WebStrike — CyberDefenders Lab | Week 2 Cybersecurity Bootcamp:

by: Faizylux

WebStrike — CyberDefenders Lab Write-Up

Link lab: https://cyberdefenders.org/blueteam-ctf-challenges/webstrike/

Scenario: A suspicious file was identified on a company web server, raising alarms within the intranet. The Development team flagged the anomaly, suspecting potential malicious activity. To address the issue, the network team captured critical network traffic and prepared a PCAP file for review. Your task is to analyze the provided PCAP file to uncover how the file appeared and determine the extent of any unauthorized activity.

Pada lab ini saya ditugaskan untuk mencari, menganalisis serta mencatat hasil traffic jaringan di sebuah perusahaan yang sedang terjadi penyerangan melalui jaringan, terdapat file Webstrike.pcap dan 10 pertanyaan yang diberikan untuk melengkapi tindakan hacker terhadap perusahaan sudah sejauh mana dan apa saja urutan penyerangannya.

Pertama kita nyalakan machine yang di sediakan oleh lab cyberdefenders.org

tampilan dashboard halaman lab

jika sudah launch sebuah machine kita langsung saja masuk ke direktori yang muncul yaitu start here/Artifacts/Webstrike.pcap

setelah diarahkan ke tools wireshark, kita siap untuk menjawab pertanyaan yang diberikan oleh cyberdefenders

Q1: Identifying the geographical origin of the attack facilitates the implementation of geo-blocking measures and the analysis of threat intelligence. From which city did the attack originate? (Mengidentifikasi asal geografis serangan mempermudah penerapan langkah-langkah pemblokiran geografis dan analisis intelijen ancaman. Dari kota mana serangan itu berasal?)

Penyelesaian: pada pertanyaan pertama kita ditugaskan untuk mencari darimana serangan berasal, kita bisa lihat pada wireshark source and destination, terdapat request yang dilakukan oleh IP 117.11.88.124 terhadap IP 24.49.63.79, kedua IP tersebut melakukan komunikasi melalui layer 4 yaitu TCP, jika pada world case scenario akan banyak sekali IP request, kita bisa mempermudah dengan memanfaatkan tools wireshark melalui tab Statistics → Conversations/endpoint

Terlihat hanya ada dua IP pada case ini, namun saat di dunia nayata kita bisa cek melalui endpoint ini dengan melihat IP yang mencurigakan seperti request yang berlebih pada halaman login.

Dari hasil analisis terlihat hanya terdapat dua alamat IP yang berkomunikasi:

• 24.49.63.79 → Web server (target)
• 117.11.88.124 → Client (attacker)

setelah kita dapat IP yang mencurigakan kita bisa buka tools bernama https://www.domainesia.com/tools/check-ip/ atau https://whatismyipaddress.com/id/ip-saya

kita tinggal masukkan ip 117.11.88.124

Disini kita bisa langsung tau bahwa IP address berasal dari negara china dan dari kota Tianjin.

Answer: Tianjin

tools ini lumayan membantu namun tidak bisa sepenuhnya percaya karena pada dunia nyata, para attacker sudah menggunakan VPN untuk menyembunyikan alamat IP, bisa saja attacker asli berasal dari jepang namun IP nya terdeteksi ada di China.

Q2: Knowing the attacker’s User-Agent assists in creating robust filtering rules. What’s the attacker’s Full User-Agent? (Mengetahui User-Agent penyerang membantu dalam membuat aturan penyaringan yang kuat. Apa User-Agent lengkap penyerang?)

Penyelesaian: kita bisa mulai mengulik isi dari wireshark tersebut, pada nomor dua ini kita ditugaskan untuk mencari User-Agent si attacker untuk menambahkan rules pada sebuah infrastruktur kita kedepannya.

Setelah mengetahui sumber IP, langkah berikutnya adalah menganalisis karakteristik permintaan HTTP yang dikirim oleh attacker. Dengan menerapkan filter http di Wireshark, paket HTTP dapat diisolasi sehingga lebih mudah dianalisis.

Pada salah satu request dari IP attacker, bagian header HTTP menampilkan informasi User-Agent, yang menunjukkan perangkat dan sistem operasi yang digunakan oleh pelaku.

Untuk menemukan User-Agent kita bisa filter httppada display as filter, dan melihat Protocol HTTP lebih dalam

Kemudian pilih paket dari attacker dan lihat bagian Hypertext Transfer Protocol.

