Обзор эксплойтов

Докучаев Дмитрий aka Forb

Хакер, номер #075, стр. 075-047-1

(forb@real.xakep.ru)

IE .ANI files handling Universal Exploit

Описание:

В прошлом обзоре эксплойтов я рассказывал про баг в обработке ani-файлов, а также упомянул про вышедший DoS’ер для многих NT-систем. Как я и предполагал, вслед за заподлянским DoS’ером хакеры выпустили универсальный эксплойт, открывающий шелл с административными привилегиями. Причем «универсальность» - не просто красивое слово. Этот деструктивный сишник компилируется как под Windows, так и под Linux.

Чтобы использовать эксплойт в корыстных целях достаточно его собрать и запустить с двумя параметрами: «зловредный файл» и «открываемый порт». После этого надо открыть с помощью IE сгенерированную html’ку, либо впарить ядовитую ссылку какому-нибудь ламеру.

Защита:

Защитить свою систему от напасти можно установкой спасительного патча (www.microsoft.com/technet/security/Bulletin/MS05-002.mspx), либо переходом на довольно стабильную связку WinXP+SP2. Что проще – решай сам :).

Ссылки:

Универсальный эксплойт находится здесь: www.securitylab.ru/_Article_Images/2005/01/HOD-ms05002-ani-expl.c. Можешь также почитать форум, где обсуждают это творение: www.securitylab.ru/forum/forum_posts.asp?TID=14131.

Злоключение:

По всем источникам ошибке присвоен статус «критическая». Это означает, что первая половина виндовых хакеров будут без проблем поднимать свои права на взломанных NT-системах, а вторая – заражать системы своих «друзей» ссылками на якобы бесплатную порнуху или кряки.

Greets:

Благодарим houseofdabus за написание и публикацию сокрушительного эксплойта. Заметь, что автор сознательно выложил файл на некоторые bugtraq-ленты и присвоил ему статус PUBLIC v0.2. Ждем дальнейших релизов :).

Exim 4.x Remote BOF Exploit

Описание:

В середине февраля багоискателями были найдены две серьезные бреши в свежей версии известного почтовика Exim. Первый баг, носящий локальный характер, затаился в функции inet_aton(). Переменная, которая ей передавалась, не проверялась на размер и могла быть легко подделана. Вторая ошибка содержится в функции spa_base64_to_bits(), которая используется для SPA-аутентификации. Эта дыра более серьезная, чем первая, так как переполнение может быть осуществлено удаленным злоумышленником (выпущенный эксплойт использует именно этот баг).

Эксплойт содержит в себе всего один адрес возврата, используемый для Debian+Exim 4.34-9. Остальные адреса придется перебирать, благо в коде встроен универсальный брутфорс.

Защита:

Для спасения от бага просто установи более свежую версию Exim. Либо вообще откажись от его использования :).

Ссылки:

Забирай эксплойт отсюда :www.securitylab.ru/_Article_Images/2005/02/ecl-eximspa.c. Если тебе интересны технические подробности найденных багов, то обязательно посети www.securitylab.ru/51501.html.

Злоключение:

Удаленные эксплойты, как правило, не приводят ни к чему хорошему. Взломщики опять начнут сканить случайные подсети, а администраторы будут обновлять софт. А если не будут, то станут случайными жертвами взломщиков :).

Greets:

Эксплойт был написан командой русских хакеров под чутким руководством Юрия Гущина (yuri@eclipse.org.il). Очень приятно, что наши ребята часто выделяются в багтраках.