TL, DR
Koox ka mid ah shan xirmo npm ah, oo lagu daabacay laba xisaabood, ayaa la diray postinstall jillaab akhriya aqoonsiga daruuriga ah ee ka imanaya martigeliyaha oo ka soo qaada sanduuqa. Xirmooyinka waxay wataan magacyo ruuxi ah iyo burcad-badeed — coral-wraith, ecto-corsair-whisper-6f3b9, ecto-corsair-flag-x9m4, ecto-rust-read-f3a9c1, ecto-nightly-spirit — oo wax kasta oo ay ururiyaan u beddelaan kuwo been abuur ah ecto_module: YAML waxay muujinaysaa ka hor inta aan la gudbin. Waxaan la soconaa kooxda sida Qallooca jirka.
Culaysku wuxuu socdaa oo keliya marka uu ogaado deegaan gaar ah: martigeliye magaciisa la yiraahdo Xarig hex ah oo 12-xaraf ah iyo buug-gacmeed shaqeynaya oo hoos yimaada /app/node_modules — qaabka dhismaha weelka lagu shubay ama shaqaalaha CI. Marka albaabkaasi dhaafo, jillaabka ayaa weydiiya su'aalaha Adeegga metadata tusaalaha AWS (IMDSv2) Aqoonsiga doorka IAM, waxay tiriyaan Maareeyaha Sirta AWS saddex gobol, doorsoomayaasha deegaanka ee dumps, faylasha hoos ku akhriya /app, oo xoqaya si loo qabto xarigga calanka. Kadib waxay natiijada u soo saartaa laba siyaabood: iftiin ilaa a webhook.site ururiyaha iyo PUT-ga muujinaya natiijada IP-ga oo aan la beddeli karin, oo leh liis ah dib-u-dhacyada ugu horreeya ee localhost-ka.
Sharaxaadaha xirmada dambe waxay u qornaayeen "CTF payload for verdaccio saadka-chain test." Waxaan ku soo sheegaynaa is-sharaxaaddiisa inay tahay xaqiiqo la arki karo. Dhaqanka laftiisa - si toos ah ugu baxa IP-ga dadweynaha, akhrinta aqoonsiga IMDS ee dhabta ah, wicitaanada Maareeyaha Sirta dhabta ah - waa waxa ay tahay iyadoon loo eegin calaamadda, waana sababta noocyadan loogu kala saaray kuwo xaasidnimo ah.
Hal magac oo ku jira kooxda, coral-wraith, kuma joogsan hal siidayn. Waxay si dhakhso ah u daabacday iyadoo loo marayo daraasiin nooc ah saacado gudahood — 1.0.0 u fuulid 6.0.0 — iyo magac hore oo isku magac ah ayaa loo isticmaalay inflated 9999.0.x lambarrada nooca, qaabka caadiga ah ee a isku dayga jahawareerka ku tiirsanaantaIntaas oo dhan, culayska mushaharka ayaa si muuqata u bislaaday: laga bilaabo tilmaame hal-xabbo ah oo marti-geliye ah ilaa jaantus aqoonsi oo buuxa oo AWS ah oo lagu duubay hubinta deegaanka oo ka aamusaysa bartilmaameedka loogu talagalay.
| Baakado | 5 magac; coral-wraith kaligiis ayaa dib loogu daabacay daraasiin nooc |
| deegaanka | shm |
| Ku rakib vektor | postinstall qoraalka wareegga nolosha |
| Bartilmaameedka koowaad | Aqoonsiga doorka AWS IAM + Qiimayaasha sirta ah ee Maareeyaha Sirta, doorsoomayaasha deegaanka, /app files |
| Exfil | webhook.site tilmaam + IP-ceeriin C2 PUT |
| Albaabka kicinta | Magaca martida 12-hex + /app/node_modules cwd, oo lagu daray hubin deegaan oo xakameysa culayska ka baxsan macnahaas |
| Xasillooni | sare - aqoonsiga daruuriga ah iyo shaacinta sirta ah ee la maamulay laga bilaabo Deegaannada dhismaha iyo waqtiga shaqada ee weelasha ku jira |
Anatomy-ga weerarka
Xirmo kasta oo ku jirta kooxda waxaa loo dhisay si isku mid ah: xirmo ku dhow madhan index.js (module.dhoofinta = {}), hal-sadar xirmo.json qoraal - "postinstall": "node postinstall.js" - iyo culayska ku baxaya postinstall.jsKu rakibidda xirmada ayaa ku filan in la socodsiiyo jillaab; looma baahna soo dejin ama wicitaan.