User-Agent yang ditemukan: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/115.

Answer: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/115.0

Informasi ini penting untuk membuat rule deteksi atau filtering di IDS/IPS.

Q3: We need to determine if any vulnerabilities were exploited. What is the name of the malicious web shell that was successfully uploaded? (Kita perlu menentukan apakah ada kerentanan yang dieksploitasi. Apa nama web shell berbahaya yang berhasil diunggah?)

Penyelesaian: Serangan mulai terlihat jelas ketika ditemukan request HTTP dengan metode POST, yang biasanya digunakan untuk mengirim data ke server. Dengan filter:

http.request.method == "POST"

terlihat adanya aktivitas upload file yang mencurigakan.

terdapat 3 method POST yang mencurigakan dan akan berguna nantinya, kita bisa cek satu per satu untuk melihat file apa yang di upload oleh attacker, dan pada paket ke 60, kita bisa lihat dengan cara klik kanan paket > follow > HTTP stream dan terdapat sebuah HTTP stream yang menjelaskan apa yang dilakukan attacker

Nama file yang dikirim memiliki pola double extension, yaitu: image.jpg.php

Teknik ini umum digunakan untuk melewati validasi keamanan server yang hanya memeriksa ekstensi pertama. Meskipun terlihat seperti file gambar, sebenarnya file tersebut adalah script PHP yang dapat dieksekusi sebagai web shell.

answer: image.jpg.php

Q4: Identifying the directory where uploaded files are stored is crucial for locating the vulnerable page and removing any malicious files. Which directory is used by the website to store the uploaded files? (Mengidentifikasi direktori tempat file yang diunggah disimpan sangat penting untuk menemukan halaman yang rentan dan menghapus file berbahaya apa pun. Direktori mana yang digunakan oleh situs web untuk menyimpan file yang diunggah?)

Penyelesaian: Masih pada paket POST yang sama, informasi path tujuan upload dapat ditemukan di bagian URI HTTP request. Path yang teridentifikasi adalah:

Direktori ini kemungkinan merupakan folder penyimpanan file pengguna pada aplikasi web. Jika direktori tersebut memiliki izin eksekusi script, maka attacker dapat menjalankan file berbahaya yang telah diupload.

Answer: /reviews/uploads/

Q5: Which port, opened on the attacker's machine, was targeted by the malicious web shell for establishing unauthorized outbound communication? (Port mana yang dibuka di mesin penyerang yang menjadi sasaran web shell berbahaya untuk membangun komunikasi keluar yang tidak sah?)

Penyelesaian: Setelah file berhasil diupload, tahap berikutnya adalah eksploitasi web shell untuk mendapatkan akses jarak jauh ke sistem korban. Dengan menggunakan fitur Follow HTTP Stream seperti pada sebelumnya saat mengecek file apa yang di upload oleh attacker, kita dapat melihat port apa yang digunakan oleh si attacker.

Perintah tersebut menunjukkan penggunaan Netcat untuk membuat koneksi balik (reverse shell) menuju mesin attacker. Port yang digunakan dalam koneksi tersebut adalah: 8080

Reverse shell memungkinkan attacker mengontrol sistem korban secara langsung melalui command line.

Answer: 8080

Q6: Recognizing the significance of compromised data helps prioritize incident response actions. Which file was the attacker attempting to exfiltrate? (Memahami pentingnya data yang disusupi membantu memprioritaskan tindakan respons insiden. File mana yang coba dieksfiltrasi oleh penyerang?)

Penyelesaian: Pada tahap akhir serangan, attacker mulai melakukan eksplorasi sistem untuk mengambil informasi sensitif. Dari analisis komunikasi shell, ditemukan perintah yang mengakses file sistem Linux penting, kita bisa cek kembali dengan filter ini:

http.request.method == "POST"

kita sudah bisa melihat pada packet display yang ada dibawah kanan, terlihat sebuah direktori /etc/passwd,kita bisa memperjelas dengan meng klik kanan packet 267>follow>http stream

File ini berisi daftar akun pengguna pada sistem dan sering digunakan oleh attacker untuk melakukan privilege escalation atau password cracking secara offline.

Aktivitas ini mengindikasikan bahwa serangan telah mencapai tahap post-exploitation dan data exfiltration.

Answer: passwd