• Курсы Академии Кодебай, стартующие в мае - июне, от команды The Codeby

    1. Цифровая криминалистика и реагирование на инциденты
    2. ОС Linux (DFIR) Старт: 16 мая
    3. Анализ фишинговых атак Старт: 16 мая Устройства для тестирования на проникновение Старт: 16 мая

    Скидки до 10%

    Полный список ближайших курсов ...

Гостевая статья Неправильная настройка NFS

NFS означает «Сетевая файловая система», и это сервис, который можно найти в системах Unix. Цель NFS - предоставить пользователям доступ к общим каталогам в сети. Однако для правильной настройки необходимо предпринять особые усилия со стороны системных администраторов. общий ресурс NFS. Для нужд этой статьи мы будем использовать Metasploitable 2, в котором по умолчанию неправильно настроена служба NFS.

Допустим, мы отсканировали систему и обнаружили службу NFS, работающую на порте 2049, как видно из рисунка ниже:

xss-stored17.jpeg

Порт NFS открыт

Теперь мы можем использовать команду showmount -e IP для получения списка доступных общих ресурсов удаленной системы.

xss-stored18.jpeg

Экспорт NFS

Это означает, что корневой каталог удаленной системы является общим! С точки зрения безопасности это может быть катастрофическим, поскольку любой злоумышленник может смонтировать весь каталог, и он может просмотреть содержимое в локальном каталоге, как это видно на следующих трех следующих изображениях :

xss-stored19.jpeg

смонтировать каталог

xss-stored21.jpeg

Показать папку для монтирования

xss-stored20.jpeg

Содержимое корневого каталога

Как мы видим, мы можем просматривать папки корневого каталога и, конечно, можем получить содержимое / etc / passwd и / etc / shadow, чтобы иметь пользователя удаленного компьютера и хэши паролей.

xss-stored22.jpeg

Содержимое / etc / passwd

xss-stored23.jpeg

Содержимое / etc / shadow

Вывод

Эта статья была просто примером того, как злонамеренный злоумышленник может использовать неверную конфигурацию NFS. Конечно, в настоящее время системному администратору трудно совершать подобные ошибки, но всегда полезно знать команды и что делать в Ситуация, подобная этой, особенно когда NFS является предметом сертификации, связанной с безопасностью.


Источник:
 
Последнее редактирование:
  • Нравится
Реакции: Bugster
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!