ધ એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ IV: DDE અને વર્ડ ડોક્યુમેન્ટ ફીલ્ડ્સ

આ લેખ ફાઇલલેસ માલવેર શ્રેણીનો એક ભાગ છે. શ્રેણીના અન્ય તમામ ભાગો:

• ધી એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ I
• પ્રપંચી માલવેરના એડવેન્ચર્સ, ભાગ II: સિક્રેટિવ VBA સ્ક્રિપ્ટ્સ
• ધ એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ III: હાસ્ય અને નફા માટે ગંઠાયેલ વીબીએ સ્ક્રિપ્ટ્સ
• પ્રપંચી માલવેરના એડવેન્ચર્સ, ભાગ IV: DDE અને વર્ડ ડોક્યુમેન્ટ ફીલ્ડ્સ (અમે અહીં છીએ)

આ લેખમાં, હું સિસ્ટમ પર પિનિંગ સાથે વધુ જટિલ મલ્ટી-સ્ટેજ ફાઇલલેસ એટેક દૃશ્યમાં ડાઇવ કરવા જઈ રહ્યો હતો. પરંતુ પછી હું એક અવિશ્વસનીય સરળ, નો-કોડ હુમલો આવ્યો—કોઈ વર્ડ અથવા એક્સેલ મેક્રોની જરૂર નથી! અને આ લેખોની આ શ્રેણી હેઠળની મારી મૂળ પૂર્વધારણાને વધુ અસરકારક રીતે સાબિત કરે છે: કોઈપણ સંસ્થાના બાહ્ય પરિમિતિને તોડવું એ મુશ્કેલ કાર્ય નથી.

પ્રથમ હુમલો જે હું વર્ણન કરીશ તે માઇક્રોસોફ્ટ વર્ડની નબળાઈનો ઉપયોગ કરે છે જે તેના પર આધારિત છે જૂના ડાયનેમિક ડેટા એક્સચેન્જ પ્રોટોકોલ (DDE). તેણી પહેલેથી જ હતી નિશ્ચિત. બીજું Microsoft COM અને ઑબ્જેક્ટ ટ્રાન્સફર ક્ષમતાઓમાં વધુ સામાન્ય નબળાઈનો ઉપયોગ કરે છે.

DDE સાથે ભવિષ્ય પર પાછા જાઓ

બીજા કોઈને DDE યાદ છે? કદાચ ઘણા નથી. તે પ્રથમમાંની એક હતી ઇન્ટર-પ્રોસેસ કમ્યુનિકેશન પ્રોટોકોલ કે જે એપ્લિકેશનો અને ઉપકરણોને ડેટા ટ્રાન્સફર કરવાની મંજૂરી આપે છે.

હું પોતે તેનાથી થોડો પરિચિત છું કારણ કે હું ટેલિકોમ સાધનોની તપાસ અને પરીક્ષણ કરતો હતો. તે સમયે, DDEએ, ઉદાહરણ તરીકે, કોલ સેન્ટર ઓપરેટર્સને CRM એપ્લિકેશનમાં કોલર આઈડી ટ્રાન્સફર કરવાની મંજૂરી આપી, જેણે આખરે ગ્રાહક કાર્ડ ખોલ્યું. આ કરવા માટે, તમારે તમારા ફોન અને તમારા કમ્પ્યુટર વચ્ચે RS-232 કેબલને કનેક્ટ કરવાની હતી. એ દિવસો હતા!

જેમ જેમ તે બહાર આવ્યું છે, માઇક્રોસોફ્ટ વર્ડ હજુ પણ છે આધાર આપે છે DDE.

કોડ વિના આ હુમલાને શું અસરકારક બનાવે છે તે એ છે કે તમે DDE પ્રોટોકોલને ઍક્સેસ કરી શકો છો સીધા વર્ડ ડોક્યુમેન્ટમાં ઓટોમેટિક ફીલ્ડમાંથી (સેન્સપોસ્ટ માટે હેટ્સ ઓફ સંશોધન અને પ્રકાશનો તેના વિશે).