Albaabka bartilmaameedka. Kahor inta aan wax la qaban, culayska qoyska ecto-ka ayaa hubiya hareeraheeda:
function isAppWorker(): host = os.hostname() if host does NOT match /^[0-9a-f]{12}$/ -> exit if cwd does NOT contain "/app/node_modules" -> exit if cwd contains "/tmp/npm-safe" -> exit otherwise -> proceedMagaca martida ee 12-hex waa qaabka caadiga ah ee Docker u qoondeeyo weel, iyo /app/node_modules waa waddo caadi ah oo lagu rakibo weelka dhexdiisa. Qodobka saddexaad wuxuu ka soo baxayaa haddii waddadu u ekaato buug-gacmeedka soo saarista sanduuqyada ciidda lagu shubay. Saamaynta saafiga ah ayaa ah in culayska la saarayo uu ku sii nasto laptop-ka horumariyaha ama sanduuqa ciidda falanqaynta oo uu ku shaqeeyo oo keliya gudaha shaqaale dhisme ama waqti-socod ah - nooca deegaanka ee u badan tahay inuu qaado aqoonsiga daruuraha tooska ah. Xirmada ugu horreysa ee kooxda, shacaab-qorrax, ma lahan albaab noocaas ah waxayna si shuruud la'aan ah u maamushaa ururinteeda (fudud).
CollectionMarka albaabku dhaafo, jillaabka ayaa soo baxaya execFileSync("/ bin/sh", ["-c", ...]) wuxuuna ku shaqeeyaa hal amar oo isku dhafan oo, si kala duwan:
1. PUT /latest/api/token to 169.254.169.254 (IMDSv2 token request) 2. GET .../iam/security-credentials/ (IAM role name) 3. GET .../iam/security-credentials/<role> (temporary credentials) 4. dump env | sort (environment variables) 5. list /app (excl. node_modules) + cat first 15 (application files) 6. aws secretsmanager list-secrets (us-east-1, eu-west-1, eu-central-1) 7. scrape readable files for HTB{...} (capture-the-flag strings)Tallaabooyinka 1-3 waa buug-gacmeed IMDSv2 soo-saaris ah: codso calaamad kalfadhi, ka dibna ku lifaaq sida Calaamadda X-aws-ec2-metadata-token cinwaanka si loo soo saaro doorka IAM ee tusaalaha iyo furayaasha marin u helka ku meel gaarka ah ee doorkaas. Doorashada lagu hirgelinayo IMDSv2 halkii laga isticmaali lahaa IMDSv1 aan la xaqiijin ee fudud. GET waa wax mudan in la xuso — waxay la macno tahay in culaysku uu shaqeeyo xitaa xaaladaha loo habeeyey inay u baahdaan marin u helidda metadata-ka ku salaysan calaamadaha, taas oo ah adkaanta lagu taliyay AWS. Aqoonsiga lagu soo celiyay tallaabada 3aad waa mid muddo gaaban ah. HelitaankaKeyId/SirtaAccessKey/Token saddex-xagal oo loo qoondeeyay doorka tusaalaha; wax kasta oo doorkaasi qaban karo, qofka haysta furahaasi wuxuu qaban karaa inta uu nool yahay shahaadada.
Tallaabooyinka 4–6 ayaa ballaarinaya qaadashada. dir dump wuxuu qabtaa wax kasta oo habka dhismaha ama runtime-ka laga dhaxlo - dhab ahaan tani waa meesha calaamadaha diiwaangelinta, xargaha isku xirka xogta, iyo furayaasha API ay inta badan ku nool yihiin. / app Socodka faylka wuxuu akhriyaa ilaa shan iyo toban faylal codsi oo dibadda ah node_modules, kaas oo qaabeyn kara dusha sare, .env faylasha, ama isha. Wicitaanada Tallaabada 6 liiska sirta ah ee maamulaha aws saddex gobol; aqoonsiga lagu soo qaaday tallaabooyinka 1-3 ayaa ah waxa saxda ah ee xaqiijinaya wicitaanadaas, si IMDS ay u akhrido oo silsiladda tirinta Sirta Maareeyaha Sirta ay isugu geyso hal kor u kac: doorka tusaale → kaydka qarsoon ee la maareeyay. Tallaabada 7 waa tilmaan ku saabsan qabashada-calanka - marka HTB{…} calanka la helo waa la soo diraa keligiis, haddii kale baalka cayriin ee la soo ururiyey waxaa loo qaybiyaa afar qaybood oo la soo diraa.
