8089 - Pentesting Splunkd
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Splunk ist ein Log-Analyse-Tool, das eine entscheidende Rolle bei der Erfassung, Analyse und Visualisierung von Daten spielt. Während sein ursprünglicher Zweck nicht darin bestand, als SIEM (Security Information and Event Management)-Tool zu dienen, hat es an Popularität im Bereich der Sicherheitsüberwachung und Geschäftsanalyse gewonnen.
Splunk-Implementierungen werden häufig verwendet, um sensible Daten zu speichern und können eine wertvolle Informationsquelle für potenzielle Angreifer darstellen, wenn es ihnen gelingt, das System zu kompromittieren. Standardport: 8089
Der Splunk-Webserver läuft standardmäßig auf Port 8000.
Die Splunk Enterprise-Testversion wird nach 60 Tagen in eine kostenlose Version umgewandelt, die keine Authentifizierung erfordert. Es ist nicht ungewöhnlich, dass Systemadministratoren eine Testversion von Splunk installieren, um sie auszuprobieren, die dann daraufhin vergessen wird. Dies wird automatisch in die kostenlose Version umgewandelt, die keine Form der Authentifizierung hat, was ein Sicherheitsrisiko in der Umgebung darstellt. Einige Organisationen entscheiden sich möglicherweise aufgrund von Budgetbeschränkungen für die kostenlose Version, ohne die Auswirkungen eines fehlenden Benutzer-/Rollmanagements vollständig zu verstehen.
In älteren Versionen von Splunk sind die Standardanmeldeinformationen admin:changeme, die bequem auf der Anmeldeseite angezeigt werden.
In der neueste Version von Splunk werden jedoch Anmeldeinformationen während des Installationsprozesses festgelegt. Wenn die Standardanmeldeinformationen nicht funktionieren, lohnt es sich, nach gängigen schwachen Passwörtern wie admin, Welcome, Welcome1, Password123 usw. zu suchen.
Sobald wir uns bei Splunk angemeldet haben, können wir Daten durchsuchen, Berichte ausführen, Dashboards erstellen, Anwendungen aus der Splunkbase-Bibliothek installieren und benutzerdefinierte Anwendungen installieren. Sie können auch Code ausführen: Splunk hat mehrere Möglichkeiten, Code auszuführen, wie serverseitige Django-Anwendungen, REST-Endpunkte, skriptbasierte Eingaben und Alarmierungsskripte. Eine gängige Methode, um Remote-Code-Ausführung auf einem Splunk-Server zu erlangen, ist die Verwendung einer skriptbasierten Eingabe.
Darüber hinaus kann Splunk auf Windows- oder Linux-Hosts installiert werden, und skriptbasierte Eingaben können erstellt werden, um Bash-, PowerShell- oder Batch-Skripte auszuführen.
Splunk build
Eine benutzerdefinierte Anwendung kann Python-, Batch-, Bash- oder PowerShell-Skripte ausführen. Beachten Sie, dass Splunk mit installiertem Python geliefert wird, sodass Sie selbst in Windows-Systemen Python-Code ausführen können.
Sie können dieses Splunk-Paket verwenden, um uns zu unterstützen. Das bin-Verzeichnis in diesem Repo enthält Beispiele für Python und PowerShell. Lassen Sie uns dies Schritt für Schritt durchgehen.
Um dies zu erreichen, müssen wir zunächst eine benutzerdefinierte Splunk-Anwendung mit der folgenden Verzeichnisstruktur erstellen:
Das bin Verzeichnis wird alle Skripte enthalten, die wir ausführen möchten (in diesem Fall eine PowerShell Reverse Shell), und das Standardverzeichnis wird unsere inputs.conf Datei haben. Unsere Reverse Shell wird ein PowerShell One-Liner sein:
Die inputs.conf Datei sagt Splunk welches Skript ausgeführt werden soll und andere Bedingungen. Hier setzen wir die App auf aktiviert und sagen Splunk, dass das Skript alle 10 Sekunden ausgeführt werden soll. Das Intervall ist immer in Sekunden, und der Input (Skript) wird nur ausgeführt, wenn diese Einstellung vorhanden ist.
Wir benötigen die .bat-Datei, die ausgeführt wird, wenn die Anwendung bereitgestellt wird, und die PowerShell-Einzeiler ausführt.
Der nächste Schritt besteht darin, Install app from file auszuwählen und die Anwendung hochzuladen.
Bevor wir die bösartige benutzerdefinierte Anwendung hochladen, lassen Sie uns einen Listener mit Netcat oder socat starten.
Auf der Seite Upload app klicken Sie auf Durchsuchen, wählen Sie das Tarball aus, das wir zuvor erstellt haben, und klicken Sie auf Upload. Sobald wir die Anwendung hochladen, wird eine Reverse-Shell empfangen, da der Status der Anwendung automatisch auf Enabled umgeschaltet wird.
Wenn wir es mit einem Linux-Host zu tun hätten, müssten wir das rev.py Python-Skript bearbeiten, bevor wir das Tarball erstellen und die benutzerdefinierte bösartige App hochladen. Der Rest des Prozesses wäre derselbe, und wir würden eine Reverse-Shell-Verbindung zu unserem Netcat-Listener erhalten und loslegen.
Auf der folgenden Seite finden Sie eine Erklärung, wie dieser Dienst missbraucht werden kann, um Privilegien zu eskalieren und Persistenz zu erlangen:
Splunk LPE and PersistenceLernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
