Обзор эксплойтов

Докучаев Дмитрий aka Forb

Хакер, номер #079, стр. 079-045-1

(forb@real.xakep.ru)

[Anivirus Kaspersky local exploit]

Описание

Не так давно была найдена грубейшая уязвимость в отечественном антивирусе от Касперского. Суть ее в том, что касперская подсистема защиты напрямую вызывает функцию из драйвера klif.sys. Все было бы замечательно, если бы не один нюанс: со страницы драйвера снимается бит супервизора, что делает ее общедоступной для низкоуровневых приложений. Таким образом, никто не мешает перезаписать код этого драйвера специальной программой, а затем дождаться вызова функции. Разумеется, что вызванная процедура может содержать вредоносный код. Скажем, запуск привилегированного блокнота, что продемонстрировано в тестовом эксплойте :).

Скажу по секрету, что баг актуален только для Windows 2000. В Windows XP Касперский работает нормально. Видимо, это связано с улучшенной реализацией защиты операционной системы.

Защита

Защититься от данной напасти пока нельзя. Так что, если не хочешь быть невольной жертвой локального взломщика, удали антивирус со своей машины, либо установи защиту другого от производителя.

Ссылки

Тестовый эксплойт ты можешь скачать по адресу www.xakep.ru/post/27002/exploit.txt. Как я уже сказал, он запускает ноутпад под системным аккаунтом. Этот сплойт был протестирован под Win2k с пятой версией Каспера.

Злоключение

Как видим, Евгений Касперский допустил грубейшую ошибку в своем продукте. В результате это подорвало доверие пользователей к его продукту и подарило локальным взломщикам еще одну прекрасную лазейку в систему. Ведь изменить часть шеллкода для запуска другого приложения очень просто.

Greets

На этот раз о баге нам поведал наш соотечественник Илья Рабинович. Он описал суть ошибки, а также выложил тестовый эксплойт с примитивным шеллкодом.

[Invision Power Board 2.0.3 remote exploit]

Описание

В последнее время атаки на форумы стали очень популярны. Сперва хакеры рьяно ломали phpBB, затем пытались искать баги в движке vBulletin, а теперь взялись за популярную борду IBB. В скриптах этого форума нашлась брешь, позволяющая выполнить SQL-инжекцию и утащить пароль администратора.

Эксплойт работает по принципу брутфорса. Он инициализирует соединение с сервером, передавая скрипту поддельную кукизу администратора. Затем с помощью SQL-инжекции сценарий последовательно подбирает каждый символ MD5-пароля пользователя. В конце-концов пользователю выводится полный хэш. Его можно вставить в собственный кукиз, тем самым выдать себя за администратора и попасть в админку. Либо пойти иным путем - расшифровать пароль с помощью MD5Inside и использовать в других корыстных целях.

Защита

Чтобы защититься от уязвимости необходимо обновить версию форума до 2.0.4, либо вообще отказаться от этой борды. Надо сказать, что во второй версии используется вложенная авторизация, когда найденный MD5-хэш является очередным MD5-хэшем пользовательского пароля. В этом случае расшифровать пассворд почти невозможно.

Ссылки

Скачать перловый эксплойт можно отсюда: www.xakep.ru/post/26943/exploit1.txt. Существует так же подобный вариант сплойта на PHP, забрать его можно на www.xakep.ru/post/26943/exploit.txt.