ફીલ્ડ કોડ્સ એક અન્ય પ્રાચીન એમએસ વર્ડ સુવિધા છે જે તમને તમારા દસ્તાવેજમાં ડાયનેમિક ટેક્સ્ટ અને થોડી પ્રોગ્રામિંગ ઉમેરવાની મંજૂરી આપે છે. સૌથી સ્પષ્ટ ઉદાહરણ પૃષ્ઠ નંબર ફીલ્ડ છે, જે {PAGE *MERGEFORMAT} મૂલ્યનો ઉપયોગ કરીને ફૂટરમાં દાખલ કરી શકાય છે. આ પૃષ્ઠ નંબરોને આપમેળે જનરેટ કરવાની મંજૂરી આપે છે.

સંકેત: તમે Insert હેઠળ ફીલ્ડ મેનુ આઇટમ શોધી શકો છો.

મને યાદ છે કે જ્યારે મેં પહેલીવાર વર્ડમાં આ સુવિધા શોધી હતી, ત્યારે હું આશ્ચર્યચકિત થઈ ગયો હતો. અને જ્યાં સુધી પેચ તેને અક્ષમ કરે ત્યાં સુધી, વર્ડ હજુ પણ DDE ફીલ્ડ્સ વિકલ્પને સમર્થન આપે છે. વિચાર એવો હતો કે DDE વર્ડને એપ્લીકેશન સાથે સીધો સંચાર કરવાની પરવાનગી આપશે, જેથી તે પ્રોગ્રામના આઉટપુટને દસ્તાવેજમાં પાસ કરી શકે. તે સમયે તે ખૂબ જ યુવાન તકનીક હતી - બાહ્ય એપ્લિકેશનો સાથે ડેટા વિનિમય માટે સપોર્ટ. તે પછીથી COM ટેક્નોલોજીમાં વિકસાવવામાં આવી હતી, જેને આપણે નીચે પણ જોઈશું.

આખરે, હેકર્સને સમજાયું કે આ DDE એપ્લિકેશન કમાન્ડ શેલ હોઈ શકે છે, જેણે અલબત્ત પાવરશેલ લોન્ચ કર્યું હતું, અને ત્યાંથી હેકર્સ તેઓ જે ઇચ્છે તે કરી શકે છે.
નીચેનો સ્ક્રીનશોટ બતાવે છે કે મેં આ સ્ટીલ્થ ટેકનિકનો ઉપયોગ કેવી રીતે કર્યો: DDE ફીલ્ડમાંથી એક નાની પાવરશેલ સ્ક્રિપ્ટ (ત્યારબાદ PS તરીકે ઓળખવામાં આવે છે) બીજી PS સ્ક્રિપ્ટ લોડ કરે છે, જે હુમલાનો બીજો તબક્કો શરૂ કરે છે.

પોપ-અપ ચેતવણી માટે વિન્ડોઝનો આભાર કે બિલ્ટ-ઇન DDEAUTO ફીલ્ડ ગુપ્ત રીતે શેલ શરૂ કરવાનો પ્રયાસ કરી રહ્યું છે

નબળાઈનું શોષણ કરવાની પસંદગીની પદ્ધતિ એ DDEAUTO ફીલ્ડ સાથેના વેરિઅન્ટનો ઉપયોગ કરવાની છે, જે આપમેળે સ્ક્રિપ્ટને ચલાવે છે. ખોલતી વખતે શબ્દ દસ્તાવેજ.
ચાલો આપણે આ વિશે શું કરી શકીએ તે વિશે વિચારીએ.

એક શિખાઉ હેકર તરીકે, તમે, ઉદાહરણ તરીકે, તમે ફેડરલ ટેક્સ સર્વિસમાંથી છો એવો ઢોંગ કરીને ફિશિંગ ઈમેલ મોકલી શકો છો અને પ્રથમ તબક્કા માટે (ડ્રૉપર, આવશ્યકપણે) માટે PS સ્ક્રિપ્ટ સાથે DDEAUTO ફીલ્ડને એમ્બેડ કરી શકો છો. અને તમારે મેક્રોઝ વગેરેનું કોઈ વાસ્તવિક કોડિંગ કરવાની પણ જરૂર નથી, જેમ કે મેં કર્યું અગાઉનો લેખ.
પીડિત તમારો દસ્તાવેજ ખોલે છે, એમ્બેડેડ સ્ક્રિપ્ટ સક્રિય થાય છે અને હેકર કમ્પ્યુટરની અંદર જાય છે. મારા કિસ્સામાં, રિમોટ પીએસ સ્ક્રિપ્ટ ફક્ત એક સંદેશ છાપે છે, પરંતુ તે PS એમ્પાયર ક્લાયંટને સરળતાથી લોન્ચ કરી શકે છે, જે રિમોટ શેલ એક્સેસ પ્રદાન કરશે.
અને પીડિતાને કંઈપણ કહેવાનો સમય મળે તે પહેલાં, હેકર્સ ગામના સૌથી ધનિક કિશોરો બની જશે.