Noocyada dambe ee kooxda ayaa sii wada kor u kaca. Halkii ay ku joogsan lahaayeen kayd, waxay falanqeeyaan jawaabta IMDS, waxayna dhoofiyaan furayaasha ku meel gaarka ah sida AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY / AWS_SESSION_TOKEN doorsoomayaasha deegaanka, xaqiiji aqoonsiga iyadoo la adeegsanayo aws sts heli-wace-aqoonsiga, ka dibna dib u rog sir kasta oo uu soo celiyo liiska-siraha wacaya aws secretsmanager hel-sir-qiimo mid kasta — soo celinta macluumaadka sirta ah, ee ma aha oo kaliya magacyadooda. Noocyo isku mid ah ayaa sidoo kale akhriya laba-geesoodka calanka ee habka lagu beddelay (/calanka dib loo akhriyo iyo asxaabta) oo isku day orod lacag ka dhanka ah mashruuc kasta oo Rush ah oo laga helay hoos / app, ballaarinta goosashada ka baxsan aqoonsiga daruuraha ilaa wax kasta oo jawiga dhismaha uu muujiyo.
Noocyadan dambe ayaa sidoo kale si xoog leh isu soo jiidanaya. Marka lagu daro magaca 12-hex-host iyo /app/node_modules Hubinta, culayska lacag bixinta wuxuu kormeeraa habaynta firfircoon ee xirmada-diiwaangelinta iyo waddada buugga shaqada wuxuuna si aamusnaan ah uga baxaa marka ay muujiyaan falanqayn ama muraayad macnaha halkii uu ka ahaan lahaa bartilmaameed toos ah. Saamaynta isku dhafan waa culays aan waxba laga arki karin inta badan deegaannada kormeerka wuxuuna ku shaqeeyaa ururintiisa oo dhan oo keliya halkaas oo uu isku qiimeeyo inuu ku jiro marti-geliye dhab ah oo konteenaraysan.
FaafintaXogta la ururiyay waxay ka tagtaa martida laba kanaal. Marka hore, calaamad POST si go'an webhook.site ururiyaha, oo wata magaca martida, UID lambar, buugga shaqada, iyo ilaa 120 KB oo xog la ururiyay ah. Marka labaad, xogta waxaa lagu laalaabaa "module manifest" been abuur ah oo YAML ah iyo gelin ilaa /api/modules/ server bartilmaameed ah:
ecto_module: name: "<flag-or-chunk-0>" version: "1.0.0" power_level: "<chunk-1>" ship_deck: "<chunk-2>" cargo_hold: "<chunk-3>"Magacyada goobta muujinta ah (heerka_awoodda, markab_dekad, xamuul_hayn) waa qurxin — xogta la xaday waxay ku dhex socotaa qiimayaasha xarigga, waana sababta kormeeraha shabakadu u arko waxa u eg soo gelinta muuqaalka baakadka-diiwaangelinta ee aan fiicnayn halkii laga dhigi lahaa qashin-qub xog oo cad. Kanaalka beacon wuxuu wataa wax ka badan: POST jirka webhook.site waxaa ku jira magaca martida, UID lambaraysan, buugga shaqada, iyo ilaa 120 KB oo ah blob la ururiyay, sidaa darteed xitaa hal calaamad oo guulaysata ayaa bixisa qaadashada oo dhan. webhook.site waa adeeg codsi-baaritaan bilaash ah; u adeegsiga ururiye ahaan macnaheedu waa in hawlwadeenku uusan waligiis u istaagin inuu helo kaabayaasha u gaarka ah ee kanaalkaas, codsiyada la duubayna waxay ku sii jiraan qashinka adeegga.
Muujinta gelin wuxuu ku socdaa liis dib u dhac ah oo ka bilaabma dhowr 127.0.0.1/localhost dekedaha ka dibna waxay ku dhacdaa saddex cinwaan oo dadweyne ah oo ku yaal `154.57.164.0/24` kala duwan, oo ku istaagaya barta ugu horreysa ee ka jawaabeysa xaalad 2xx ah. Dalbashada localhost-first waxay la jaanqaadaysaa is-sharaxaadda "tijaabinta verdaccio" (diiwaan maxalli ah oo ku saabsan loopback), laakiin dib u dhaca dadweynaha-IP waxay la macno tahay in xogtu ay ka tagto martigeliyaha mar kasta oo loopback uusan dhageysanayn - taas oo ah, mashiin kasta oo aan ahayn qalabka tijaabada ee qoraaga.
