книги хакеры / журнал хакер / 179_Optimized

Взлом

Для исправления первой ошибки нужно отменить PCH-компиляцию для всех проблемных C-файлов. В случае второй ошибки исключи из проекта файлы lua.c и luac.c.

Следующий проект создадим аналогичный первому, но теперь будем запускать свои сохраненные скрипты в самой программе, инициализируем Lua и добавим после:

const char *testscript = {

"function double(n)\n"

" return n * 2\n"

"end\n"

"\n"

"io.write(double(1))\n"

};

Это и есть обещанный пример объявления и работы с функцией (отдельный пример выполнения этой функции представлен на одном из скриншотов для Wireshark) . Теперь загрузим его в память и выполним:

luaL_dostring(L, testscript);

В этом случае мы обошлись без pcall, так как используем макрос с приставкой doвместо load-, который вызывает одновременно loadstring и pcall, как проиллюстрировано в этом примере:

luaL_loadstring(L, "io.write('Hello

XAKEP from C++')");

lua_pcall(L, 0, 0, 0);

Рассмотрим возможность вызова функций C-программы из Lua-скриптов. Объявим функцию, которая будет вызываться из нашего языка:

int my_function(lua_State *L)

{

вратить его в своего рода Metasploit (мы об этом уже писали). Часть программы, которая отвечает за работу с языком, на-

зывается Nmap Scripting Engine (NSE, xakep.ru/post/53631),

поэтому все скрипты для сканера имеют расширение nse. Разберем стандартную структуру скрипта. В начале каждо-

го сценария добавляются стандартные библиотеки:

local nmap = require "nmap"

local shortport = require "shortport"

local stdnse = require "stdnse"

local string = require "string"

Далее идут метаданные:

description = [[ ǮȣȜȥȔȡȜș ȥȞȤȜȣȦȔ ]]

author = "ǠȖȦȢȤ ȥȞȤȜȣȦȔ"

license = "DzȜȣ ȟȜȪșȡțȜȜ http://nmap.org/book/

man-legal.html"

--ǪȔȦșȗȢȤȜȜ, Ȟ ȞȢȦȢȤȯȠ ȢȦȡȢȥȜȦȥȳ ȥȞȤȜȣȦ categories = {"cat1", "cat2" }

---

--@usage

--nmap --script ȜȠȳ_ȥȞȤȜȣȦȔ [--script-args ȔȤȗȧȠșȡȦȯ,...] <host>

--

--@output

--ǢȯȖȢȘ

--@args ȢȣȜȥȔȡȜș ȣșȤșȠșȡȡȯȩ.

--@args ... .

--Changelog:

--2013-11-10 ǨȠȳ ȔȖȦȢȤȔ <email>:

--+ Initial version

После этого идет непосредственно код сценария. Для примера напишем простейший скрипт для брута пользователей популярной CMS LiveStreet.

Вначале определим стандартные переменные и подключим недостающие библиотеки:

--ȧȣȤȢȭȔșȦ ȣȤȢȪșȥȥ ȕȤȧȦȔ local brute = require "brute"

--Șȟȳ ȥȕȢȤȔ ȘȔȡȡȯȩ

local creds = require "creds"

--ȜȥȣȢȟȰțȢȖȔȡȜș ȥȦȔȡȘȔȤȦȡȯȩ HTTP-ȣȢȤȦȢȖ, ȦȔȞȚș

--ȱȦȔ ȫȔȥȦȰ ȞȢȘȔ ȡȔțȯȖȔșȦȥȳ ȥșȞȪȜȳ "ȣȤȔȖȜȟ" portrule = shortport.http

--ȣȧȦȰ, ȣȢ ȞȢȦȢȤȢȠȧ ȡȔȩȢȘȜȦȥȳ ȨȢȤȠȔ ȟȢȗȜȡȔ local DEFAULT_LS_URI = "/login/"

--ȜȠȳ ȣșȤșȠșȡȡȢȝ Șȟȳ țȡȔȫșȡȜȳ ȟȢȗȜȡȔ Ȗ ȨȢȤȠș local DEFAULT_LS_USERVAR = "login"

