网络安全--wazuh环境配置及漏洞复现

凌晨五点的星

已于 2023-08-22 12:36:45 修改

阅读量3.8k

点赞数 1

分类专栏：网络安全文章标签：安全

于 2023-08-20 03:30:40 首次发布

本文链接：https://blog.csdn.net/m0_68976043/article/details/132388114

版权

网络安全专栏收录该内容

58 篇文章 3 订阅

订阅专栏

一、wazuh配置

二、wazuh案例复现

一、wazuh配置

1.1进入官网下载OVA启动软件

Virtual Machine (OVA) - Installation alternatives (wazuh.com)

1.2点击启动部署，傻瓜式操作

1.3通过账号：wazuh-user，密码：wazuh进入wazuh

1.4将桥接模式更改为仅nat模式 1.5更改配置之后输入重新启动命令 service network restart

查看自身ip

ip a

1.6配置已好，本地开启小皮Apache直接访问

1.7有时会因为网络问题出现如下问题，我们采用重启wazuh即可

wazuh重启：

systemctl restart wazuh-manager

二、wazuh案例复现

2.1wazuh初体验

当我们使用本地的cmd通过ssh一直连接wazuh的时候便会出现十级报错，此次在后台可以明显的看到有爆破的提示扫描，通过分析其具体的数据包以及对应的规则理解到wuzuh在外来访问的时候，会触发到解码器，其作用是用来抓取关键信息，其中核心便是正则表达式进行正则匹配，当数据来了之后，wazuh程序会分析我们的日志，把这些日志信息发到相对应的解码器去，通过解码器去进行解码，解码完后，再发送到相应的规则，然后把解码完的数据通过规则，再次进行匹配，最终展示到仪表盘的Modules里的Security events里

复现例图：

2.2我们通过一道文件上传题举例其背后拦截的原理

2.2.1题目：

2.2.2第一步：来到nginx目录下/var/www/html创建index.php并写入案例

案例：

<?php
function fun($var): bool{
    $blacklist = ["\$_", "eval","copy" ,"assert","usort","include", "require", "$", "^", "~", "-", "%", "*","file","fopen","fwriter","fput","copy","curl","fread","fget","function_exists","dl","putenv","system","exec","shell_exec","passthru","proc_open","proc_close", "proc_get_status","checkdnsrr","getmxrr","getservbyname","getservbyport", "syslog","popen","show_source","highlight_file","`","chmod"];
 
    foreach($blacklist as $blackword){
        if(strstr($var, $blackword)) return True;
    }
 
    
    return False;
}
error_reporting(0);
//设置上传目录
define("UPLOAD_PATH", "./uploads");
$msg = "Upload Success!";
if (isset($_POST['submit'])) {
$temp_file = $_FILES['upload_file']['tmp_name'];
$file_name = $_FILES['upload_file']['name'];
$ext = pathinfo($file_name,PATHINFO_EXTENSION);
if(!preg_match("/php/i", strtolower($ext))){
die("只要好看的php");
}
 
$content = file_get_contents($temp_file);
if(fun($content)){
    die("诶，被我发现了吧");
}
$new_file_name = md5($file_name).".".$ext;
        $img_path = UPLOAD_PATH . '/' . $new_file_name;
 
 
        if (move_uploaded_file($temp_file, $img_path)){
            $is_upload = true;
        } else {
            $msg = 'Upload Failed!';
            die();
        }
        echo '<div style="color:#F00">'.$msg." Look here~ ".$img_path."</div>";
}

2.2.3这是咱们的前端页面

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>
</head>
<body>
    <div class="light"><span class="glow">
            <form enctype="multipart/form-data" method="post" action="./index.php">
                嘿伙计,传个火,点支烟，快活人生？！
                <input class="input_file" type="file" name="upload_file" />
                <input class="button" type="submit" name="submit" value="upload" />
            </form>
    </span><span class="flare"></span>
    </div>
</body>
</html>

2.2.4执行

2.4.5分析

其中原因也就在这个循环判断和检测身上，而检测到底是检测什么，咱们继续往下看

2.4.6额外补充（限制原因在此）

2.4.6.1 eval函数中的参数是字符

2.4.6.2 assert函数中的参数为表达式（不能在其中执行字符），非要用：好，上编码选择base64（原理：多加了一个eval函数）

2.4.6.3 异或取反绕过，百分号，变相取等，字符串拼接

而我们可以利用以上所说的为我们自身建造php后门进阶到shell反弹获取权限

抛出例题：

异或：

①因为代码中对字符"A"和字符"`"进行了异或操作。在PHP中，两个变量进行异或时，先会将字符串转换成ASCII值，再将ASCII值转换成二进制再进行异或，异或完，又将结果从二进制转换成了ASCII值，再将ASCII值转换成字符串