Jadwalka
Kooxdu waxay muujinaysaa kobac awoodeed oo koror ah halkii ay ka ahaan lahayd hal dhibic. Waxaan u kala horreysiinnaa hab-dhaqan la arkay, ee ma aha saacad-daboolka daabacaadda:
Astaamaha qeexaya kooxda waa daabacaadda: halkii laga isticmaali lahaa hal xirmo iyo hal nooc, isla magaca ayaa si isdaba joog ah loo daabacaa, mid walbana wuxuu sii daayaa kala duwanaansho yar oo ku saabsan kan ugu dambeeya, oo ay weheliyaan dhowr walaalo ah oo magacyo kala duwan leh oo wada culays isku mid ah. fiiqan Qoyska koodhka ayaa u qaybsamay laba farood oo isku dhow - hal set oo laba ogaansho oo muhiim ah jebinaysa, saddex kale (silig lagu akhriyo faylka oo dheeraad ah) - laakiin labaduba waxay ku heshiiyaan culays isku mid ah; farqigu waa koodka oo aan ahayn fargeeto dhaqan. Noocyada fiiqan wixii ka baxsan baaxadda la falanqeeyay (ilaa ugu yaraan 1.0.25 wakhtiga qoraalkan) ayaa si toos ah loogu arkay diiwaanka, iyo shacaab-qorrax Magaca ayaa sii waday inuu kor u kaco jaranjarada nooca u gaarka ah isla daaqadda.
Tilmaamayaasha tanaasulka
Dhammaan tilmaamayaasha hoose waxaa laga soo saaray isha xirmada ee diskka. Tilmaamayaasha shabakadda waa la tirtiray.
Network
Dhaqanka/faylka
Faylasha hashes (sha256, oo la qabtay xilligii falanqaynta)
Dhaqanka la arkay iyo dabeecadda la arkay
Shanta magac ee xirmooyinka waxaa lagu daabacay laba gacan oo akoon ah oo npm ah, laakiin waxay wadaagaan kaabayaal ku filan oo loola dhaqmo sidii hal koox: isku mid ah ecto_module shax cad, isla sidaas oo kale ECT-472839 calaamadda saxanka aasaasiga ah, isla sidaas oo kale webhook.site Aqoonsiga ururiyaha, iyo dhibcaha dhammaadka C2 ee isku mid ah Baloogga 154.57.164.0/24`. Xirmada abuurka (`coral-wraith, fudud oo aan la furin) iyo qoyska ecto-ga ee gated sidaas darteed waxay u akhriyaan sidii ku celcelin hal qalab halkii ay ka ahaan lahaayeen dadaallo madax-bannaan.
Xirmooyinka waxay isku sifeeyaan, noocyadii dambe, sida "Culayska CTF ee tijaabada silsiladda sahayda verdaccio." Waxaan sumaddaas u soo saarnaa xaqiiqo la arki karo mana ku celineyno natiijo ku saabsan ujeeddada. Waxa uu koodku sameeyo waa mid aan mugdi ku jirin oo ka madax bannaan sida loo calaamadeeyo: wuxuu akhriyaa aqoonsiga doorka IAM ee adeegga metadata-ka ee tusaalaha ah, wuxuu tiriyaa sirta la maamulo ee saddex gobol oo AWS ah, wuxuuna natiijooyinka u gudbiyaa IP-ga dadweynaha iyo ururiye webhook ah oo dhinac saddexaad ah. Tijaabada dhabta ah ee loopback-ka kaliya uma baahna liiska dib-u-dhaca dadweynaha-IP, aqoonsiga IMDS ayaa akhriya, ama wicitaanka Maareeyaha Sirta ee gobollada isdhaafsan. Sababtoo ah bixitaanka iyo gaaritaanka aqoonsiga waa kuwo dhab ah, noocyada albaabada laga xiray waxaa loo kala saaray kuwo xaasidnimo ah.
Albaabka kaliya ee weelka lagu xidho waa sifada ugu caansan ee hawlgalka. Waa labadaba tallaabo leexasho ah - aamusnaanta laptop-yada iyo falanqaynta sanduuqyada ciidda - iyo cabbir bartilmaameed ah, oo kaliya lagu ridayo meesha doorka IAM ee dhabta ah iyo sirta tooska ah ay u badan tahay inay joogaan. Falanqeeyayaasha ku shaqeeya baakadahan sanduuqa ciidda guud waxba ma arki doonaan; dhaqanku wuxuu ku muuqdaa oo keliya magaca martida ee qaabka Docker iyo dariiqa rakibidda weelka.
