Обзор эксплоитов

Докучаев Дмитрий aka Forb

Xakep, номер #054, стр. 054-078-2

Чем он примечателен? Такого количества таргетов я не видел нигде. Если в первой версии было около 20-30 рабочих целей, то во второй их уже 138. Тут и RedHat, и Mandrake, и Cobalt, и даже FreeBSD. Причем разработчики уверяют, что все таргеты исправно работают.

Используя ошибку в протоколе SSL, эксплоит переполняет буфер и запускает интерактивный шелл с правами nobody (в Cobalt даже с правами root!), предоставляя тебе возможность "добить" жертву локально (при помощи того же ptrace-kmod exploit, про него говорилось в предыдущем обзоре).

Авторы эксплоита позволяют добавлять свои цели. Для этого надо узнать адрес переполнения и изменить константу MAX_ARCH в теле эксплоита. По умолчанию она равна 138.

Защита:

Большинству админов хватило первой версии, чтобы побороть собственную лень и обновить-таки апач и OpenSSL до более свежих версий. Но существуют люди и с иным мнением :). Надеюсь, ты не в их числе. Так что на всякий случай проверь, чтобы версии твоего апача не было в таргетах этого чудо-эксплоита.

Ссылки:

Скачать вторую версию OpenFuck можно по адресу: http://packetstormsecurity.nl/0304-exploits/OpenFuckV2.c. Обязательно используй ключик -lcrypto для компиляции эксплоита.

Злоключение:

Вторая версия дает лишь разнообразие целей. Но помни, что админы давно уже пропатчили свои системы, ибо столкнулись с толпой скрипткиддисов, атакующих их сервера :). Но чем черт не шутит, если в инете еще полно непропатченных IIS серверов, то дырявых OpenSSL должно быть еще больше... Поиск, поиск и еще раз поиск!

Greets:

Эксплоит был выложен в public-архивы неким Spabam. Сайт автора http://spabam.tk. Для тех, кто желает пообщаться с ним вживую, рекомендую зайти на IRC-канал #hackarena сервера irc.brasnet.org, предварительно захватив с собой русско-бразильский словарь :).