unreal_ircd_3281_backdoor.rb 모듈을 이용한 침투

unreal_ircd_3281_backdoor.rb 모듈을 이용한 침투

해당 모듈은 osvdb-65445/cve-2015-2075 취약점에 기반함 침투 모듈이다.

UnrealIRCd에 트로이 목마 기반의 악성코드를 삽입해 공격자가 원격에서 악성 코드를 실행시킬 수 있다.

IRC란 실시간 채팅 프로토콜이고 UnrealIRCd란 오픈 소스 IRC 데몬을 의미힌다. 해당 취약점은 UnrealIRCd 3.2.8.1버전에서 실행할 수 있다고 알려졌다.

 

UnrealIRCd 포트가 개방되어 있는지 스캔한다.

 

침투 모듈을 이용하여 침투 하였다.

 

iptables

 

INPUT(incoming) DROP

	Source	Destination	protocol
ssh ( tcp, 22)	192.168.0.0/24	192.168.0.23	tcp, 80
http ( tcp, 80)	any(0.0.0.0/0)	192.168.0.23	tcp, 80
irc ( tcp, 6667)	any(0.0.0.0/0)	192.168.0.23	tcp, 6667

tcp port 추가와 DROP 정책으로 변경

 

DROP 정책으로 PING이 되지 않는다.

 

icmp 프로토콜을 accept해주면 ping이 보내 진다.

 

OUTPUT으로 내보낸적이 있던것은 유지 하겠다는 설정

iptables의 INPUT DROP 설정으로 6667포트를 뚫고 침투할수가 없어 연결이 되지 않는 것을 확인 할 수 있다.

역방향으로 공격대상자가 공격자에게 익숙한 https포트인 443포트로 접근하게 하여 침투에 성공 하였다.

 

공격대상 웹서버의 계정을 탈취하여 역방향 침투

 

OUTPUT(outgoing) ACCEP

ssh ( tcp, 22)	192.168.0.23
http ( tcp, 80)	192.168.0.23
irc ( tcp, 6667)	192.168.0.23