hacktricks/network-services-pentesting/5601-pentesting-kibana.md

{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}


# Grundinformationen

Kibana ist bekannt für seine Fähigkeit, Daten innerhalb von Elasticsearch zu durchsuchen und zu visualisieren, typischerweise läuft es auf Port **5601**. Es dient als Schnittstelle für die Überwachungs-, Verwaltungs- und Sicherheitsfunktionen des Elastic Stack Clusters.

## Verständnis der Authentifizierung

Der Authentifizierungsprozess in Kibana ist eng mit den **Anmeldeinformationen, die in Elasticsearch verwendet werden**, verbunden. Wenn die Authentifizierung in Elasticsearch deaktiviert ist, kann Kibana ohne Anmeldeinformationen aufgerufen werden. Umgekehrt, wenn Elasticsearch mit Anmeldeinformationen gesichert ist, sind dieselben Anmeldeinformationen erforderlich, um auf Kibana zuzugreifen, wodurch identische Benutzerberechtigungen auf beiden Plattformen aufrechterhalten werden. Anmeldeinformationen könnten in der **/etc/kibana/kibana.yml** Datei gefunden werden. Wenn diese Anmeldeinformationen nicht zum **kibana_system** Benutzer gehören, könnten sie breitere Zugriffsrechte bieten, da der Zugriff des kibana_system Benutzers auf Überwachungs-APIs und den .kibana Index beschränkt ist.

## Maßnahmen nach dem Zugriff

Sobald der Zugriff auf Kibana gesichert ist, sind mehrere Maßnahmen ratsam:

- Die Erkundung von Daten aus Elasticsearch sollte Priorität haben.
- Die Möglichkeit, Benutzer zu verwalten, einschließlich der Bearbeitung, Löschung oder Erstellung neuer Benutzer, Rollen oder API-Schlüssel, befindet sich unter Stack Management -> Users/Roles/API Keys.
- Es ist wichtig, die installierte Version von Kibana auf bekannte Schwachstellen zu überprüfen, wie die RCE-Schwachstelle, die in Versionen vor 6.6.0 identifiziert wurde ([Mehr Infos](https://insinuator.net/2021/01/pentesting-the-elk-stack/#ref2)).

## SSL/TLS Überlegungen

In Fällen, in denen SSL/TLS nicht aktiviert ist, sollte das Potenzial für das Leaken sensibler Informationen gründlich bewertet werden.

## Referenzen

* [https://insinuator.net/2021/01/pentesting-the-elk-stack/](https://insinuator.net/2021/01/pentesting-the-elk-stack/)


{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}