<?php
    echo "A"^"`";
?>

②抛出真正的异或来分析

<?php
    function B(){
        echo "Hello Angel_Kitty";
    }
    $_++;
    $__= "?" ^ "}";
    $__();
?>

$_++意思为下划线自增， $__="?"是跟我们①所说的一样异或运算，得到的结果进行赋值，知道这两个小东西相等那异或出B此进程也就结束，输出如上所示

其余的进阶都与这个小东西同理，换了大于小于号，其实换汤不换药，本质上都是变相取等让命令输出

异或失效：

那么当异或和取反也无法解决的代码升级问题呢：（下划线和$符禁止，自增异或取反失效）

代码如下：

<?php 

include'flag.php'; 

if(isset($_GET['code'])){ 
   $code=$_GET['code']; 
   if(strlen($code)>50){ 
       die("Too Long."); 
  } 
   if(preg_match("/[A-Za-z0-9_]+/",$code)){ 
       die("Not Allowed."); 
  } 
   @eval($code); 
}else{ 
   highlight_file(__FILE__); 
}

本地输出示例：

在看代码之前我们先了解一个东西：PHP7前是不允许（$a）();这样的方法来执行动态函数的，但PHP7中增加了对此的支持。所以，我们可以通过（‘phpinfo’）（）；来执行函数；第一个括号可以是任意PHP表达式

举个栗子：

<?php
$str = 'phpinfo';
$res = urlencode(~$str);
echo $res;
?>

输出结果：

利用php的特性

根据这个小案例总结上面咱们提出例题的问题：

如何绕过？只要PHP上传过程中，自然会生成一个临时文件，这个临时文件在/tmp/目录一下，名字大概如（PHP（随机字符）），那么我在访问文件的时候，我就可以使用文件上传（咱们可以上传，但是主机不接收，但是临时文件还是会生成）

而文件如何执行成为了当下的一个问题：在linux下我们执行文件可以用./但是要赋予文件相应权限，而还有一种方法可以执行，那便是（点空格 /）：

新的问题出现了，如何去匹配文件呢，那不得不说linux下文件名支持用glob通配符代替

那么便就可以是/？？？/？？？？？？？，却会出现错误，因为我们是全局匹配，这样/bin/目录下的文件好像也符合要求，那么就该有请我们的ASCII表了，我们可以利用前面额外补充提到的取反这个东西去进行取反匹配，结果呢，总不尽人意会出现一大坨一大坨，那就证明有些东西还是无法排除的掉，而glob有一个有趣的写法，那便是支持【0-9】来表示一个范围，还有所有的文件名都是小写，那么我们离答案也越来越近了，我们只需要找到一个大写字母的“glob”通配符，就能精准的找到我们所要执行的文件（. /？？？/？？？？？？？[@-[ ]）,看图二可知，这样的匹配确实是可以匹配到东西的（不看其他啥，最后一个字母是大写就已经跟我们确认过眼神了），那这样一来，我们的实现就有办法了，那么理论形成，实践开始，关注图三：

一大坨：

图二：

图三：我们模拟一个临时上传就会发现文件是在/tmp/目录下面的

接下来我们通过抓包，细致研究：

首先code接受的参数是临时文件（code匹配的值还是要放回eval），一补两操作，一个接收pose一个接收code ，最终执行在eval，要注意的是匹配的时候空格是+（回忆sql注入）

pass：小补充（使用unbentu的一定要看）调成false，就不会生成临时文件影响咱们匹配了

 vim /etc/systemd/system/multi-user.target.wants/apache2.service

最后一个问题：怎么样去执行才好

PHP: eval - Manual

重点：闭合标签，echo输出（=），注意到这两点加个访问标签即可（自此成功）

写入端口密码，蚁剑直接连接，随便写文件（wazuh出来了，全盘监控会扫描到，接下来我们继续看向wazuh），然后反弹shell，接下来重要的是提权问题(利用find)

find /bin -perm -u=s -type f 2>/dev/null
find /usr -perm -u=s -type f 2>/dev/null
find / -perm -u=s -type f 2>/dev/null

三、防御案例

1.wazuh埋点,使用ubentu代理（添加代理）

2.复制生成的代码在ubentu底下

3.安装刚才的服务

dpkg -i wazuh-agent.deb

4.端点重启

sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

5.配置完成的代表

6.埋点成功

凌晨五点的星

关注

1
点赞
踩
2

收藏

觉得还不错? 一键收藏
1
评论
网络安全--wazuh环境配置及漏洞复现

1.1进入官网下载OVA启动软件1.2点击启动部署，傻瓜式操作1.3通过账号：wazuh-user，密码：wazuh进入wazuh1.4将桥接模式更改为仅nat模式1.5更改配置之后输入重新启动命令 service network restart查看自身ipip a1.6配置已好，本地开启小皮Apache直接访问1.7有时会因为网络问题出现如下问题，我们采用重启wazuh即可。
复制链接

扫一扫