Avito и SPbCTF показали цепочку SSRF → IAM → RCE на CTF HoneyBadger

Соревнования по спортивному хакингу всё чаще становятся площадкой, где специалисты по информационной безопасности отрабатывают реальные сценарии атак в контролируемой среде. AvitoTech совместно с SPbCTF провели HoneyBadger CTF, разделив участников на две лиги: «Медовую» для новых игроков и «Барсучью» для продвинутых. Задача МёдХантер из «Медовой лиги» оказалась одной из самых сложных: чтобы достать сразу три флага из одной системы, нужно было выстроить многоступенчатую цепочку эксплуатации уязвимостей.

Подробности

Задание представляло собой игрушечный сервис для поиска работы. Точкой входа стала функция импорта резюме по ссылке — на первый взгляд безобидная возможность, которая на деле открывает путь к SSRF (Server-Side Request Forgery). Через неё участники могли инициировать запросы от имени сервера и постепенно продвигаться вглубь инфраструктуры. Дальнейшая цепочка, как следует из названия разбора, включает эксплуатацию механизмов IAM (управления доступом) и завершается RCE (Remote Code Execution) — запуском собственного кода на чужом сервере. Таким образом, последовательность SSRF → IAM → RCE позволяет пройти путь от внешней, казалось бы, малозначимой функции до полной компрометации хоста. Именно комбинация этих классов уязвимостей и делает сценарий показательным: по отдельности каждая из них может выглядеть ограниченной, но вместе они образуют полноценный вектор атаки. Отдельно стоит отметить формат: три флага в одной системе подразумевают несколько этапов и требуют не только технических навыков, но и методичного исследования. Подробный разбор задания опубликован в блоге на Хабре.

Что делать

История с CTF — это в первую очередь напоминание о типовых ошибках, которые встречаются и в продакшене. Вот что стоит проверить в своих системах: - Функции загрузки и импорта данных по внешним ссылкам. Ограничивайте исходящие запросы сервера, используйте allowlist доменов и блокируйте доступ к внутренним адресам и метаданным облачных сервисов. - Права сервисных аккаунтов и роли IAM. Придерживайтесь принципа минимальных привилегий: сервис импорта резюме не должен иметь доступ к чувствительным ресурсам или возможности повышать привилегии. - Изоляция выполнения кода. Даже при компрометации одного компонента атакующий не должен получать возможность выполнить произвольный код на хосте. - Регулярные учения и CTF. Разбор подобных цепочек помогает командам заранее увидеть, как безобидная на первый взгляд функциональность складывается в критичный вектор атаки. Итог: задание МёдХантер наглядно демонстрирует, что реальные атаки редко состоят из одной уязвимости — опасность представляет их связка. Регулярный анализ подобных сценариев и проверка собственных сервисов на похожие цепочки помогают снизить риск ещё до того, как им воспользуется злоумышленник.

Источник: Хабр — Информационная безопасность