The Adventures of the Elusive Malware, Part IV: DDE ਅਤੇ Word Document Fields

ਇਹ ਲੇਖ ਫਾਈਲ ਰਹਿਤ ਮਾਲਵੇਅਰ ਲੜੀ ਦਾ ਹਿੱਸਾ ਹੈ। ਲੜੀ ਦੇ ਹੋਰ ਸਾਰੇ ਹਿੱਸੇ:

• The Adventures of the Elusive Malware, Part I
• The Adventures of Elusive Malware, Part II: Secretive VBA Scripts
• The Adventures of the Elusive Malware, Part III: Tangled VBA Scripts for Laughter and Profit
• ਇਲਿਊਸਿਵ ਮਾਲਵੇਅਰ ਦੇ ਸਾਹਸ, ਭਾਗ IV: DDE ਅਤੇ ਵਰਡ ਡੌਕੂਮੈਂਟ ਫੀਲਡ (ਅਸੀਂ ਇੱਥੇ ਹਾਂ)

ਇਸ ਲੇਖ ਵਿੱਚ, ਮੈਂ ਇੱਕ ਹੋਰ ਵੀ ਗੁੰਝਲਦਾਰ ਮਲਟੀ-ਸਟੇਜ ਫਾਈਲਲੈੱਸ ਹਮਲੇ ਦੇ ਦ੍ਰਿਸ਼ ਵਿੱਚ ਦ੍ਰਿੜਤਾ ਨਾਲ ਡੂੰਘਾਈ ਨਾਲ ਜਾਣ ਦੀ ਯੋਜਨਾ ਬਣਾ ਰਿਹਾ ਸੀ। ਪਰ ਫਿਰ ਮੈਨੂੰ ਇੱਕ ਬਹੁਤ ਹੀ ਸਧਾਰਨ, ਕੋਡਲੈੱਸ ਹਮਲੇ 'ਤੇ ਠੋਕਰ ਲੱਗੀ—ਕੋਈ ਵਰਡ ਜਾਂ ਐਕਸਲ ਮੈਕਰੋ ਦੀ ਲੋੜ ਨਹੀਂ! ਅਤੇ ਇਹ ਇਸ ਲੜੀ ਦੇ ਅੰਦਰ ਮੇਰੀ ਸ਼ੁਰੂਆਤੀ ਪਰਿਕਲਪਨਾ ਨੂੰ ਬਹੁਤ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਢੰਗ ਨਾਲ ਸਾਬਤ ਕਰਦਾ ਹੈ: ਕਿਸੇ ਵੀ ਸੰਗਠਨ ਦੇ ਬਾਹਰੀ ਘੇਰੇ ਵਿੱਚ ਦਾਖਲ ਹੋਣਾ ਕੋਈ ਔਖਾ ਕੰਮ ਨਹੀਂ ਹੈ।

ਪਹਿਲਾ ਹਮਲਾ ਜਿਸ ਬਾਰੇ ਮੈਂ ਦੱਸਾਂਗਾ, ਉਹ ਮਾਈਕ੍ਰੋਸਾਫਟ ਵਰਡ ਦੀ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦਾ ਹੈ ਜੋ ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਪੁਰਾਣਾ ਗਤੀਸ਼ੀਲ ਡੇਟਾ ਐਕਸਚੇਂਜ ਪ੍ਰੋਟੋਕੋਲ (ਡੀਡੀਈ)ਉਹ ਪਹਿਲਾਂ ਹੀ ਉੱਥੇ ਸੀ। ਸਥਿਰਦੂਜਾ ਮਾਈਕ੍ਰੋਸਾਫਟ COM ਅਤੇ ਇਸਦੀਆਂ ਆਬਜੈਕਟ ਪਾਸਿੰਗ ਸਮਰੱਥਾਵਾਂ ਵਿੱਚ ਇੱਕ ਹੋਰ ਆਮ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦਾ ਹੈ।

DDE ਨਾਲ ਭਵਿੱਖ ਵੱਲ ਵਾਪਸ ਜਾਓ

ਕੀ ਕਿਸੇ ਨੂੰ ਅਜੇ ਵੀ DDE ਯਾਦ ਹੈ? ਸ਼ਾਇਦ ਬਹੁਤੇ ਨਹੀਂ। ਇਹ ਪਹਿਲੇ ਵਿੱਚੋਂ ਇੱਕ ਸੀ ਇੰਟਰਪ੍ਰੋਸੈਸ ਸੰਚਾਰ ਪ੍ਰੋਟੋਕੋਲ ਜੋ ਐਪਲੀਕੇਸ਼ਨਾਂ ਅਤੇ ਡਿਵਾਈਸਾਂ ਨੂੰ ਡੇਟਾ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਸਨ.

