M06: Security Misconfiguration

Wer greift eine Anwendung an, ohne die Regeln des Betreibers gelesen zu haben?

Gesucht ist die Datei, in der ein Betreiber seine Sicherheitskontakte und Regeln hinterlegt.

Es gibt einen standardisierten Pfad dafür. Der Shop hält sich daran.

Kein Exploit nötig. Die Aufgabe übt die Haltung und zeigt zugleich, dass so eine Datei zur Grundkonfiguration gehört.

Die Entwickler haben ihr Cloud-Deployment und die Container irgendwie automatisiert.

Solche Werkzeuge legen ihre Konfiguration in einem Verzeichnis mit sehr vorhersagbarem Namen ab.

Gängige Verzeichnisnamen ausprobieren, die verbreitete Deployment- und Infrastruktur-Werkzeuge per Konvention benutzen.

Dieses Verzeichnis wird in Aufgabe 3 und später in M09 noch gebraucht.

Brute Force scheitert: das Passwort ist zu stark.

Es gibt einen anderen Weg, sich auszuweisen, als das richtige Passwort zu kennen.

Nach sensiblen Informationen suchen, die versehentlich mit der Anwendung deployt wurden – siehe Aufgabe 2.

Eine Terraform-Datei im Infrastruktur-Verzeichnis enthält ein Geheimnis, mit dem sich Tokens selbst ausstellen lassen.

Zuerst herausfinden, wer Morty wirklich ist. Das verkleinert den Suchraum.

Morty hat wahrheitsgemäß geantwortet, aber verschleiert – Stichwort Leetspeak.

Die Antwort ist kürzer als zehn Zeichen und enthält keine Sonderzeichen.

„Passwort vergessen“ ist rate-limitiert. Den Schutz irgendwie umgehen.

Die eigentliche Schwäche ist eher menschlich als technisch.

Um Missbrauch vorzubeugen, ist das Passwort des Support-Kontos sehr stark.

Für den Zugriff im Vorfall nutzt das Team ein zusätzliches Tool, über das jede Support-Person das aktuelle Kontopasswort holen kann.

Ein wichtiger Hinweis liegt im Ordner /ftp/.

SQL Injection als Support-Team ist möglich, löst die Aufgabe aber nicht.