[Day27 ] Chained Exploits - 链式漏洞利用(漏洞利用组合技)

前言

前面介绍了很多Web攻击，今天来讲讲组合技吧

正文

在真实世界(real-world)的恶意攻击中，攻击者只依靠单一的漏洞进行利用反而不常见，常常是组合各种攻击达成最终目标，这也就是所谓的Chained Exploits，也可以用一个很简单的方式表达 - 漏洞利用的组合技。

通常Chained Exploits十分复杂，也很难进行防御，从(各种形式的)网路钓鱼，例如subdomain takeover或一般的邮件、之前介绍过(或没介绍到的)各种各样的Web攻击、资讯泄漏、无线网路、密码破解、後门/勒索软件安装到各种形式的提权(privilege escalation)技巧

一个简单的web范例是，透过LFI(或是info leak)存取web config，拿到某个网站管理者帐号密码，在管理者页面透过某个查询动作进行SQL Injection并使用INTO OUTFILE功能(或是任何可以触发RCE的技巧/web漏洞，如SSRF)拿到RCE。

从这些漏洞来看，LFI 或 info leak 的威胁性还算可控，虽然有资料被窃取的风险，但并不是每个被攻击的目标上都有敏感资讯 "直接" 存在於 Server 的目录中(例如存在於间接连线的 DB 就会相对安全)，也无法在这之上执行命令句或是送入其他攻击程序，另外，Server常常也不是使用者方管理，也不太会存敏感讯息，也可能用云端包装的服务，例如Azure 的App Service。而在管理者页面透过手段拿到的RCE，又因为需要先进行身分验证，所以在一般没有管理者权限的情况下无法利用。然而，搭配几个不一样的漏洞，就可以真正的拿到Initail Access。这两个漏洞缺一不可。

另一个经典的案例是Shamoon从MITRE Att&ck的叙述(下方连结)中可以看到，这个恶意软件使用了24种不同的手法将整个攻击链串起，完成了攻击。从图中也可以看到，很多漏洞的风险评级不不高，例如 CVE-2017-0213 本身被CVSS v3.0评为中等。
https://attack.mitre.org/software/S0140/

在F5的研究中也说明了如何利用domian name client poisoning(DNS cache poison)、van Beek's Microsoft Exchange Autodiscover vulnerability这三个低风险的漏洞，组合起来将其转变为一个高危漏洞。

关於详细资讯，可以看Proof of Concept section

而各种Chained Exploits这也是APT团体的惯用手法和研究的目标，经过长时间的研究和公开的已知漏洞结合或串起，将特定目标(或运行特定OS/软件的目标)攻陷。

最近最具知名度的莫过於Orange大神开发的Microsoft Exchange Server漏洞，对於漏洞组合技/Exploit Chain有兴趣的务必参考底下的Case Study。

Case Study

ProxyLogon

ProxyOracle

ProxyShell