શેલને સહેજ પણ કોડિંગ વિના લોન્ચ કરવામાં આવ્યો હતો. એક બાળક પણ તે કરી શકે છે!

DDE અને ક્ષેત્રો

માઇક્રોસોફ્ટે પાછળથી વર્ડમાં ડીડીઇને નિષ્ક્રિય કર્યું, પરંતુ કંપનીએ જણાવ્યું કે આ સુવિધાનો ખાલી દુરુપયોગ થયો હતો તે પહેલાં નહીં. કંઈપણ બદલવાની તેમની અનિચ્છા સમજી શકાય તેવી છે. મારા અનુભવમાં, મેં જાતે એક ઉદાહરણ જોયું છે કે જ્યાં દસ્તાવેજ ખોલતી વખતે ફીલ્ડ્સ અપડેટ કરવાનું સક્ષમ હતું, પરંતુ વર્ડ મેક્રો IT દ્વારા અક્ષમ કરવામાં આવ્યા હતા (પરંતુ સૂચના દર્શાવે છે). માર્ગ દ્વારા, તમે વર્ડ સેટિંગ્સ વિભાગમાં અનુરૂપ સેટિંગ્સ શોધી શકો છો.

જો કે, ફીલ્ડ અપડેટિંગ સક્ષમ હોય તો પણ, ઉપરના DDEની જેમ, જ્યારે કોઈ ફીલ્ડ કાઢી નાખેલા ડેટાની ઍક્સેસની વિનંતી કરે છે ત્યારે માઇક્રોસોફ્ટ વર્ડ વપરાશકર્તાને વધુમાં સૂચિત કરે છે. માઈક્રોસોફ્ટ ખરેખર તમને ચેતવણી આપી રહ્યું છે.

પરંતુ મોટે ભાગે, વપરાશકર્તાઓ હજી પણ આ ચેતવણીને અવગણશે અને વર્ડમાં ફીલ્ડ અપડેટને સક્રિય કરશે. ખતરનાક DDE સુવિધાને અક્ષમ કરવા બદલ Microsoft નો આભાર માનવાની આ એક દુર્લભ તક છે.

આજે અનપેચ્ડ વિન્ડોઝ સિસ્ટમ શોધવાનું કેટલું મુશ્કેલ છે?

આ પરીક્ષણ માટે, મેં વર્ચ્યુઅલ ડેસ્કટોપને ઍક્સેસ કરવા માટે AWS વર્કસ્પેસનો ઉપયોગ કર્યો. આ રીતે મને એક અનપેચ્ડ MS Office વર્ચ્યુઅલ મશીન મળ્યું જેણે મને DDEAUTO ફીલ્ડ દાખલ કરવાની મંજૂરી આપી. મને કોઈ શંકા નથી કે તે જ રીતે તમે અન્ય કંપનીઓ શોધી શકો છો જેમણે હજી સુધી જરૂરી સુરક્ષા પેચ ઇન્સ્ટોલ કર્યા નથી.

પદાર્થોનું રહસ્ય

જો તમે આ પેચ ઇન્સ્ટોલ કર્યું હોય તો પણ, MS Office માં અન્ય સુરક્ષા છિદ્રો છે જે હેકર્સને વર્ડ સાથે અમે જે કર્યું છે તેના જેવું જ કંઈક કરવાની મંજૂરી આપે છે. આગળના દૃશ્યમાં આપણે શીખીશું કોઈપણ કોડ લખ્યા વિના ફિશિંગ હુમલા માટે એક્સેલનો બાઈટ તરીકે ઉપયોગ કરો.

આ દૃશ્યને સમજવા માટે, ચાલો માઇક્રોસોફ્ટ કમ્પોનન્ટ ઑબ્જેક્ટ મોડલને યાદ કરીએ, અથવા ટૂંકમાં COM (કમ્પોનન્ટ ઑબ્જેક્ટ મોડલ).