ਮੈਂ ਖੁਦ ਇਸ ਤੋਂ ਕੁਝ ਹੱਦ ਤੱਕ ਜਾਣੂ ਹਾਂ, ਕਿਉਂਕਿ ਮੈਂ ਟੈਲੀਕਾਮ ਉਪਕਰਣਾਂ ਦੀ ਜਾਂਚ ਅਤੇ ਜਾਂਚ ਕਰਦਾ ਸੀ। ਉਸ ਸਮੇਂ, DDE ਕਾਲ ਸੈਂਟਰ ਆਪਰੇਟਰਾਂ ਨੂੰ, ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ CRM ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਕਾਲਰ ਆਈਡੀ ਟ੍ਰਾਂਸਮਿਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਸੀ, ਜੋ ਅੰਤ ਵਿੱਚ ਗਾਹਕ ਦੀ ਪ੍ਰੋਫਾਈਲ ਖੋਲ੍ਹਦਾ ਸੀ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਫ਼ੋਨ ਅਤੇ ਕੰਪਿਊਟਰ ਦੇ ਵਿਚਕਾਰ ਇੱਕ RS-232 ਕੇਬਲ ਜੋੜਨੀ ਪੈਂਦੀ ਸੀ। ਉਹ ਦਿਨ ਸਨ!

ਜਿਵੇਂ ਕਿ ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਵਰਡ ਅਜੇ ਵੀ ਹੈ ਨੂੰ ਸਹਿਯੋਗ ਦਿੰਦਾ ਹੈ ਡੀਡੀਈ।

ਇਸ ਹਮਲੇ ਨੂੰ ਕੋਡ ਤੋਂ ਬਿਨਾਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਬਣਾਉਣ ਵਾਲੀ ਗੱਲ ਇਹ ਹੈ ਕਿ ਤੁਸੀਂ DDE ਪ੍ਰੋਟੋਕੋਲ ਤੱਕ ਪਹੁੰਚ ਕਰ ਸਕਦੇ ਹੋ। ਸਿੱਧੇ ਇੱਕ ਵਰਡ ਦਸਤਾਵੇਜ਼ ਦੇ ਆਟੋਮੈਟਿਕ ਖੇਤਰਾਂ ਤੋਂ (ਸੈਂਸਪੋਸਟ ਨੂੰ ਮੁਬਾਰਕਬਾਦ) ਖੋਜ ਅਤੇ ਪ੍ਰਕਾਸ਼ਨ ਇਸ ਬਾਰੇ)।

ਫੀਲਡ ਕੋਡ – ਇਹ ਇੱਕ ਹੋਰ ਪ੍ਰਾਚੀਨ MS Word ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਆਪਣੇ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਗਤੀਸ਼ੀਲ ਟੈਕਸਟ ਅਤੇ ਥੋੜ੍ਹੀ ਜਿਹੀ ਪ੍ਰੋਗਰਾਮਿੰਗ ਜੋੜਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਸਭ ਤੋਂ ਸਪੱਸ਼ਟ ਉਦਾਹਰਣ "ਪੇਜ ਨੰਬਰ" ਖੇਤਰ ਹੈ, ਜਿਸਨੂੰ {PAGE *MERGEFORMAT} ਮੁੱਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਫੁੱਟਰ ਵਿੱਚ ਪਾਇਆ ਜਾ ਸਕਦਾ ਹੈ। ਇਹ ਪੇਜ ਨੰਬਰਾਂ ਨੂੰ ਆਟੋਮੈਟਿਕ ਜਨਰੇਸ਼ਨ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਸੰਕੇਤ: ਤੁਸੀਂ "ਇਨਸਰਟ" ਭਾਗ ਦੇ ਅਧੀਨ ਫੀਲਡ ਮੀਨੂ ਆਈਟਮ ਲੱਭ ਸਕਦੇ ਹੋ।