//ǯȢȟȧȫȔșȠ ȞȢȟȜȫșȥȦȖȢ ȣșȤșȘȔȡȡȯȩ

//țȡȔȫșȡȜȝ

int argc = lua_gettop(L);

for ( int n=1; n<=argc; ++n ) {

fprintf_s(stdout,

lua_tostring(L, n) );

}

//ǧȡȔȫșȡȜș, ȞȢȦȢȤȢș ȖȢțȖȤȔȭȔșȠ lua_pushnumber(L, 123);

//ǪȢȟȜȫșȥȦȖȢ ȖȢțȖȤȔȭȔșȠȯȩ țȡȔȫșȡȜȝ return 1;

}

Далее регистрируем функцию:

lua_register(L, "my_function",

my_function);

Прописываем функцию, которая загружает по переданному пути скрипт:

int s = luaL_loadfile(L, file);

И запускаем загруженный скрипт:

s = lua_pcall(L, 0, LUA_MULTRET, 0);

Но, если заметил, вызов немного отличается от предыдущего проекта. Константа LUA_MULTRET используется вместе с функцией lua_gettop для подсчета стека до и после вызова. Компилируем, не забывая про описанные выше ошибки.

Теперь пропишем вызов этой функции из Lua в отдельный скрипт и назовем его call_func.lua:

io.write("Running ", _VERSION, "\n")

a = my_function(1, 2, 3, " xa", "kep ")

io.write("my_function() returned ",

a, "\n") -- ǢȯȖȢȘȜȠ țȡȔȫșȡȜș, ȞȢȦȢȤȢș

ȖșȤȡȧȟȔ ȨȧȡȞȪȜȳ

Вызовем полученный файл из нашей программы:

calling_functions.exe call_func.lua

И получим следующий вывод в консоль:

C:\...ts\Visual Studio 2010\Projects\

calling_functions\Release>calling_

functions.exe call_func.lua

Running Lua 5.2

123 xakep my_function() returned 123

Готовые исходники ты можешь взять из моего блога (drakonoid.ru), но не забывай, что в них прописаны пути к моему Lua и для экономии места вырезаны функции обработки ошибок Lua-скриптов. Еще я не подробно расписал одну интересную тему — работу со стеком, которая позволяет обмениваться данными с основной программой, хотя главное мы затронули в последнем проекте.

Взлом

Далее пишем проверку, чтобы посмотреть успешность коннекта и наличие поля для пароля:

--ȥȢȥȦȔȖȟȳșȠ HTTP-țȔȣȤȢȥ ȥ ȧȞȔțȔȡȜșȠ ȣșȤșȠșȡȡȯȩ

--username - ȟȢȗȜȡ

--password - ȣȔȤȢȟȰ

Лунные сонеты

Условные операторы и циклы довольно стандартны:

--ȞȢȠȠșȡȦȯ ȢȕȢțȡȔȫȔȲȦȥȳ ȘȖȧȠȳ ȘșȨȜȥȔȠȜ

--ȧȥȟȢȖȡȯș ȢȣșȤȔȦȢȤȯ

if x == 1 then

print("x = 1")

end

if x == 1 then

print("x = 1")

print(i)

end

-- ȪȜȞȟ ȥ ȣȤșȘȧȥȟȢȖȜșȠ x = 5

while x > 0 do x = x - 1

end

-- ȪȜȞȟ ȥ ȣȢȥȦȧȥȟȢȖȜșȠ repeat

>value = 0xffff0000

>key = 0x00ffff00

>= string.format("%08x",bit32. bxor(value, key))

ff00ff00

Функцию мы рассмотрим на примере тестового скрипта в нашей программе. Более подробно про этот язык можешь прочитать по ссылкам на врезках. Для написания программ достаточно бу-

дет Notepad++ или Sublime Text.

Взлом

Application Porno

ЦЕЛЬ—APPSTORE

Про анализ мобильных приложений написано уже много, разработаны методики проверки, составлены чеклисты. Однако большая часть этих проверок касается безопасности пользователя: как хранятся его данные, как они передаются и как к ним можно получить доступ, используя уязвимости приложения.

Но зачем злоумышленнику копаться с тем, как работает приложение на устройстве конкретного пользователя, если возможно попробовать напасть на серверную часть и увести данные ВСЕХ пользователей? Чем мобильное приложение может быть полезно для нападения непосредственно на вендора?