Saamaynta, isbeddellada iyo hagitaanka difaacayaasha
Soo-bandhigidda halkan waa aqoonsiga daruuriga ah iyo shaacinta qarsoodiga ah ee ku jirta weelasha dhismaha iyo waqtiga shaqada. Aqoonsiga doorka IAM ee laga soo qaatay IMDS wuxuu wataa wixii ogolaansho ah ee doorkaasi leeyahay; maamulaha sirta:Liis Sir ah (iyo wax kasta oo soo socda HelSecretValue) waxay u ballaarisaa sirta codsiyada la keydiyay. Dumps-ka isbeddelka deegaanka ayaa badanaa wata calaamadaha diiwaangelinta, URL-yada xogta, iyo furayaasha API. Xaaladda CI ama weelka - sida saxda ah ee albaabku u doorto - rakibid ku meel gaar ah oo mid ka mid ah xirmooyinkan ah ayaa ku filan in lagu daadiyo agabkaas.
Ectoplasm wuxuu ku habboon yahay qaab aan sii wadno inaan aragno: culaysyo waqti-rakibid ah oo gaaraya xogta daruuraha iyo sirta la maareeyo halkii laga isticmaali lahaa faylasha maxalliga ah, kuwaas oo iyaguna isku dayaya inay ku dhacaan oo keliya jawi qiimo sare leh. Laba indho-indhayn difaac ayaa ku xiga.
- Qaabku waa la ogaan karaaJillaab rakibid npm/PyPI ah oo garaafka wicitaankiisu uu gaaro labadaba API sirta daruuraha ah (maamulaha sirta ah ee aws, sirta gcloud, furaha furaha ah) ama cinwaanka IMDS iyo saxanka shabakadda ee ka soo baxa waa qaab cidhiidhi ah oo calaamad sare leh - ku dhawaad waligeed kuma dhacdo qoraal wareeg nololeed oo sharci ah. Falanqaynta socodka taagan calaamadayn kartaa iyada oo aan ku xirnayn domain gaar ah ama IP.
- Adkaynta deegaanku waxay ka dhigtaa mid aan la saadaalin karin. Ku-dhaqanka IMDSv2 oo leh xadka boodboodka ee 1 wuxuu ka hortagayaa culayska shaqada ee konteenarrada inay gaaraan metadata tusaale ah; kala-soocidda doorarka IAM si loo yareeyo mudnaanta waxay xaddidaysaa radius-ka qaraxa ee aqoonsi kasta oo daadanaya; iyo ku socodsiinta rakibaadda –Ildir-qoraallada CI waxay gebi ahaanba ka saartaa vector-ka rakibida ee baakadaha aan u baahnayn.
Difaacayaasha, hubinta wax ku oolka ah waa: digniin ku saabsan isku xirka dibadda laga soo bilaabo weelasha dhismaha/CI ilaa IP-yada dadweynaha ee aan la oggolayn inta lagu jiro rakibaadda dharka; ka fiirso marin u helidda IMDS ee ka soo jeeda qoraallada wareegga nolosha ee xirmada; oo ula dhaqan jillaab kasta oo rakib ah oo ku dhaca daruur CLI sidii shaki ilaa la caddeeyo si kale.
Laba qoraal oo dheeraad ah oo gaar u ah kooxdan. Marka hore, sababtoo ah kicinta waxaa lagu xiraa deegaannada weelasha lagu shubo, xirmo u muuqata mid aan firfircoonayn marka la baaro goobta shaqada ayaa wali ku jiri karta wax soo saar - hubintu waxay u baahan tahay in dib loo soo saaro magaca martida konteenarka iyo xaaladaha waddada, ama si toos ah loo akhriyo isha, halkii laga isticmaali lahaa "Waan rakibay mana jirin wax dhacay." Marka labaad, isticmaalka adeegga baaritaanka dadweynaha ee codsiga-baaritaanka sida ururinta calaamadaha waxay la macno tahay in qaar ka mid ah xogta la sifeeyay laga yaabo in dib loo soo ceshado si loogu jawaabo dhacdada: urur ka hela mid ka mid ah xirmooyinkan geedkiisa ku tiirsanaanta ayaa ka fikiri kara waxa tilmaame guuleysta uu ka koobnaan lahaa macquulka ururinta culeyska, waana inuu wareejiyaa aqoonsi kasta oo door ah oo IAM ah, calaamadaha diiwaangelinta, iyo sirta la maareeyo ee laga heli karo jawiga dhismaha ama waqtiga shaqada ee ay saameysay. Wareegga aqoonsiga, ee aan ahayn ka saarista baakadaha, waa hagaajinta hawlgalka marka rakibiddu socoto.