ਮੈਨੂੰ ਯਾਦ ਹੈ ਜਦੋਂ ਮੈਂ ਪਹਿਲੀ ਵਾਰ Word ਵਿੱਚ ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਖੋਜ ਕੀਤੀ ਸੀ ਤਾਂ ਮੈਂ ਹੈਰਾਨ ਸੀ। ਜਦੋਂ ਤੱਕ ਇੱਕ ਪੈਚ ਇਸਨੂੰ ਅਯੋਗ ਨਹੀਂ ਕਰ ਦਿੰਦਾ, Word DDE ਫੀਲਡ ਵਿਕਲਪ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਰਿਹਾ। ਵਿਚਾਰ ਇਹ ਸੀ ਕਿ DDE Word ਨੂੰ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਨਾਲ ਸਿੱਧਾ ਸੰਚਾਰ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇਵੇਗਾ, ਜਿਸ ਨਾਲ ਇਹ ਪ੍ਰੋਗਰਾਮ ਦੇ ਆਉਟਪੁੱਟ ਡੇਟਾ ਨੂੰ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਪਾਸ ਕਰ ਸਕੇਗਾ। ਇਹ ਉਸ ਸਮੇਂ ਇੱਕ ਬਹੁਤ ਹੀ ਨਵੀਂ ਤਕਨਾਲੋਜੀ ਸੀ - ਬਾਹਰੀ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨਾਲ ਡੇਟਾ ਐਕਸਚੇਂਜ ਲਈ ਸਮਰਥਨ। ਇਸਨੂੰ ਬਾਅਦ ਵਿੱਚ COM ਤਕਨਾਲੋਜੀ ਵਿੱਚ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਬਾਰੇ ਅਸੀਂ ਹੇਠਾਂ ਵੀ ਚਰਚਾ ਕਰਾਂਗੇ।

ਅਖੀਰ ਵਿੱਚ, ਹੈਕਰਾਂ ਨੂੰ ਅਹਿਸਾਸ ਹੋਇਆ ਕਿ ਇਹ DDE ਐਪਲੀਕੇਸ਼ਨ ਇੱਕ ਕਮਾਂਡ ਸ਼ੈੱਲ ਹੋ ਸਕਦੀ ਹੈ, ਜੋ ਕਿ, ਬੇਸ਼ੱਕ, PowerShell ਚਲਾਉਂਦੀ ਹੈ, ਅਤੇ ਉੱਥੋਂ ਹੈਕਰ ਜੋ ਵੀ ਚਾਹੁੰਦੇ ਹਨ ਕਰ ਸਕਦੇ ਹਨ।
ਹੇਠਾਂ ਦਿੱਤਾ ਸਕ੍ਰੀਨਸ਼ਾਟ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਮੈਂ ਇਸ ਸਟੀਲਥੀ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕੀਤੀ: DDE ਫੀਲਡ ਤੋਂ ਇੱਕ ਛੋਟੀ PowerShell ਸਕ੍ਰਿਪਟ (ਇਸ ਤੋਂ ਬਾਅਦ PS ਵਜੋਂ ਜਾਣੀ ਜਾਂਦੀ ਹੈ) ਇੱਕ ਹੋਰ PS ਸਕ੍ਰਿਪਟ ਲੋਡ ਕਰਦੀ ਹੈ, ਜੋ ਹਮਲੇ ਦੇ ਦੂਜੇ ਪੜਾਅ ਨੂੰ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ।

ਵਿੰਡੋਜ਼ ਦਾ ਧੰਨਵਾਦ ਕਿ ਉਸਨੇ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਕਿ ਬਿਲਟ-ਇਨ DDEAUTO ਫੀਲਡ ਗੁਪਤ ਰੂਪ ਵਿੱਚ ਸ਼ੈੱਲ ਲਾਂਚ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਿਹਾ ਹੈ।

ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦਾ ਪਸੰਦੀਦਾ ਤਰੀਕਾ DDEAUTO ਖੇਤਰ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਹੈ, ਜੋ ਆਪਣੇ ਆਪ ਸਕ੍ਰਿਪਟ ਚਲਾਉਂਦਾ ਹੈ। ਖੋਲ੍ਹਣ ਵੇਲੇ ਸ਼ਬਦ ਦਸਤਾਵੇਜ਼।
ਆਓ ਸੋਚੀਏ ਕਿ ਇਸ ਬਾਰੇ ਕੀ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਇੱਕ ਨਵੇਂ ਹੈਕਰ ਦੇ ਰੂਪ ਵਿੱਚ, ਤੁਸੀਂ, ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ ਫਿਸ਼ਿੰਗ ਈਮੇਲ ਭੇਜ ਸਕਦੇ ਹੋ, ਫੈਡਰਲ ਟੈਕਸ ਸੇਵਾ ਤੋਂ ਹੋਣ ਦਾ ਦਿਖਾਵਾ ਕਰਕੇ, ਅਤੇ ਪਹਿਲੇ ਪੜਾਅ ਲਈ ਇੱਕ PS ਸਕ੍ਰਿਪਟ (ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ ਇੱਕ ਡਰਾਪਰ) ਨਾਲ DDEAUTO ਖੇਤਰ ਨੂੰ ਏਮਬੇਡ ਕਰ ਸਕਦੇ ਹੋ। ਅਤੇ ਤੁਹਾਨੂੰ ਕੋਈ ਅਸਲ ਮੈਕਰੋ ਕੋਡਿੰਗ ਜਾਂ ਕੁਝ ਵੀ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਨਹੀਂ ਹੈ ਜਿਵੇਂ ਮੈਂ ਕੀਤਾ ਸੀ। ਪਿਛਲਾ ਲੇਖ।
ਪੀੜਤ ਤੁਹਾਡਾ ਦਸਤਾਵੇਜ਼ ਖੋਲ੍ਹਦਾ ਹੈ, ਏਮਬੈਡਡ ਸਕ੍ਰਿਪਟ ਕਿਰਿਆਸ਼ੀਲ ਹੋ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਹੈਕਰ ਕੰਪਿਊਟਰ ਦੇ ਅੰਦਰ ਹੁੰਦਾ ਹੈ। ਮੇਰੇ ਮਾਮਲੇ ਵਿੱਚ, ਰਿਮੋਟ PS ਸਕ੍ਰਿਪਟ ਸਿਰਫ਼ ਇੱਕ ਸੁਨੇਹਾ ਪ੍ਰਿੰਟ ਕਰਦੀ ਹੈ, ਪਰ ਇਹ PS ਐਂਪਾਇਰ ਕਲਾਇੰਟ ਨੂੰ ਆਸਾਨੀ ਨਾਲ ਲਾਂਚ ਕਰ ਸਕਦੀ ਹੈ, ਜੋ ਰਿਮੋਟ ਸ਼ੈੱਲ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰੇਗਾ।
ਅਤੇ ਪੀੜਤ ਦੇ ਕੁਝ ਵੀ ਕਹਿਣ ਤੋਂ ਪਹਿਲਾਂ, ਹੈਕਰ ਪਿੰਡ ਦੇ ਸਭ ਤੋਂ ਅਮੀਰ ਕਿਸ਼ੋਰ ਹੋਣਗੇ।

ਸ਼ੈੱਲ ਬਿਨਾਂ ਕਿਸੇ ਕੋਡਿੰਗ ਦੇ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਸੀ। ਇੱਕ ਬੱਚਾ ਵੀ ਇਹ ਕਰ ਸਕਦਾ ਸੀ!

DDE ਅਤੇ ਖੇਤਰ

ਮਾਈਕ੍ਰੋਸਾਫਟ ਨੇ ਆਖਰਕਾਰ ਵਰਡ ਵਿੱਚ DDE ਨੂੰ ਅਯੋਗ ਕਰ ਦਿੱਤਾ, ਪਰ ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਦਾਅਵਾ ਕੀਤਾ ਕਿ ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਦੁਰਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ। ਕੁਝ ਵੀ ਬਦਲਣ ਦੀ ਉਨ੍ਹਾਂ ਦੀ ਝਿਜਕ ਸਮਝਣ ਯੋਗ ਹੈ। ਮੈਂ ਨਿੱਜੀ ਤੌਰ 'ਤੇ ਇੱਕ ਅਜਿਹੀ ਸਥਿਤੀ ਦੇਖੀ ਜਿੱਥੇ ਦਸਤਾਵੇਜ਼ ਖੋਲ੍ਹਣ 'ਤੇ ਫੀਲਡ ਅਪਡੇਟਿੰਗ ਨੂੰ ਸਮਰੱਥ ਬਣਾਇਆ ਗਿਆ ਸੀ, ਪਰ ਵਰਡ ਮੈਕਰੋ ਨੂੰ IT ਸੇਵਾ ਦੁਆਰਾ ਅਯੋਗ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ (ਹਾਲਾਂਕਿ ਇੱਕ ਸੂਚਨਾ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਗਈ ਸੀ)। ਇਤਫਾਕਨ, ਤੁਸੀਂ ਵਰਡ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਸੰਬੰਧਿਤ ਸੈਟਿੰਗਾਂ ਲੱਭ ਸਕਦੇ ਹੋ।

