د تمديد؛ DR
د پنځه npm پیکجونه، د دوو حسابونو په لاسونو کې خپور شوی، لیږل شوی a postinstall هغه هک چې د کوربه څخه د کلاوډ اسناد لولي او له بکس څخه یې لیږدوي. کڅوړې د شیطان او سمندري غلو نومونه لري — coral-wraith, ecto-corsair-whisper-6f3b9, ecto-corsair-flag-x9m4, ecto-rust-read-f3a9c1, ecto-nightly-spirit - او هر هغه څه چې دوی راټولوي په جعلي بڼه یې سریال کړئ ecto_module: د YAML منیفیسټ د لیږدولو دمخه. موږ کلستر په لاندې ډول تعقیبوو ایکټوپلاسم.
پېلوډ یوازې هغه وخت چلیږي کله چې یو ځانګړی چاپیریال کشف کړي: یو کوربه چې نوم یې a دی ۱۲-حروفي هیکس تار او د کار لارښود لاندې /app/node_modules — د کانټینر شوي جوړښت یا CI کارګر شکل. کله چې دا دروازه تیریږي، هک پوښتنه کوي د AWS مثال میټاډاټا خدمت (IMDSv2) د IAM د رول اسنادو لپاره، شمیرل کیږي د AWS رازونو مدیر په دریو سیمو کې، د چاپیریال متغیرات ډمپ کوي، فایلونه لاندې لولي /app، او د بیرغ د تارونو د نیولو لپاره سکریپونه. دا بیا پایله په دوو لارو خپروي: د a لپاره یو څراغ webhook.site راټولونکی او یو څرګند PUT د خام IP پای ټکي ته، د localhost-first fallbacks لیست سره.
د وروستي بسته توضیحات "د verdaccio رسولو زنځیر ازموینې لپاره CTF پیلوډ" لوستل کیږي. موږ دا ځان توضیحات د لیدلو وړ حقیقت په توګه راپور ورکوو. پخپله چلند - د عامه IP ته ژوندی وتل، د IMDS اصلي اسناد لوستل، د ریښتیني رازونو مدیر غږ کول - هغه څه دي چې دا د لیبل په پام کې نیولو پرته دي، او دا دلیل دی چې دا نسخې ناوړه طبقه بندي شوي.
په ډله کې یو نوم، coral-wraith، په یوه خپرونه کې نه ودرېد. دا په څو ساعتونو کې د لسګونو نسخو له لارې په چټکۍ سره بیا خپور شو — 1.0.0 ته ختل 6.0.0 - او د ورته نوم یوه پخوانۍ خپرونه کې افراطي کارول شوی و 9999.0.x د نسخې شمېرې، د کلاسیک شکل a د انحصار-مغشوش هڅه. د دې بدلون په اوږدو کې د پام وړ پاخه شوي پیلوډ: د یو شاټ کوربه-شمینې بیکن څخه د AWS بشپړ اعتبار محور ته چې د چاپیریال چیکونو کې پوښل شوی چې دا د خپل ټاکل شوي هدف څخه بهر خاموش ساتي.
| پيکيجز | ۵ نومونه؛ coral-wraith یوازې په لسګونو نسخو کې بیا خپور شوی |
| اکسيستم | npm |
| ویکتور نصب کړئ | postinstall د ژوند دورې سکریپټ |
| لومړنی هدف | د AWS IAM رول اسناد + د رازونو مدیر پټ ارزښتونه، د چاپیریال متغیرات، /app دوتنې |
| ایکسفیل | webhook.site بیکن + خام IP C2 PUT |
| د ټریګر دروازه | ۱۲-هیکس کوربه نوم + /app/node_modules cwd، او د چاپیریال چیک چې د دې شرایطو څخه بهر د پیلوډ فشاروي |
| سختۍ | د لوړ — د کلاوډ اعتبار او مدیریت شوي پټ افشا کول له د کانټینر شوي جوړونې او چلولو وخت چاپیریالونه |
د برید اناتومي
په کلستر کې هر بسته په ورته ډول جوړه شوې ده: نږدې خالي index.js (ماډل. صادرات = {})، یو کرښه package.json سکرېپټ - "پوسټ انسټال": "نوډ پوسټ انسټال. جي ایس" - او د بار بار په پوسټ انسټال.جي ایسد هک چلولو لپاره د کڅوړې نصب کول کافي دي؛ هیڅ واردول یا زنګ وهلو ته اړتیا نشته.
