피드로 돌아가기
Dev.toSecurity
원문 읽기
CVE-2023-27532 및 취약한 메일 서버를 통한 SYSTEM 권한 탈취
HackTheBox: JobTwo Writeup
AI 요약
Context
Windows Server 2022 기반 기업 환경에서 외부 접점인 SMTP와 웹 서버의 설정 오류를 이용한 공격 시나리오임. 인증되지 않은 메일 수신 허용과 매크로 실행 권한이 부여된 메일 처리 봇의 조합으로 인해 외부 공격자의 초기 진입 장벽이 매우 낮은 구조적 한계를 가짐.
Technical Solution
- VBA AutoOpen 매크로를 포함한 .docm 파일을 SMTP(Port 25)로 직접 전송하여 내부 메일 봇의 자동 실행 유도
- PowerShell Reverse Shell 페이로드를 통한 초기 사용자(julian) 권한의 Remote Code Execution 달성
- hMailServer의 설정 파일(.INI) 내 암호화된 DB 패스워드를 복호화하여 계정 정보가 담긴 .sdf 데이터베이스 파일에 접근
- 추출한 SHA-256 해시값을 Cracking하여 타 사용자(ferdinand)로의 Lateral Movement 수행
- Veeam Backup & Replication의 WCF 엔드포인트(Port 9401)에서 발생하는 CVE-2023-27532 취약점을 이용한 인증 우회
- xp_cmdshell을 통한 커맨드 실행으로 NT AUTHORITY\SYSTEM 최고 권한 획득
실천 포인트
- SMTP 서버의 Open Relay 설정을 차단하고 발신자 인증 메커니즘 도입 - Word, Excel 등 오피스 문서의 VBA 매크로 실행을 그룹 정책(GPO) 수준에서 전면 제한 - 데이터베이스 암호 및 설정 파일 내 민감 정보의 강력한 암호화 및 접근 제어 적용 - Veeam 등 백업 솔루션의 최신 패치 적용 및 불필요한 관리 포트(9401 등)의 외부 노출 차단