ਹਾਲਾਂਕਿ, ਭਾਵੇਂ ਫੀਲਡ ਅੱਪਡੇਟਿੰਗ ਸਮਰੱਥ ਹੈ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਵਰਡ ਉਪਭੋਗਤਾ ਨੂੰ ਇਸ ਤੋਂ ਇਲਾਵਾ ਸੂਚਿਤ ਕਰਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਫੀਲਡ ਰਿਮੋਟ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਦੀ ਬੇਨਤੀ ਕਰਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਉੱਪਰ ਦਿੱਤੇ DDE ਦੇ ਮਾਮਲੇ ਵਿੱਚ। ਮਾਈਕ੍ਰੋਸਾਫਟ ਤੁਹਾਨੂੰ ਚੇਤਾਵਨੀ ਦਿੰਦਾ ਹੈ।

ਪਰ ਉਪਭੋਗਤਾ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਇਸ ਚੇਤਾਵਨੀ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਨਗੇ ਅਤੇ Word ਵਿੱਚ ਫੀਲਡ ਅੱਪਡੇਟ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣਗੇ। ਇਹ ਖਤਰਨਾਕ DDE ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਅਯੋਗ ਕਰਨ ਲਈ ਮਾਈਕ੍ਰੋਸਾਫਟ ਦਾ ਧੰਨਵਾਦ ਕਰਨ ਦੇ ਦੁਰਲੱਭ ਮੌਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ।

ਅੱਜਕੱਲ੍ਹ ਬਿਨਾਂ ਪੈਚ ਵਾਲੇ ਵਿੰਡੋਜ਼ ਸਿਸਟਮ ਨੂੰ ਲੱਭਣਾ ਕਿੰਨਾ ਔਖਾ ਹੈ?

ਇਸ ਟੈਸਟਿੰਗ ਲਈ, ਮੈਂ ਵਰਚੁਅਲ ਡੈਸਕਟੌਪ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ AWS ਵਰਕਸਪੇਸ ਵਾਤਾਵਰਣ ਦੀ ਵਰਤੋਂ ਕੀਤੀ। ਇਸਨੇ ਮੈਨੂੰ MS Office ਚਲਾਉਣ ਵਾਲੀ ਇੱਕ ਅਣ-ਪੈਚਡ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਦਿੱਤੀ, ਜਿਸਨੇ ਮੈਨੂੰ DDEAUTO ਖੇਤਰ ਪਾਉਣ ਦੀ ਆਗਿਆ ਦਿੱਤੀ। ਮੈਨੂੰ ਕੋਈ ਸ਼ੱਕ ਨਹੀਂ ਹੈ ਕਿ ਹੋਰ ਕੰਪਨੀਆਂ ਨੂੰ ਲੱਭਣ ਲਈ ਵੀ ਇਸੇ ਤਰ੍ਹਾਂ ਦੇ ਯਤਨ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਨੇ ਅਜੇ ਵੀ ਲੋੜੀਂਦੇ ਸੁਰੱਖਿਆ ਪੈਚ ਸਥਾਪਤ ਨਹੀਂ ਕੀਤੇ ਹਨ।