د نښه کولو دروازه. د هر څه کولو دمخه، د ایکټو-فیملي پیلوډ خپل شاوخوا چاپیریال معاینه کوي:
function isAppWorker(): host = os.hostname() if host does NOT match /^[0-9a-f]{12}$/ -> exit if cwd does NOT contain "/app/node_modules" -> exit if cwd contains "/tmp/npm-safe" -> exit otherwise -> proceedد ۱۲-هیکس کوربه نوم هغه ډیفالټ شکل دی چې ډاکر یې کانټینر ته ورکوي، او / اپلیکیشن / نوډ_ماډولونه د کانټینر دننه د نصبولو یوه دودیزه لاره ده. دریمه ماده هغه وخت خلاصیږي کله چې لاره د سینڈ باکس شوي استخراج لارښود په څیر ښکاري. خالص اغیز یې دا دی چې پیلوډ په پراختیا کونکي لیپ ټاپ یا تحلیلي سینڈ باکس کې غیر فعال پاتې کیږي او یوازې د کانټینر شوي جوړونې یا رن ټایم کارګر دننه فعال کیږي - د چاپیریال ډول چې احتمال لري د ژوندي کلاوډ اسناد ولري. په کلستر کې ترټولو لومړنی بسته، مرجان-وریث، داسې کومه دروازه نلري او خپل (ساده) ټولګه په غیر مشروط ډول چلوي.
ټولګه. کله چې دروازه تېرېږي، چنګک له لارې بهر ته ځي د فایل سنک اجرا کول("/bin/sh"، ["-c"، …]) او یو واحد مرکب قومانده چلوي چې په ترتیب سره:
1. PUT /latest/api/token to 169.254.169.254 (IMDSv2 token request) 2. GET .../iam/security-credentials/ (IAM role name) 3. GET .../iam/security-credentials/<role> (temporary credentials) 4. dump env | sort (environment variables) 5. list /app (excl. node_modules) + cat first 15 (application files) 6. aws secretsmanager list-secrets (us-east-1, eu-west-1, eu-central-1) 7. scrape readable files for HTB{...} (capture-the-flag strings)۱-۳ ګامونه د درسي کتاب IMDSv2 بیرته ترلاسه کول دي: د سیشن نښه غوښتنه وکړئ، بیا یې د د X-aws-ec2-میټاډاټا-ټوکن د مثال د IAM رول او د هغه رول د لنډمهاله لاسرسي کیلي د را ایستلو لپاره سرلیک. د ساده غیر تصدیق شوي IMDSv1 پرځای د IMDSv2 پلي کولو انتخاب ترلاسه سره د یادونې وړ ده - دا پدې مانا ده چې تادیه حتی په هغو مواردو کې کار کوي چې د ټوکن پر بنسټ میټاډاټا لاسرسي ته اړتیا لري، کوم چې د AWS لخوا وړاندیز شوی سختوالی دی. د دریم ګام لخوا بیرته راستانه شوي اسناد لنډمهاله دي د لاسرسي کیلي ایډ/د پټ لاسرسي کیلي/نښه د مثال رول ته درې ګونی محدودیتونه؛ هر هغه څه چې دا رول یې کولی شي، د دې کیلي لرونکی کولی شي د اعتبار د ژوند لپاره یې وکړي.
۴-۶ ګامونه د لید پراخوي. لیږل ډمپ هر هغه څه نیسي چې د جوړونې یا رن ټایم پروسې میراثي شوي دي — په عمل کې دا هغه ځای دی چیرې چې د راجسټری ټوکنونه، د ډیټابیس اتصال تارونه، او د API کیلي ډیری وختونه ژوند کوي. / ایپ د فایل واک بهر تر پنځلسو پورې د غوښتنلیک فایلونه لوستل کیږي نوډ_ډولونه، کوم چې د سطحې ترتیب کولی شي، .env فایلونه، یا سرچینه. شپږم ګام زنګونه د aws رازونو مدیر د رازونو لیست په دریو سیمو کې؛ هغه اسناد چې په ۱-۳ ګامونو کې راښکته شوي په سمه توګه هغه څه دي چې دا زنګونه تصدیقوي، نو د IMDS لوستل او د رازونو مدیر د شمېرنې سلسله په یو واحد escalation کې یوځای کیږي: د مثال رول → مدیریت شوی پټ انوینټري. ۷ ګام د بیرغ د نیولو چوکاټ ته اشاره ده — کله چې یو ایچ ټي بي{…} که بیرغ وموندل شي نو دا پخپله لیږل کیږي، که نه نو خام راټول شوی بلب په څلورو ټوټو ویشل کیږي او لیږل کیږي.
