Обзор эксплойтов

Докучаев Дмитрий aka Forb

Хакер, номер #082, стр. 082-081-1

(forb@real.xakep.ru)

[MDaemon IMAP Remote BoF Exploit]

Описание:

Занятная история с софтинкой MDaemon, которая представляет из себя почтовую службу от производителя ALT-N, началась еще с 20 июля. Некий kcope объявил о двух уязвимостях в сервисе. Первая представляла собой банальное переполнение буфера при создании новой папки. Злоумышленнику достаточно было залогиниться и выполнить команду A001 CREATE A, где A - более тысячи символов подряд. В итоге, служба прекращает свою дальнейшую жизнедеятельность. Узнав про это, производители MDaemon тут же залатали баг, но забыли, что багоискатель упомянул также про вторую уязвимость. Она была куда более ценной, чем CREATE-bug, ведь переполнение буфера можно осуществить даже не имея доступа к почтовику. Достаточно лишь отправить заветную последовательность байт, и сервис тут же упадет.

Эксплойт представляет собой перловый модуль, который всего-навсего следует чуть-чуть подправить и активировать из скрипта методом new().

Защита:

На момент выхода обзора последняя версия MDaemon была уязвима. Проверка производилась на моем ноутбуке с WinXP+SP2 на борту.

Ссылки:

Забирай эксплойт отсюда: www.securitylab.ru/poc/extra/239653.php. Также публикую ссылку на первоисточник - на странице www.securitylab.ru/vulnerability/source/211919.php ты можешь ознакомиться с деталями CREATE-бага и заценить эксплойт к нему.

Злоключение:

Путь MDaemon и не самый распространенный почтовый сервис, но достаточное количество пользователей и админов любят демон за его простоту и удобство в настройке. Посему для хакера открывается большая интернет-поляна для деструктивных действий :).

Greets:

Идея и реализация эксплойта принадлежит kcope. Затрудняюсь сказать к какой хак-команде он принадлежит, скорее всего, это просто девелопер-одиночка, не ищущий славы :).

[DameWare Remote BoF Exploit]

Описание:

DameWare Mini Remote Control Server представляет собой удобное средство администрирования для Win32-платформ. Прежде всего, этот продукт ценится за то, что не имеет конкретных зависимостей и очень прост в обслуживании - некая помощь начинающему администратору. Не так давно в сервере была найдена брешь, приводящая к переполнению буфера и, как следствие, к выполнению любого кода. Эксплойт полностью написан на языке Си и может использоваться как локально, так и удаленно. Злоумышленнику требуется скомпилировать исходник, затем запустить его с параметрами «хост порт IP-адрес backport». После успешной атаки на обратный адрес будет законнекчен шелл с правами SYSTEM.

Защита:

Защититься от уязвимости можно путем установки свежей версии (>gt;4.9). Взять программу можно по адресу www.dameware.com/download. Для обновления достаточно просто поставить новый релиз на предыдущий.

Ссылки:

Эксплойт с подробным мануалом по использованию можно скачать отсюда: www.securitylab.ru/poc/extra/239935.php.

Злоключение:

Характерным признаком того, что в системе установлен DameWare Server, служит открытый TCP порт 6129. Взломщику достаточно просканить большой сабнет на данный номер порта, а затем разгребать логи :).