Если мы заглянем в Mobile OWASP top 10 (азбуку всех софтверных аудиторов), то на десятом месте стоит пункт с туман-

ным названием Sensitive Information Disclosure. В нем под-

разумевается наличие в дистрибутиве приложения данных, которые можно использовать против пользователя или инфраструктуры поставщика. Тогда почему бы обстоятельно не поисследовать приложения на наличие таких данных?

Магазин App Store фактически стал мировым стандартом, так что выбирать, с кем работать, особенно не приходится. Скачивать приложения с него можно как непосредственно

сустройства, так и через iTunes, установленный на рабочую станцию. В наших целях применим второй способ, так как на устройстве для доступа к App Store используется SSL pinning, в то время как в iTunes для рабочей станции его нет и SSL MITM легко устанавливается штатными средствами. А если есть доступ к протоколу, со слезами, кровью, снифером и питоном, но все-таки пишется скрипт для поточного скачивания бесплатных приложений :).

Имея на руках такой инструмент, грех не узнать, как дела

скосяками не в том или ином приложении, а в какой-нибудь статистически значимой выборке, то есть в тысячах и десятках тысяч приложений.

Почти в любой статье, где описан процесс дистрибуции через App Store, мы читаем, что

1. Приложение зашифровано.

2. Приложение защищено DRM.

3. Устанавливаемое приложение привязывается к устройству.

Все эти утверждения базируются на том, что в дистрибутиве приложения (которое представляет собой обычный ZIP-архив) скомпилированный код шифруется с привязкой к устройству. Все остальное содержимое передается в открытом виде!

.PLIST

.XML

.M

.TXT

.SUPP

.H

.MOM

.HTM

.BIN

.OTF

.SVN-BASE

Алексей Трошичев pl0lq@hackapp.com, @pl0lq

Рис. 1. TOP типов файлов по их количеству

Рис. 2. ТOP интересных нам типов по количеству

.PLIST

.XML

.SQLITE

.DB

.DER

.CER

.P12

.PEM

.CRT

60 000

СЧЕГОНАЧАТЬ?

Многочисленные мануалы, которые без труда можно обнаружить в Сети, пестрят красивыми примерами того, как найти секреты (то есть захардкоженные данные, которые не должны были попасть туда в открытом виде: токены авторизации, ключи

итому подобное), используя инструменты strings и grep. В реальном же мире это не работает. Тупой поиск строк создает такое количество мусора, требующего ручного разбора, что автоматизация теряет всякий смысл.

Чтобы написать приемлемую систему автоматического анализа, нужно внимательно посмотреть на то, из чего состоит дистрибутив. Распаковав дистрибутивы для ~15 000 приложений

иотбросив заведомо неинтересный мусор (картинки, аудио, видео, ресурсы), мы получим 224 061 файл 1396 типов (рис.1).

*.m и *.h (исходники и хидеры) — это, конечно, интересно, но все самое интересное обычно хранится в конфигах, а если точнее, то в XML-, PList- и SQLite-контейнерах, а сертификаты

иключи зачастую хранятся отдельными файлами. Приняв это упрощение, построим TOP интересных нам типов по популярности. Суммарное количество интересных нам файлов 94 452, что составляет 42% от изначального (рис. 2).

Вподавляющем большинстве случаев, которые мы условно назовем нормальными, в приложении находятся:

• медийный контент: картинки, аудио, ресурсы интерфейса;

• бинарник приложения (который зашифрован);

• контейнеры с данными — SQLite, XML, PList, BРList;

• кучи бесполезного хлама, которые попали в дистрибутив по неизвестной причине.

Итого, задача сводится к двум:

1.Рекурсивному поиску различных секретов в файлах SQLite, XML, PList.

2.Поиску всякого «необычного» хлама и сертификатов.

Гипотезы гипотезами, но что про результаты? Оказалось, что ни много ни мало 4% от 15 000 исследованных приложений были с захардкоженными секретами… Забегая вперед, скажу, что среди таких данных я увидел и то, что, в общем-то, ожидал увидеть, и такие разработческие недоразумения, которых даже не мог себе представить. Разберем самые показательные.

KEEPTHISTOKENINSECRET

По-видимому, для многих разработчиков не является очевидным, что опубликованное приложение становится публичным. Так, периодически встречаются OAuth-токены твиттера и про-

Взлом