... done
Press any key if honeypot setup is finished

初始啟動成功，我們可以通過公共IP地址訪問Drupal實例。配置（啟用RESTful服務等） - 比我想象的更難 - 完成后我們按ENTER鍵，腳本將開始創建蜜罐的初始快照。

2019-04-07 15:23:17,604 - DEBUG - Creating snapshot "initial" ...
2019-04-07 15:23:17,621 - DEBUG - Create folder backup of "/opt/webhoneypot-drupal/apache/html" to "/opt/webhoneypot-drupal/snapshots/initial/_opt_webhoneypot-drupal_apache_html.zip" ...
2019-04-07 15:23:48,775 - DEBUG - Create folder backup of "/opt/webhoneypot-drupal/apache/tmp" to "/opt/webhoneypot-drupal/snapshots/initial/_opt_webhoneypot-drupal_apache_tmp.zip" ...
2019-04-07 15:23:48,787 - DEBUG - Create folder backup of "/opt/webhoneypot-drupal/nginx/logs" to "/opt/webhoneypot-drupal/snapshots/initial/_opt_webhoneypot-drupal_nginx_logs.zip" ...

測試蜜罐

一切運行良好，現在讓我們來對它進行測試。我從@leonjza獲取到了一個POC并運行了它：

$ python3 poc.py http://<my-ip>/ "id"     
CVE-2019-6340 Drupal 8 REST Services Unauthenticated RCE PoC
 by @leonjza
References:
 https://www.drupal.org/sa-core-2019-003
 https://www.ambionics.io/blog/drupal8-rce
[warning] Caching heavily affects reliability of this exploit.
Nodes are used as they are discovered, but once they are done,
you will have to wait for cache expiry.
Targeting http://37.120.165.218/...
[+] Finding a usable node id...
[x] Node enum found a cached article at: 1, skipping
[+] Using node_id 2
[+] Target appears to be vulnerable!
uid=33(www-data) gid=33(www-data) groups=33(www-data)

POC成功被執行。現在讓我們看看我們的檢測是否正常：

$ ./webhoneypot.py -c ../webhoneypot-drupal/drupal.json reset
2019-04-07 17:04:11,767 - DEBUG - Creating snapshot "20190407_170411" ...
[...]
2019-04-07 17:04:48,115 - DEBUG - Stopping docker compose /opt/docker/webhoneypot-drupal/docker-compose.yml ...
Stopping webhoneypot-drupal_nginx_1  ... done
Stopping webhoneypot-drupal_apache_1 ... done
Removing webhoneypot-drupal_nginx_1  ... done
Removing webhoneypot-drupal_apache_1 ... done
Removing network webhoneypot-drupal_webhoneypot
2019-04-07 17:05:08,442 - INFO - Pattern "node/1\?_format=hal_json" detected in file!
2019-04-07 17:05:08,443 - DEBUG - Restoring snapshot "initial" ...
[...]

這就是一個現實世界的Drupal蜜罐，用于檢測CVE-2019-6340攻擊。

警告

一個被妥協的蜜罐可用于許多其他非法目的（例如加密貨幣挖礦，發送垃圾郵件，DoS等）。我強烈建議你們設置一個定期的cronjob（每15到30分鐘）重置蜜罐。此外，你還可以通過限制容器的CPU時間，或通過主機防火墻來阻止某些傳出連接。

看完上述內容，你們掌握如何搭建一個Drupal Core RCE漏洞的蜜罐的方法了嗎？如果還想學到更多技能或想了解更多相關內容，歡迎關注億速云行業資訊頻道，感謝各位的閱讀！