Обзор эксплоитов
Докучаев Дмитрий aka Forb
Xakep, номер #057, стр. 057-058-1
(forb@real.xakep.ru)
Cisco DoS exploit
Описание:
17 июля 2003 года в bugtraq появилась статья об уязвимости роутеров Cisco. После того как на циску отправлялся умело сгенерированный Ipv4 пакет определенного протокола, злоумышленник мог заблокировать интерфейс машины. Вскоре появился удаленный эксплоит, реализующий эту багу. Но в коде были умышленно добавлены ошибки, поэтому эксплоит приходилось обрабатывать напильником, иначе он не работал. Примечательно, что исправить эти ошибки мог человек, знающий Си весьма поверхностно. А через несколько дней появился другой эксплоит, демонстрирующий эту же уязвимость, но полностью рабочий.
Защита:
В срочном порядке Cisco выпустила новую версию своего софта. Получить информацию об этом можно на advisory официального сайта: www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml. Если ты ленивый админ и не хочешь менять софт, то просто добавь несколько правил в access-list роутера:
access-list 101 deny ХХХ any any
где вместо ХХХ должны быть следующие значения: 53, 55, 77, 103. Именно по этим протоколам и происходит DoS.
Ссылки:
Первая версия эксплоита лежит тут: www.security.nnov.ru/files/shadowchode.tar.gz. Вторая, более умная и доработанная берется отсюда: www.security.nnov.ru/files/cisco-bug-44020.tar.gz.
Злоключение:
В багтраке этой уязвимости дали самую высокую степень опасности, потому как DoS циски приводит к отключению от внешнего мира одного (а то и больше) сегмента сети. Поэтому, если ты еще не отреагировал на эту уязвимость, сделай это немедленно!
Greets:
Первый эксплоит был написан неким [L0cK]. Во второй версии информация об авторе отсутствует.
RPC DCOM Remote Exploit
Описание:
Если ты думаешь, что я в этой рубрике обозреваю лишь *nix-уязвимости, то ты ошибаешься :). Пришло время рассказать о бажной винде. Эксплоит вышел 25 июля 2003 года, хотя инфа о баге появилась несколько раньше. Суть заключалась в банальном переполнении буфера в сервисе RPC (включен по умолчанию во всех версиях Win2k/NT/XP). После запроса на открытие текстового документа с длинным названием, вызывается шелл с правами администратора на 4444 порту. В случае если хакер гуру Win-консоли, он может сделать что угодно: добавить второго администратора, запустить трояна либо просто отформатировать винт :).
Защита:
Сервис RPC на NT-платформах выключить невозможно, а в случае, если таргет определен неправильно (со 100% уверенностью узнать удаленную версию невозможно) - сервис загибается, а XP вообще уходит в авто-reboot. Единственное, что могу порекомендовать, это поставить патч от Майкрософт (www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS03-026.asp), закрыть фаерволом 135 порт, либо... установить Linux.
Ссылки:
Эксплоит находится по адресу www.security.nnov.ru/files/w2krpcdos.c. Портированная версия для FreeBSD также существует (http://void.ru/cgi-bin/fget?files/1109/hdm-dcom-fbsd.c). Новый эксплоит с 48 различными целями находится тут: www.security.nnov.ru/files/dcom48.c.
Злоключение:
Эксплоит будет актуален очень долгое время, т.к. WinXP очень полюбилась ламерам и юзерам средней продвинутости. К тому же мало кто из них задумывается о защите своей тачки фаерволом...