Obtenir un accès à Zabbix est la porte d'entrée vers ses fonctionnalités d'exécution de code et ses identifiants stockés, et il existe plusieurs voies. Le compte superadmin Admin par défaut est livré avec le mot de passe zabbix et est fréquemment laissé inchangé. Les mots de passe faibles et l'absence de politique stricte rendent la force brute et la pulvérisation efficaces. Le compte guest intégré, lorsqu'il est activé, accorde un accès en lecture non authentifié. Certaines versions ont connu des failles de contournement d'authentification de l'API. Et les cookies de session ou jetons d'API volés sont rejoués directement. Ce qui importe après l'accès, c'est le rôle du compte : un Super admin déverrouille l'exécution de scripts et la configuration complète, tandis que des rôles moindres peuvent tout de même permettre une exécution basée sur les éléments selon les permissions.
# web login and API login both validate the same credentials
Z=https://<target>/zabbix/api_jsonrpc.php
curl -sk $Z -H 'Content-Type: application/json-rpc' \
-d '{"jsonrpc":"2.0","method":"user.login","params":{"username":"Admin","password":"zabbix"},"id":1}'
Sous-thèmes#
- Identifiants par défaut : Admin/zabbix et invité.
- Mots de passe faibles : mots de passe courants et réutilisés.
- Force brute : attaques en ligne sur la page de connexion.
- Accès invité : le compte invité en lecture seule intégré.
- Contournement d'authentification de l'API : failles de contournement d'authentification propres à la version.
- Vol de session et de jeton : rejeu de sessions et de jetons d'API volés.