ਵਸਤੂਆਂ ਦਾ ਰਹੱਸ

ਭਾਵੇਂ ਤੁਸੀਂ ਇਹ ਪੈਚ ਇੰਸਟਾਲ ਕੀਤਾ ਹੈ, MS Office ਵਿੱਚ ਹੋਰ ਸੁਰੱਖਿਆ ਛੇਕ ਹਨ ਜੋ ਹੈਕਰਾਂ ਨੂੰ ਕੁਝ ਅਜਿਹਾ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ ਜੋ ਅਸੀਂ Word ਨਾਲ ਕੀਤਾ ਸੀ। ਅਗਲੇ ਦ੍ਰਿਸ਼ ਵਿੱਚ, ਅਸੀਂ ਸਿੱਖਾਂਗੇ ਕਿ ਕਿਵੇਂ ਕੋਡ ਲਿਖੇ ਬਿਨਾਂ ਫਿਸ਼ਿੰਗ ਹਮਲੇ ਲਈ ਐਕਸਲ ਨੂੰ ਦਾਣੇ ਵਜੋਂ ਵਰਤੋ।

ਇਸ ਦ੍ਰਿਸ਼ ਨੂੰ ਸਮਝਣ ਲਈ, ਆਓ ਮਾਈਕ੍ਰੋਸਾਫਟ ਦੇ ਕੰਪੋਨੈਂਟ ਆਬਜੈਕਟ ਮਾਡਲ, ਜਾਂ ਸੰਖੇਪ ਵਿੱਚ ਕੰਪੋਨੈਂਟ ਆਬਜੈਕਟ ਮਾਡਲ ਨੂੰ ਯਾਦ ਕਰੀਏ। COM (ਕੰਪੋਨੈਂਟ ਆਬਜੈਕਟ ਮਾਡਲ).

COM 1990 ਦੇ ਦਹਾਕੇ ਤੋਂ ਮੌਜੂਦ ਹੈ ਅਤੇ ਇਸਨੂੰ ਰਿਮੋਟ ਪ੍ਰੋਸੀਜਰ ਕਾਲਾਂ (RPCs) ਦੇ ਅਧਾਰ ਤੇ "ਭਾਸ਼ਾ-ਨਿਰਪੱਖ, ਵਸਤੂ-ਮੁਖੀ ਕੰਪੋਨੈਂਟ ਮਾਡਲ" ਵਜੋਂ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ। COM ਸ਼ਬਦਾਵਲੀ ਦੀ ਆਮ ਸਮਝ ਲਈ, ਪੜ੍ਹੋ ਇਹ ਪੋਸਟ ਸਟੈਕਓਵਰਫਲੋ 'ਤੇ।

ਮੂਲ ਰੂਪ ਵਿੱਚ, ਤੁਸੀਂ ਇੱਕ COM ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਇੱਕ ਐਕਸਲ ਜਾਂ ਵਰਡ ਐਗਜ਼ੀਕਿਊਟੇਬਲ, ਜਾਂ ਕਿਸੇ ਹੋਰ ਚੱਲਣਯੋਗ ਬਾਈਨਰੀ ਫਾਈਲ ਦੇ ਰੂਪ ਵਿੱਚ ਸੋਚ ਸਕਦੇ ਹੋ।

ਇਹ ਪਤਾ ਚਲਿਆ ਕਿ ਇੱਕ COM ਐਪਲੀਕੇਸ਼ਨ ਵੀ ਚੱਲ ਸਕਦੀ ਹੈ ਦ੍ਰਿਸ਼ — JavaScript ਜਾਂ VBScript। ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਇਸਨੂੰ ਕਿਹਾ ਜਾਂਦਾ ਹੈ ਸਕ੍ਰਿਪਟਲੇਟਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਫਾਈਲਾਂ 'ਤੇ .sct ਐਕਸਟੈਂਸ਼ਨ ਦੇਖਿਆ ਹੋਵੇਗਾ—ਇਹ ਸਕ੍ਰਿਪਟਲੇਟਸ ਲਈ ਅਧਿਕਾਰਤ ਐਕਸਟੈਂਸ਼ਨ ਹੈ। ਇਹ ਅਸਲ ਵਿੱਚ XML ਵਿੱਚ ਲਪੇਟਿਆ ਸਕ੍ਰਿਪਟ ਕੋਡ ਹਨ:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

ਹੈਕਰਾਂ ਅਤੇ ਪੇਂਟੈਸਟਰਾਂ ਨੇ ਖੋਜ ਕੀਤੀ ਹੈ ਕਿ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਵੱਖਰੀਆਂ ਉਪਯੋਗਤਾਵਾਂ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਹਨ ਜੋ COM ਵਸਤੂਆਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦੀਆਂ ਹਨ ਅਤੇ, ਇਸ ਅਨੁਸਾਰ, ਸਕ੍ਰਿਪਟਲੇਟ ਵੀ।

