Prämisse

In diesem Beitrag werde ich kurz darüber sprechen, wie Sie Ihren lokalen Microsoft Exchange-Server auf Anfälligkeit für CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065 oder HAFNIUM 0 Day Exploit testen.

Betroffene Produkte: Lokaler Microsoft Exchange-Server

Auswirkungen: Angreifer können Postfächer stehlen und weitere Malware-Angriffe starten

Holen Sie sich Hinweise zum OSCP-Zertifikat

„Untersuchung und Patchen von CVE-2021-26855 im lokalen Microsoft Exchange-Server“

*Überprüfen, ob der Server kompromittiert ist automatisch
#Laden Sie den Test-Proxylogon herunter von github

#Starten Sie die Eingabeaufforderung und geben Sie den folgenden Befehl ein, um die Exchange-Verwaltungsshell zu starten
<C:\LaunchEMS>
#Starten Sie dann den folgenden Befehl, um das Tool auszuführen.
<Get-ExchangeServer | .\Test-ProxyLogon.ps1 -OutPath $home\desktop\logs>
#Nur den lokalen Server testen
<C:.\Test-ProxyLogon.ps1 -OutPath $home\desktop\logs>

*Überprüfen, ob der Server kompromittiert ist manuell
#Suchen Sie in den folgenden Pfaden
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\8Lw7tAhF9i1pJnRo.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\OutlookZH.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\authhead.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\bob.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\current\one1.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\errorPage.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\errorPages.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\fatal-erro.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\log.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\logg.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\logout.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\one.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\one1.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\shel.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\shel2.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\shel90.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\a.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\default.aspx
C:\inetpub\wwwroot\aspnet_client\shell.aspx
C:\inetpub\wwwroot\aspnet_client\Server.aspx
C:\inetpub\wwwroot\aspnet_client\aspnet_client.aspx
C:\inetpub\wwwroot\aspnet_client\aspnet_iisstart.aspx
C:\inetpub\wwwroot\aspnet_client\aspnet_pages.aspx
C:\inetpub\wwwroot\aspnet_client\aspnet_www.aspx
C:\inetpub\wwwroot\aspnet_client\default1.aspx
C:\inetpub\wwwroot\aspnet_client\errorcheck.aspx
C:\inetpub\wwwroot\aspnet_client\iispage.aspx
C:\inetpub\wwwroot\aspnet_client\s.aspx
C:\inetpub\wwwroot\aspnet_client\session.aspx
C:\inetpub\wwwroot\aspnet_client\shell.aspx
C:\inetpub\wwwroot\aspnet_client\system_web\log.aspx
C:\inetpub\wwwroot\aspnet_client\xclkmcfldfi948398430fdjkfdkj.aspx
C:\inetpub\wwwroot\aspnet_client\xx.aspx
C:\inetpub\wwwroot\aspnet_client\Server.aspx
C:\inetpub\wwwroot\aspnet_client\discover.aspx
C:\inetpub\wwwroot\aspnet_client\HttpProxy.aspx
C:\inetpub\wwwroot\aspnet_client\OutlookEN.aspx
C:\inetpub\wwwroot\aspnet_client\supp0rt.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\OAB\log.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\log.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\logg.aspx
C:\Programme\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\logout.aspx

*Patchen der Sicherheitslücke

#Unter dem folgenden Link finden Sie eine Liste der Patches und Updates
https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901

*Vorübergehende Milderungen

#Laden Sie das unten stehende Abwehrskript herunter
https://github.com/microsoft/CSS-Exchange/releases/latest/download/ExchangeMitigations.ps1
#Führen Sie das Skript aus
<.\ExchangeMitigations.ps1 -WebSiteNames “Standardwebsite” -ApplyAllMitigations -Verbose>

*So testen Sie, ob Ihr Client anfällig ist, ohne auf seine Umgebungen zuzugreifen

#Laden Sie das folgende Nmap-Skript herunter und speichern Sie es unter /usr/share/nmap/scripts/
https://github.com/microsoft/CSS-Exchange/releases/latest/download/http-vuln-cve2021-26855.nse
<nmap -sV -A [target-ip] –script=http-vuln-cve2021-26855.nse>

#Ausführliche Informationen zu IOCs, Schadensbegrenzung und Patching finden Sie weiter unten.
https://github.com/microsoft/CSS-Exchange/tree/main/Security