PRTG Network Monitor est une plateforme de supervision sous Windows largement utilisée, dotée d'une interface web (sur 80/443, et 8080/8443 pour le serveur central). Elle est attaquée principalement via son authentification web et sa fonctionnalité de notification. L'administrateur par défaut est prtgadmin/prtgadmin, fréquemment laissé inchangé. Une fois authentifié en tant qu'administrateur, les notifications de PRTG, qui peuvent exécuter un programme ou un script externe lorsqu'une alerte se déclenche, sont détournables : un paramètre de commande forgé dans une notification s'exécute sur le serveur, et comme le service central de PRTG s'exécute en tant que Local System, cette exécution a lieu en tant que SYSTEM. Ainsi, une connexion web (identifiants par défaut ou faibles) s'enchaîne directement vers une exécution de code à distance de niveau SYSTEM sur le serveur de supervision, qui détient par ailleurs les identifiants que PRTG utilise pour superviser le parc.
curl -sk https://<target>/index.htm | grep -i prtg # fingerprint
curl -sk https://<target>:8080/public/checklogin.htm --data 'loginurl=&username=prtgadmin&password=prtgadmin'
Sous-thèmes#
- Énumération : identification du produit et de la version.
- Authentification : le compte prtgadmin par défaut et les identifiants faibles.
- Abus des commandes de notification : RCE SYSTEM via les notifications.
- Exploits connus : les vulnérabilités PRTG connues.