COM 1990 ના દાયકાથી આસપાસ છે, અને RPC રિમોટ પ્રક્રિયા કૉલ્સ પર આધારિત "ભાષા-તટસ્થ ઑબ્જેક્ટ-ઓરિએન્ટેડ ઘટક મોડેલ" તરીકે વ્યાખ્યાયિત કરવામાં આવે છે. COM પરિભાષાની સામાન્ય સમજ માટે, વાંચો આ પોસ્ટ સ્ટેકઓવરફ્લો પર.

મૂળભૂત રીતે, તમે COM એપ્લિકેશનને એક્સેલ અથવા વર્ડ એક્ઝિક્યુટેબલ તરીકે અથવા અન્ય બાઈનરી ફાઇલ તરીકે વિચારી શકો છો જે ચાલે છે.

તે તારણ આપે છે કે COM એપ્લિકેશન પણ ચાલી શકે છે દૃશ્ય — JavaScript અથવા VBScript. તકનીકી રીતે તેને કહેવામાં આવે છે સ્ક્રિપ્ટલેટ. તમે Windows માં ફાઇલો માટે .sct એક્સ્ટેંશન જોયું હશે - આ સ્ક્રિપ્ટલેટ્સ માટે સત્તાવાર એક્સ્ટેંશન છે. અનિવાર્યપણે, તે XML રેપરમાં આવરિત સ્ક્રિપ્ટ કોડ છે:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

હેકર્સ અને પેન્ટેસ્ટરોએ શોધ્યું છે કે વિન્ડોઝમાં અલગ ઉપયોગિતાઓ અને એપ્લિકેશનો છે જે COM ઑબ્જેક્ટ્સ સ્વીકારે છે અને તે મુજબ, સ્ક્રિપ્ટલેટ્સ પણ.

હું Pubprn તરીકે ઓળખાતી VBS માં લખેલી વિન્ડોઝ યુટિલિટીને સ્ક્રિપ્ટલેટ પાસ કરી શકું છું. તે C:Windowssystem32Printing_Admin_Scripts ની ઊંડાઈમાં સ્થિત છે. માર્ગ દ્વારા, અન્ય વિન્ડોઝ ઉપયોગિતાઓ છે જે ઓબ્જેક્ટ્સને પરિમાણો તરીકે સ્વીકારે છે. ચાલો પહેલા આ ઉદાહરણ જોઈએ.

તે તદ્દન સ્વાભાવિક છે કે શેલ પ્રિન્ટ સ્ક્રિપ્ટમાંથી પણ લોન્ચ કરી શકાય છે. માઈક્રોસોફ્ટ જાઓ!

એક પરીક્ષણ તરીકે, મેં એક સરળ રીમોટ સ્ક્રિપ્ટલેટ બનાવ્યું છે જે શેલ લોન્ચ કરે છે અને એક રમુજી સંદેશ છાપે છે, "તમે હમણાં જ સ્ક્રિપ્ટ કરેલ છે!" અનિવાર્યપણે, pubprn એક સ્ક્રિપ્ટલેટ ઑબ્જેક્ટને ત્વરિત કરે છે, VBScript કોડને રેપર ચલાવવાની મંજૂરી આપે છે. આ પદ્ધતિ હેકર્સને સ્પષ્ટ લાભ આપે છે કે જેઓ તમારી સિસ્ટમમાં ઝલક અને છુપાવવા માંગે છે.

આગળની પોસ્ટમાં, હું સમજાવીશ કે એક્સેલ સ્પ્રેડશીટ્સનો ઉપયોગ કરીને હેકરો દ્વારા COM સ્ક્રિપ્ટલેટનો કેવી રીતે ઉપયોગ કરી શકાય છે.

તમારા હોમવર્ક માટે, એક નજર નાખો આ વિડિયો ડર્બીકોન 2016 થી, જે હેકર્સે સ્ક્રિપ્ટલેટનો ઉપયોગ કેવી રીતે કર્યો તે બરાબર સમજાવે છે. અને વાંચો પણ આ લેખ સ્ક્રિપ્ટલેટ્સ અને અમુક પ્રકારના મોનીકર વિશે.

સોર્સ: www.habr.com