په کلستر کې وروسته نسخې زیاتوالی نور هم زیاتوي. د دې پرځای چې په انوینټري کې ودریږي، دوی د IMDS ځواب تحلیل کوي، لنډمهاله کیلي د AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY / د AWS_SESSION_ټوکن د چاپیریال متغیرات، د پیژندنې تصدیق د دې سره د زنګ وهونکي هویت ترلاسه کړئ، او بیا د هر راز په اړه چې بیرته راګرځي د رازونو لیست غږ د aws رازونو مدیر د پټ ارزښت ترلاسه کول په هر یو کې - د پټو منځپانګو ترلاسه کول، نه یوازې د دوی نومونه. ورته نسخې د پروسې بدیل شوي بیرغ بائنریونه هم لوستل کیږي (/بیرغ ولولئ او ملګري) او هڅه وکړئ چې چارج چلول د هرې زنګ پروژې په وړاندې چې لاندې موندل کیږي / ایپ، د حاصلاتو پراخول د بادل اعتبار څخه هاخوا هر هغه څه ته چې د جوړولو چاپیریال ښکاره کوي.
دا وروستي نسخې هم ځانونه ډیر په جارحانه ډول وړاندې کوي. د 12-hex-کوربه نوم سربیره او / اپلیکیشن / نوډ_ماډولونه چک کوي، پیلوډ د فعال پیکج-راجسټری ترتیب او د کاري لارښود لاره معاینه کوي او په خاموشۍ سره بهر کیږي کله چې دوی د ژوندي هدف پرځای تحلیل یا عکس شرایط په ګوته کوي. ګډ اغیز یو پیلوډ دی چې په ډیری تفتیش چاپیریالونو کې د لیدلو وړ هیڅ نه کوي او خپل بشپړ ټولګه یوازې هغه ځای پرمخ وړي چیرې چې دا پخپله په ریښتیني کانټینر شوي کوربه کې قضاوت کوي.
exfiltration. راټول شوي معلومات کوربه په دوو چینلونو کې پریږدي. لومړی، یو بیکن وروستۍ یو ثابت ته ویب هوک. سایټ راټولونکی، د کوربه نوم، عددي UID، کاري لارښود، او تر 120 KB پورې راټول شوي معلومات لري. دوهم، معلومات په جعلي YAML "ماډول مینیفیسټ" کې پوښل شوي او اقامه ته /api/ماډولونه/ په هدف سرور کې:
ecto_module: name: "<flag-or-chunk-0>" version: "1.0.0" power_level: "<chunk-1>" ship_deck: "<chunk-2>" cargo_hold: "<chunk-3>"د مینیفسټ ساحې نومونه (د بریښنا کچه, د شپ_ډیک, د کارګو هولډ) سينګار دي — غلا شوي معلومات د تار ارزښتونو دننه ګرځي، له همدې امله د شبکې مانیټر هغه څه ګوري چې د څرګند معلوماتو ډمپ پرځای د بې نظیر پیکج-راجسټری مینیفیسټ اپلوډ په څیر ښکاري. د بیکن چینل ډیر څه لري: وروستۍ بدن ته ویب هوک. سایټ د کوربه نوم، شمېره لرونکی UID، کاري لارښود، او د راټول شوي بلاب تر 120 KB پورې شامل دي، نو حتی یو بریالی بیکن بشپړ لید وړاندې کوي. ویب هوک. سایټ د غوښتنې تفتیش یوه وړیا خدمت دی؛ د راټولونکي په توګه یې کارول پدې معنی دي چې آپریټر هیڅکله اړتیا نلري چې د دې چینل لپاره خپل زیربنا ترلاسه کړي، او ثبت شوي غوښتنې د خدماتو په کڅوړه کې پاتې کیږي.
منشور اقامه د بیرته راستنیدو لیست پرمخ وړي چې د څو سره پیل کیږي 127.0.0.1/ځایی لوسټ بندرونه او بیا په `` کې دریو عامه پتو ته رسیږي۱۵۴.۵۷.۱۶۴.۰/۲۴` رینج، په لومړي پای ټکی کې ودریږي چې د 2xx حالت سره ځواب ورکوي. د سیمه ایز کوربه لومړی ترتیب د "verdaccio testing" ځان توضیحاتو سره مطابقت لري (په لوپ بیک کې سیمه ایز راجسټری)، مګر د عامه IP فال بیک معنی دا ده چې معلومات کوربه پریږدي کله چې لوپ بیک غوږ نه نیسي - دا په هر هغه ماشین کې چې د لیکوال خپل ټیسټ ریګ نه وي.
