книги хакеры / журнал хакер / 146_Optimized

Разбираем

свежие

ОБЗОР

уязвимости

ЭКСПЛОЙТОВ

Итак, воткраткийтаймлайнвыходавсветинформацииобуязвимостях:

•21-годекабряпубликуетсяPoC, которыйвалитFTP-сервис, входящийвпакетIIS 7.5;

•22-годекабрянакитайскомхакерскомсайтеwooyun.org публикуетсяинформацияобуязвимостивActiveX'еWMI Administrative Tools;

•27-годекабряизвестныйхакерАндреаМикалицци, болееизвестныйкакrgod, публикуеткраткийанализуязвимостииPoC дляFax Cover Page Editor;

•4-гоянваряДжошуаДрэйкдобавляетэксплойтвmetasploit для оченьинтереснойуязвимостивобработкеэскизов, доэтоговдекабреМотииКсуХаопосвятилицелоевыступлениеэтойархитектурнойуязвимостинаазиатскойконференцииPOC2010;

•5-гоянварясотрудниккомпанииGoogle МихалЗалевскипубликуетинформациюобагевInternet Explorer'e.

ИнтереснопочитатьблогмелкомягкихSecurity Research & Defense, вкоторомоничастопубликуютинформациюоминимизациирисков— например, Workaround длязащитыотуязвимостив обработкеэскизов(CVE-2010-3970) путемпримененияACL-листов дляуязвимойбиблиотекиshimgvw.dll.

Также Microsoft стараются приуменьшить риск уязвимостей, ставя на некоторых ярлык DoS only, что иногда двигает хакеров к новым техникам обхода современных защит. Яркий пример

— уязвимость в FTP(CVE-2010-3972): эксперты из MS счита-

ют, что переполнение, при котором мы затираем метаданные константой(0xFF в данной случае), без контроля над адресами перезаписи не эксплуатабельно! Но двум реверсам в команде

— Крису Валазеку и Риану Смиту — удалось выжать максимум, получить контроль над EIP.

Однако «вторник патчей» не поразил большим количеством бюллетеней — всего два, закрывающие три уязвимости. Одна из которых (Insecure Library Loading в Backup Managere'e) уже стала банальностью, причем уязвимости подвержена только Vista. Второй бюллетень исправляет сразу две уязвимости в MDAC, одна из которых довольно интересна и даже использовалась на хакерском турнире Pwn2Own. С нее и начнем обзор.

01УДАЛЕННОЕ ИСПОЛНЕНИЕ КОДА В MICROSOFT DATA ACCESS COMPONENTS

TARGETS: Windows XP, 2003, Vista, 2008, 7

BRIEF

УязвимостьклассаInteger Overflow, которая, всвоюочередь, ведет кпереполнениюheap'a исвязанасобработкойсвойстваCacheSize ActiveX компонентаMSADO.

СвойствоCacheSize объектаRecordSet целочисленноготипа отвечаетзаколичествозаписей, которыебудутхранитьсявкэше набораданных. ВнутреннеCacheSize используетсяприрасчете памяти, выделяемойдляхраненияэтойинформации, чтоделается путемумноженияна4, таккаквкэшехранятсялишьидентификаторызаписейDWORD — 4 байта:

Уязвимыйкодвmsado.dll

Каквидишь, напрочьотсутствуетпроверкаситуации, когда CacheSize будетбольше0x40000000, чтоприведеткцелочисленномупереполнению, азначит— будетсозданбуфернекорректной длины, азатемпереполнениеизатираниепамяти.

Теперьделозатактикой. Во-первых, ккакойбазеданныхбудем делатьзапросы? ТутнамнапомощьпридеттехнологияXML Data Island, котораязаключаетсявтом, чтоспомошьюXML, внедренно- говhtml-страницу, мыэмулируембазуданных:

0x21212121 — хорошее значение для регистра EIP :)

Строение памяти для осуществления техники

Примервнедреннойбазыданных

<?xml version="1.0" encoding="utf-8" standalone="yes"?> <XML ID="xmlid1">

<Devices>

<Device> <HereIsCouldBeAnyData /> </Device>

</Devices>

</XML>

Во-вторых, каксделать, чтобывкэшпопадалакакая-тоинформа- циядляфорсированиязаписиданныхзаграницывыделенного буфера? ДляэтогоидеальноподходятметодыобъектаRecordSet: MoveFirst, MoveNext итакдалее. Этотфактпозволяетнамконтролироватьходперезаписипамяти, таккакмыужеимеемполный контрольнадразмеромбуфераинадтем, чтопишем.

АвторданнойуязвимостиПитерВрегденхилиспользовалвышеописанноедляоченьинтересноготрюка— утечкипамятисцелью обходаASLR.

Накартинкевыше:

•темныйцвет— буферкэша: размерподконтролематакующего;

•зеленыйцвет— строка, выделеннаявheap'e, коричневыйцвет

— завершающие2 0x00 байта;

•красныйцвет— объектC++, спервымDWORD темно-красного цвета.

