Обзор эксплойтов

Докучаев Дмитрий aka Forb

Хакер, номер #078, стр. 078-051-1

(forb@real.xakep.ru)

[HOD-icmp-attacks-poc.c Universal Exploit]

Описание:

Помнишь виндовый сплойт, который я описывал в предыдущем обзоре? Пару недель назад появился более продвинутый экземпляр, позволяющий рвать коннекты и уводить в даун множество операционных систем. Поразительно, но эксплойт способен глушить как маршрутизаторы Cisco, так и обычные WinXP и Win2k. Все дело в том, что баг в реализации ICMP позволяет отрубать или замедлять соединения и по другим протоколам — TCP и BGP.

Эксплойт легко компилируется как под Windows, так и под Linux. Для сокрушительного удара необходимо указать несколько простых параметров: IP-сервера, IP-клиента, порты и тип атаки. Так, например, если атака происходит с сервера 192.168.0.1, а атакуемый имеет адрес 192.168.10.2, то запускать бинарник следует так:

./exploit -fi:192.168.0.1 -ti:192.168.10.2 -fp:80 -tp:1023 -a:1.

После старта эксплойта произойдет атака, и на удаленной машине оборвутся все TCP-сессии.

Зашита:

Для защиты следует установить спасительный патч от MS (www.microsoft.com/technet/security/Bulletin/MS05-019.mspx) либо обновить прошивку Cisco (www.cisco.com/warp/public/707/cisco-sa-20050412-icmp.shtml).

Ссылки:

Эксплойт можно скачать по адресу www.xakep.ru/post/26392/exploit.txt. Если возникнут проблемы с компиляцией, забирай уже готовый бинарник отсюда: http://sector18.narod.ru/icmp.exe.

Злоключение:

Этот эксплойт имеет версию 0.2. Автор не отрицает, что будут выпущены следующие версии, а это значит, что админам есть смысл волноваться за свои маршрутизаторы и воркстейшны.

Greets:

Объявляем благодарность хакеру houseofdabus. Если хочешь связаться с ним, зайди в его ЖЖ (www.livejournal.com/users/houseofdabus) и оставь положительный комментарий :).

[Microsoft Exchange Server Remote Code Execution]

Описание:

В известном продукте от MicroSoft недавно обнаружили досадную уязвимость. Ошибка закралась в библиотеку xlsasink.dll. Баг позволяет злоумышленнику переполнить кучу с помощью специально сформированной команды. В пересылаемом шеллкоде взломщик аккуратно располагает код, который выполнится с правами SMTP-службы (по умолчанию Local System).

Эксплойт написан на языке Perl и протестирован на системе Win2k En + SP4. В используемом шеллкоде зашит вызов функции MessageBoxA(MS05-021 Test). Естественно, никто не мешает тебе покопаться в сплойте и вызвать другую функцию, скажем, system("format d:") :).

Защита:

Чтобы не было мучительно больно, рекомендуется установить третий сервис-пак для Win2000 MicroSoft Exchange Server
(http://download.microsoft.com/download/3/6/a/36ae7b61-e8fb-4662-b0b1-5b76c267f633/Exchange2000-KB894549-x86-ENU.exe).

Ссылки:

Эксплойт ждет своего часа здесь: www.xakep.ru/post/26368/default.asp. Более подробное описание бага можно посмотреть тут: www.securitylab.ru/53956.html.

Злоключение:

К счастью для админов, не все системы уязвимы. Так, например, для эксплуатирования Exchange Server в Win2003 необходимо предварительно авторизоваться, что значительно усложняет задачу хакера.

Greets:

Дружно снимаем шляпы перед Евгением Пинчуком. Он является автором эксплойта. Также в заголовке сишного файла передается привет этим людям: Alex Behar, Yuri Gushin, Ishay Sommer, Ziv Gadot and Dave Hawkins.