Обзор эксплоитов
Докучаев Дмитрий aka Forb
Xakep, номер #053, стр. 053-081-1
(forb@real.xakep.ru)
Эксплоитов в сети бесчисленное множество, но все они делятся на две категории: публичные и приватные. Третьего просто не дано. В приватную категорию входят самые новые и убойные по силе экземпляры, готовые в любой момент уложить сервер на лопатки. Остальные эксплоиты выкладываются в общедоступных местах, вроде: bugtraq, ftp/web архивы и т.д. Их публикация обуславливается разными причинами: временными, потеря актуальности баги и т.д. Вперемешку с рабочими эксплоитами встречаются фейковые (поддельные) либо протрояненные версии, запуск которых на доверенной машине может обернуться фатальным исходом. Эта статья поможет тебе сориентироваться в огромном ассортименте публичных программ.
Ptrace-kmod exploit
Описание:
Итак, первый эксплоит, который я хотел бы описать, носит гордое имя ptrace-kmod exploit. Как ты, наверное, догадался, это продолжение цепочки многочисленных программ, использующих локальную уязвимость ptrace в ядре Linux. Прелесть этого экземпляра в том, что он способен взять рутовые права на ядрах 2.2.x и 2.4.x (до 2.4.20 включительно). Вдаваться в рутинный механизм его работы я не буду, просто скажу со слов разработчиков: эксплоит использует уязвимость ядра, заключающуюся в небезопасном создании процесса-потомка. В результате мы получаем root-права на удаленной системе.
Защита:
Обезопасить себя от этой уязвимости можно путем установки ядра 2.4.21, либо скачкой и последующей установкой специальных патчей, которые можно найти в bugtraq'ах. Еще раз повторюсь, что эксплоит актуален лишь для linux-платформ.
Ссылки:
http://packetstormsecurity.nl/0304-exploits/ptrace-kmod.c - первая рабочая версия эксплоита.
http://packetstormsecurity.nl/0304-exploits/myptrace.c - еще один релиз; по словам разработчиков, является более эффективным (были сделаны некоторые изменения по доступу к директории /proc).
Злоключение:
Революционная вещь. Если учесть инертность наших админов, можно уверенно сказать, что этот эксплоит будет актуален как минимум полгода.
Greets:
Дружно благодарим за создание этой рулезной тулзы нашего брата по разуму из Польши по имени Wojciech Purczynski (cliph@isec.pl).
Sambal exploit
Описание:
На втором месте - удаленный эксплоит для сервиса Samba v. <= 2.2.8. На этот раз уязвимыми оказались все платформы Linux, FreeBSD (4.x, 5.x), NetBSD (1.x) и OpenBSD (2.x, 3.1). Программа как обычно использует ошибки в переполнении буфера. Вот схема ее работы: после длительного bruteforce возвращаемых адресов, она выдаст (или не выдаст) удаленный root-shell. Причем у эксплоита может быть два режима: scan-mode (определяет версию smbd на удаленном сервере) и bruteforce-mode (собственно атака сервиса). Брутфорс может продолжаться от нескольких минут до часа (в зависимости от загруженности канала).
Защита:
Чтобы быть огражденным от этой баги, обновляй smbd до более свежей версии либо закрывай машину фаерволом.
Ссылки:
Рабочую версию эксплоита можно найти по ссылке: http://packetstormsecurity.nl/0304-exploits/sambal.c.
Злоключение:
Если быть в меру терпеливым, можно запросто насканить немалое количество уязвимых машин с дырявыми smbd. Поэтому напутствие админам: не откладывай на завтра то, что можешь обновить сегодня :).