مهال ویش
دا کلستر د یو واحد څاڅکي پرځای د زیاتیدونکي وړتیا وده ښیي. موږ دا د مشاهده شوي چلند له مخې ترتیب کوو، نه د خپرونې دیوال ساعت له مخې:
د کلستر تعریف کوونکی ځانګړتیا د هغې د خپرولو سرعت دی: د یوې بستې او یوې نسخې پرځای، ورته نوم په چټکۍ سره په پرله پسې ډول بیا خپور کیږي، هر یو په وروستي کې یو کوچنی توپیر خپروي، د یو څو مختلفو نومونو وروڼو سره یوځای چې ورته بار لیږدوي. دننه څاڅکی د کوډ کورنۍ په دوو نږدې ګوتو نښو ویشل شوې - یو سیټ چې دوه مهم کشفونه ټریپ کوي، بل درې (د فایل لوستلو اضافي سنک) - مګر دواړه ورته پیلوډ ته حل کوي؛ توپیر د کوډ ډرافټ دی، نه د چلند فورک. د څاڅکی د تحلیل شوي حد څخه هاخوا (د لیکلو په وخت کې لږترلږه 1.0.25 پورې) په راجسټری کې په ژوندۍ بڼه لیدل شوي، او مرجان-وریث نوم د ورته کړکۍ په اوږدو کې د خپل نسخې زینې پورته کیدو ته دوام ورکړ.
د جوړجاړي شاخصونه
لاندې ټول شاخصونه په ډیسک کې د پیکج سرچینې څخه استخراج شوي دي. د شبکې شاخصونه خراب شوي دي.
شبکه
چلند/دوتنه
د فایل هشونه (sha256، د تحلیل په وخت کې نیول شوي)
منسوب او مشاهده شوی چلند
د پنځو پیکجونو نومونه د دوه npm حساب لاسوندونو لاندې خپاره شوي، مګر دوی دومره زیربنا شریکوي چې دوی د یو کلستر په توګه چلند وکړي: ورته د ایکټو_ماډول د مینیفسټ سکیما، ورته د ECT-472839 لپاره تفتیش وسپارئ، موږ به په 24 ساعتونو کې له تاسو سره اړیکه ونیسو. د سنک لومړنی مارکر، ورته ویب هوک. سایټ د راټولونکي ID، او په ورته کې د C2 پای ټکي ۱۵۴.۵۷.۱۶۴.۰/۲۴` بلاک. د تخم کڅوړه (`مرجان-وریث، ساده او غیر تړل شوی) او د ګیټ شوي ایکټو کورنۍ په دې توګه د خپلواکو هڅو پرځای په یوه اوزار کټ کې د تکرار په توګه لوستل کیږي.
دا کڅوړې په وروستیو نسخو کې ځانونه داسې بیانوي لکه "د ورډاکسیو اکمالاتي زنځیر ازموینې لپاره د CTF تادیه." موږ دا لیبل د لیدلو وړ حقیقت په توګه ښکاره کوو او د هدف په اړه د موندنې په توګه یې بیا نه تکراروو. هغه څه چې کوډ یې کوي غیر واضح او د دې څخه خپلواک دي چې دا څنګه لیبل شوی: دا د مثال میټاډاټا خدمت څخه د IAM رول اسناد لوستل کیږي، په دریو AWS سیمو کې اداره شوي رازونه شمیري، او پایلې عامه IP او د دریمې ډلې ویب هک راټولونکي ته لیږدوي. په ریښتیا سره د لوپ بیک یوازې ازموینې هارنس به د عامه IP فال بیک لیست، د IMDS اعتبار لوستلو، یا د کراس سیمې رازونو مدیر زنګونو ته اړتیا ونلري. ځکه چې د وتلو او اعتبار لاسرسی ریښتینی دی، ګیټ شوي نسخې ناوړه طبقه بندي شوي.
د کانټینر یوازې دروازه د عملیاتي پلوه ترټولو د پام وړ ځانګړتیا ده. دا دواړه د تیښتې اندازه ده - په لیپټاپونو او تحلیلي سینڈ باکسونو کې خاموش پاتې کیدل - او د هدف ګرځولو اندازه، یوازې هغه ځای ډزې کول چیرې چې د IAM اصلي رول او ژوندي رازونه شتون لري. شنونکي چې دا کڅوړې په عمومي سینډ باکس کې چلوي هیڅ به ونه ګوري؛ چلند یوازې د ډاکر سټایل کوربه نوم او د کانټینر دننه نصب لارې لاندې څرګندیږي.