Если добиться такого расположения объектов в памяти и затереть нулевые байты строки, а затем через JavaScript прочитать ее содержимое, то мы в конечном итоге наткнемся на 0x0000. Чтобы иметь возможность переписать память байтами 0x0000, надо создать очень много записей — более 0x00010001. Но не торопись: ведь после удаления какой-либо записи следующая новая запись получает инкремент идентификатора. Таким образом, создавая и удаляя записи в цикле, можно быстро добиться нужного значения:

function IncreaseRowCounter()

{

if(GlobalRowCounter < 0x10120)

{

for(i = 0; i < 0x300; i++)

{

GlobalRowCounter++; localxmlid2.AddNew(["BBBB"], ["c"]); localxmlid2.Delete();

}

var percentcomplete = Math.round( GlobalRowCounter /0x10120 * 100);

document.getElementById( 'progressfaseone').innerText = percentcomplete + "%";

window.setTimeout(IncreaseRowCounter, 100);

}

}

Стоитотметить, чтоавторскийэксплойтогромен: ониспользует сразудвеуязвимости(втомчислеописываемуюименносцелью обходаASLR), чтоведетквозможностиобойтиDEP путемвыстраи- ванияROP-последовательности. Mso.dll используетстандартную функциюVirtualProtect, спомощьюкотороймаркируетсяпамятьв томместе, гделокализованнашшелл-кодкакExecutable. Вторая уязвимостьклассаuse-after-free (CVE-2010-1262) былазапатчена ещевms10-035. Отличныйпример, когдакомбинацияиздвухуязвимостейувеличиваетэффективностьуспехаэксплуатации! Патчемжеявляетсяиспользованиепроверочнойфункции, которая выполняетумножениеипроверяетрезультатнапереполнение.

SOLUTION

Накатипатчms11-002: microsoft.com/technet/security/Bulletin/MS11002.mspx

ВЗЛОМ

02УДАЛЕННОЕ ИСПОЛНЕНИЕ КОДА В MICROSOFT GRAPHICS RENDERING ENGINE

TARGETS: Windows XP, 2003, Vista

BRIEF

Графическая подсистема Windows часто преподносит сюрпризы в области безопасности. На конференции POC2010 Моти & Ксу Хао выступили с докладом всего лишь про одну уязвимость, зато какую! Как известно,Explorer может отображать файлы по-разно- му, к примеру: если выбрать стиль отображения «Эскиз», то будут отображаться некоторые метаданные файла, а информацию о содержании (к примеру, docили pdf-документа) он берет из обыкновенного битмапа, присутствующего в файле.

Эта структура обрабатывается с помощью функции

ConvertDIBSECTIONToThumbnail библиотеки shimgvw. dll, которая, в свою очередь, вызывает функцию

CreateSizedDIBSECTION.

.text:5D020201 call _CreateSizedDIBSECTION@28

Функция CreateSizedDIBSECTION обрабатывает biClrUsed как знаковое значение (signed). Рассмотрим уязвимый код:

.text:5D01FC2D loc_5D01FC2D:

Из листинга видно, что если в ecx отрицательное значение, то мы обойдем проверку с константной длиной буфера, расположенного на стеке, тем самым форсируя переполнение. Практическая ценность этой уязвимости весьма велика, так как с помощью WebDav можно атаковать Internet Explorer. Рассмотрим локальный сценарий: нас заманили в директорию, где лежит файл со специально сформированным эскизом. В этом случае переполнение происходит в процессе Explorer.exe, что дает преимущества при эксплуатации на Windows XP, так как у процесса Explorer.exe флаг DEP установлен не в режиме permanent. Из-за этого с помощью ROP-цепочки можно отключить DEP, используя

SetProcessDEPPolicy или VirtualAlloc c RWX флагом.

Рассмотрим пример от авторов metasploit'a:

# формирование стека

'imp_VirtualAlloc',

'call [ecx] / pop ebp / ret 0x10', 0,

0x1000, # размер 0x3000, #

0x40, # RWX ôëàã

SOLUTION

Ознакомься с официальной адвизори от MS, там есть Fixit-ре- шение. Либо запрети подгрузку уязвимой DLL путем нехитрой команды: echo y| cacls %WINDIR%\SYSTEM32\shimgvw.dll /E

/P everyone:N

03ПОВЫШЕНИЕ ПРИВИЛЕГИЙ В AGNITUM OUTPOST SECURITY SUITE PRO

TARGETS:

Agnitum Outpost Security Suite Pro и все продукты Agnitum, име-

ющие в комплекте уязвимый драйвер VBEngNT.sys

BRIEF

В процессе поиска багов автор столкнулся с довольно интересным архитектурным багом: разработчики данной HIPS-системы защитили все свои псевдоустройства, кроме одного. Этот модуль играет роль своего рода DLL только в пространстве ядра. Handle на псевдоустройство \\.\vbengnt может получить права Guest и с помощью определенных ioctl-запросов переписать память по любому адресу в пространстве ядра, что ведет к очень простому сценарию эксплуатации. Что примечательно, ioctl-запросы ведут к прямому вызову экспортных функций, без какой-либо проверки указателей.

Учитывая, что экспортных фукнций у данной dll аж 50 - соответственно количество уязвимостей тоже 50.

Все эти функции обрабатывают параметры как указатели на определенные недокументированные структуры, не выполняя никаких проверок. Рассмотрим дизасм и определим самый простой сценарий эксплуатации.

Ioctl обработчик \\.\vbengnt

.text:0002B850 ioctl_handler proc

Далее идет проверка значения Ioctl-кода на определенный диапазон и вызов уязвимой функции:

Функция по адресу 0x0001DAA0 является своего рода шлюзом:

.text:0001DAA0 vuln_function proc near

.text:0001DAA0 arg_0 = dword ptr 4

.text:0001DAA0 arg_4 = dword ptr 8

.text:0001DAA0 arg_8 = dword ptr 0Ch

.text:0001DAA0 arg_C = dword ptr 10h