Résolution Scénario 1 "Stellar Wars" - Exercice 3 "Le Réseau Contre-Attaque"

Présentation de la vulnérabilité exploitée

L’attaque cible une faille de configuration dans OpenVPN sur pfSense et l’exploitation d’un partage NFS insuffisamment sécurisé. L’attaquant, armé d’identifiants récupérés, accède au réseau interne via VPN, puis exploite le protocole NFS pour récupérer des clés et données sensibles sur le serveur de fichiers. L’examen approfondi des journaux système, pare-feu et des contenus extractibles permet de remonter le cheminement d’escalade jusqu'à la console principale du dispositif.

Points clefs :

• NFS autorise l’accès distant transparent et, mal configuré, facilite l’exfiltration de données.
• L’analyse alignée des logs VPN, pare-feu, et système reconstitue la séquence de compromission.
• L’obtention de clés/passe via des fichiers git, sur branches non fusionnées, enrichit l’exploitation.

Outils utilisés

• grep, zgrep, less : analyse de logs et de fichiers texte.
• tar : extraction d’archives (stellar-wars.tar.gz, root.tar.gz).
• git : exploration d’historiques de branches et de commits.
• Outils d’analyse réseau et de gestion SSH standards sous Linux.

Fichiers fournis

• openvpn.log : journal des connexions VPN.
• filter.log : journal du pare-feu pfSense.
• system.log : logs système pfSense.
• stellar-wars.tar.gz : archive du serveur de fichiers (contenant notamment un dépôt git).
• root.tar.gz : archive du répertoire root.
• Autres logs utilisateurs et d’authentification.

Étape 1 : Recherche de l’identifiant trouvé lors de l'étape 2 dans les logs OpenVPN

grep <ID> openvpn.log

Exemple de sortie :

2025-07-20 10:12:01 ... : <ID>/X.X.X.X:49999 peer info: IV_COMP_STUBv2=1
2025-07-20 10:12:01 ... [<ID>] Peer Connection Initiated with [AF_INET]Y.Y.Y.Y:45523

L’IP de l’attaquant est repérée : X.X.X.X
L'IP virtuelle sur le VPN de l'attaquant est repérée: Y.Y.Y.Y

Étape 2 : Corrélation avec les logs pare-feu (filter.log)

grep <IP_virt_VPN_attaquant> filter.log

On observe des connexions sur le port ????/tcp, confirmant l’utilisation du protocole lié pour accéder au serveur de fichiers.

• *Protocole utilisé pour obtenir des données :

Étape 3 : Analyse du serveur de fichiers (stellar-wars.tar.gz)

Extraction de l’archive puis inspection des dossiers révèlent la présence d’un dépôt git et de le fouiller consciencieusement pour trouver un serveur git. Exploration avancée :

tar -xzf stellar-wars.tar.gz
cd extracted_folder
git branch         # On repère la branche 'exion' jamais mergée
git log exion      # Recherche dans les commits de 'exion'

La clé API est retrouvée dans un dossier spécifique du dépôt git, stockée dans la branche non fusionnée exion. L’analyse de l’historique des commits de cette branche révèle l’introduction de la clé.

• Clé API trouvée :

c1590b799c46b12f954ccfd7cc3e5a1a892e7eca068c2cfcb4eb4f6846de9225d242b3089e87cbc7403cd07fe0a10a7f433ecbfe6aeba95c742234936cea78fc

Étape 4 : Escalade sur pfSense via logs système

Analyse des logs système (system.log, auth.log), les commandes suivantes sont là pour simplifier les recherches des root FIC :

grep <admin_user_used> system.log
grep <admin_user_used> auth.log

On identifie l’utilisation d'un compte créé pour effectuer le pivot sur la machine pfSense après extraction de la clé.

• Utilisateur servant au pivot :

Étape 5 : Découverte du fichier vulnérable pour la console

Après extraction de la racine du système de fichiers :

ls <path_to_auth_keys>
cat <path_to_auth_keys>

Le fichier vulnérable permettant l’accès console est :

Étape 6 : Machines impliquées lors de l’escalade

La relecture des flux réseau/logs révèle la trajectoire de l’attaque via les IP :