د مدافعینو لپاره اغیزې، رجحانات او لارښوونې
دلته افشا کول د کلاوډ اعتبار او پټ افشا کول دي چې د جوړونې او رن ټایم کانټینرونو دننه دي. د IMDS څخه اخیستل شوی د IAM رول اعتبار هر هغه اجازه لري چې دا رول لري؛ د رازونو مدیر: د رازونو لیست (او هر ډول تعقیبي د پټ ارزښت ترلاسه کول) دا د ذخیره شوي غوښتنلیک رازونو ته پراخوي. د چاپیریال متغیر ډمپونه ډیری وختونه د راجسټری ټوکنونه، ډیټابیس URLs، او API کیلي لري. په CI یا کانټینر شرایطو کې - په سمه توګه هغه څه چې دروازه یې غوره کوي - د دې کڅوړو څخه د یو واحد انتقالي نصب کول د دې موادو د لیکولو لپاره کافي دي.
ایکټوپلازم هغه نمونه سره سمون لري چې موږ یې ګورو: د نصب وخت پیلوډونه چې د محلي فایلونو پرځای د کلاوډ میټاډاټا او اداره شوي رازونو ته رسیږي، او دا یوازې په لوړ ارزښت چاپیریال کې د اور وژنې لپاره ځان ته دروازه جوړوي. دوه دفاعي مشاهدې تعقیبوي.
- شکل یې د کشف وړ دی. د npm/PyPI انسټالټ هک چې د زنګ ګراف یې د کلاوډ سیکریټس API دواړو ته رسیږي (د رازونو مدیر, د gcloud رازونه, د کیوالټ) یا د IMDS پته او د شبکې د وتلو سنک یو تنګ، لوړ سیګنال نمونه ده - دا تقریبا هیڅکله په قانوني ژوند دورې سکریپټ کې نه پیښیږي. د جامد جریان تحلیل کولی شي دا په کوم ځانګړي ډومین یا IP پورې اړه پرته په نښه کړي.
- د چاپېریال سختوالی یې له منځه وړي. د IMDSv2 د هاپ حد ۱ سره پلي کول د کانټینر کاري بارونو د مثال میټاډاټا ته د رسیدو مخه نیسي؛ د IAM رولونو لږترلږه امتیاز ته د ساحې ټاکل د هر هغه سند د چاودنې شعاع محدودوي چې لیک کیږي؛ او د نصبولو چلول د - سکرېپټونه له پامه غورځول په CI کې د انسټال هوک ویکتور په بشپړ ډول د هغو کڅوړو لپاره لرې کیږي چې ورته اړتیا نلري.
د مدافعینو لپاره، عملي چکونه دا دي: د جوړ/CI کانټینرونو څخه د غیر اجازه ورکړل شوي عامه IPs ته د وتلو اړیکو په اړه خبرداری د د npm لګول؛ د پیکج د ژوند دورې سکریپټونو څخه د IMDS لاسرسي لپاره وګورئ؛ او هر هغه انسټال هک چې کلاوډ CLI ته ځي د شکمن په توګه چلند وکړئ تر هغه چې بل ډول ثابت نشي.
د دې کلستر لپاره دوه نور یادښتونه ځانګړي دي. لومړی، ځکه چې فعالول د کانټینر شوي چاپیریالونو ته ګیټ شوی، یو بسته چې په ورک سټیشن کې د ازموینې پرمهال غیر فعال ښکاري لاهم په تولید کې ژوندی کیدی شي - ازموینه اړتیا لري چې د کانټینر کوربه نوم او د لارې شرایط بیا تولید کړي، یا سرچینه مستقیم ولولي، د دې پرځای چې "ما دا نصب کړ او هیڅ نه پیښ شول." دوهم، د بیکن راټولونکي په توګه د عامه غوښتنې تفتیش خدمت کارول پدې معنی دي چې ځینې خارج شوي معلومات ممکن د پیښې غبرګون لپاره بیرته ترلاسه شي: یو سازمان چې د دې کڅوړو څخه یو یې په خپل انحصاري ونې کې ومومي کولی شي د دې په اړه استدلال وکړي چې یو بریالی بیکن به د پیلوډ راټولولو منطق څخه څه ولري، او باید د IAM رول اسناد، د راجسټری ټوکنونه، او اداره شوي رازونه وګرځوي چې د اغیزمن شوي جوړونې یا رن ټایم چاپیریال څخه د لاسرسي وړ وو. د اعتبار گردش، د بسته بندۍ لرې کول نه، د نصبولو وروسته عملیاتي درملنه ده.
