Black-box пентест: как одна панель управления раскрыла 30 поддоменов и Zabbix в открытом доступе

В сфере искусственного интеллекта произошло заметное событие. Cloud4Y только что Black-box пентест: как одна панель управления раскрыла 30 поддоменов и Zabbix в открытом доступе 8 мин 0 Блог компании Cloud4Y Информационная безопасность * Тестирование IT-систем * Системное администрирование * Серверное администрирование * Кейс Предисловие: все названия компаний, имена разработчиков и реальные IP-адреса изменены. Технические детали и векторы атак — настоящие. Недавно мне поступила задача: провести внешний black-box пентест клиентской панели управления.

Входных данных — минимум: только URL. Ни IP-диапазонов, ни схемы сети, ни описания архитектуры. Звучит как типичная история, но в процессе я наткнулся на такие грабли, что решил поделиться методологией.

Технические детали

Статья будет полезна и начинающим пентестерам, и админам, которые хотят понять, как их инфраструктуру видят из интернета. Этап 1: РазведкаПассивный сборНачал я с банального — посмотрел, что отвечает на запросы. curl -skI ответил:HTTP/2 200 Server: nginx Via: 1.

1 Caddy Set-Cookie: XSRF-TOKEN=... Set-Cookie: panel_session=... X-Frame-Options: SAMEORIGIN X-Content-Type-Options: nosniffУже интересно.

Видно, что за веб-сервером стоит Caddy в качестве обратного прокси, а сам апстрим — nginx. Cookie вида XSRF-TOKEN и название panel_session намекают на Laravel. Дальше — WAF-детекция:wafw00f WAF не обнаружен.

Отраслевые последствия

Это хороший знак для тестирования. Активное сканирование портовnmap -p- --min-rate=5000 -T4 -Pn -sS target-panel. ruРезультат меня удивил:PORT STATE SERVICE 80/tcp open http 443/tcp open https 65533 ports filteredИз 65535 портов открыто только два.

Это отличный показатель — межсетевой экран настроен грамотно. Большинство современных API-приложений так и работают: 80 → 443 редирект, 443 → приложение. Проверил и UDP — все порты фильтруются.

SSL/TLSБеглый анализ TLS показал, что с этим всё хорошо:TLS 1. 2: ECDHE-ECDSA-AES128-GCM-SHA256 (класс A) TLS 1. 2: ECDHE-ECDSA-AES256-GCM-SHA384 (класс A) TLS 1.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.