ਮੈਂ ਇੱਕ ਸਕ੍ਰਿਪਟਲੇਟ VBS ਵਿੱਚ ਲਿਖੀ ਇੱਕ Windows ਉਪਯੋਗਤਾ ਨੂੰ ਪਾਸ ਕਰ ਸਕਦਾ ਹਾਂ ਜਿਸਨੂੰ pubprn ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਇਹ C:\Windows\system32\Printing_Admin_Scripts ਦੀ ਡੂੰਘਾਈ ਵਿੱਚ ਸਥਿਤ ਹੈ। ਇਤਫਾਕਨ, ਹੋਰ Windows ਉਪਯੋਗਤਾਵਾਂ ਹਨ ਜੋ ਵਸਤੂਆਂ ਨੂੰ ਪੈਰਾਮੀਟਰਾਂ ਵਜੋਂ ਸਵੀਕਾਰ ਕਰਦੀਆਂ ਹਨ। ਆਓ ਇਸ ਉਦਾਹਰਣ ਨਾਲ ਸ਼ੁਰੂਆਤ ਕਰੀਏ।

ਇਹ ਸੁਭਾਵਿਕ ਹੈ ਕਿ ਸ਼ੈੱਲ ਨੂੰ ਪ੍ਰਿੰਟ ਸਕ੍ਰਿਪਟ ਤੋਂ ਵੀ ਲਾਂਚ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਅੱਗੇ ਵਧੋ, ਮਾਈਕ੍ਰੋਸਾਫਟ!

ਜਾਂਚ ਦੇ ਉਦੇਸ਼ਾਂ ਲਈ, ਮੈਂ ਇੱਕ ਸਧਾਰਨ ਰਿਮੋਟ ਸਕ੍ਰਿਪਟਲੇਟ ਬਣਾਇਆ ਹੈ ਜੋ ਇੱਕ ਸ਼ੈੱਲ ਲਾਂਚ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਮਜ਼ਾਕੀਆ ਸੁਨੇਹਾ ਪ੍ਰਿੰਟ ਕਰਦਾ ਹੈ: "ਤੁਹਾਨੂੰ ਹੁਣੇ ਹੀ ਸਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ!" ਅਸਲ ਵਿੱਚ, pubprn ਇੱਕ ਸਕ੍ਰਿਪਟਲੇਟ ਆਬਜੈਕਟ ਦੀ ਇੱਕ ਉਦਾਹਰਣ ਬਣਾਉਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ VBScript ਕੋਡ ਸ਼ੈੱਲ ਨੂੰ ਲਾਂਚ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਵਿਧੀ ਤੁਹਾਡੇ ਸਿਸਟਮ ਵਿੱਚ ਘੁਸਪੈਠ ਕਰਨ ਅਤੇ ਲੁਕਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਵਾਲੇ ਹੈਕਰਾਂ ਨੂੰ ਸਪੱਸ਼ਟ ਫਾਇਦੇ ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ।

ਅਗਲੀ ਪੋਸਟ ਵਿੱਚ, ਮੈਂ ਦੱਸਾਂਗਾ ਕਿ ਕਿਵੇਂ ਹੈਕਰ ਐਕਸਲ ਸਪ੍ਰੈਡਸ਼ੀਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ COM ਸਕ੍ਰਿਪਟਲੇਟਸ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰ ਸਕਦੇ ਹਨ।

ਆਪਣੇ ਘਰ ਦੇ ਕੰਮ ਲਈ, ਇਹ ਦੇਖੋ ਇਹ ਵੀਡੀਓ ਡਰਬੀਕੋਨ 2016 ਤੋਂ, ਜੋ ਬਿਲਕੁਲ ਦੱਸਦਾ ਹੈ ਕਿ ਹੈਕਰਾਂ ਨੇ ਸਕ੍ਰਿਪਟਲੇਟਸ ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕੀਤੀ। ਇਹ ਵੀ ਪੜ੍ਹੋ ਇਹ ਲੇਖ ਸਕ੍ਰਿਪਟਲੇਟ ਅਤੇ ਕਿਸੇ ਕਿਸਮ ਦੇ ਉਪਨਾਮ ਬਾਰੇ।

ਸਰੋਤ: www.habr.com