книги хакеры / журнал хакер / 063_Optimized

АТАКА

Мысла Владислав aka DigitalScream (digitalscream@real.xakep.ru)

На нашем диске лежат все рассмотренные в статье исходные коды.

Named Pipe File System – файловая система поименованных каналов (в дальнейшем просто каналов). Сам канал – это однонаправленный или

дуплексный интерфейс, созданный для организации пе-КАНАЛЫ WINDOWS

редачи данных между сервером и клиентами. Обращение к каналу производится по его имени, он, в свою оче- редь, имеет свои собственные буфера и дескрипторы, что позволяет ему одновременно обслуживать множество клиентов. Следует также знать, что, кроме поименованных каналов, существуют также анонимные, но в данном случае они не представляют для атакующего ничего интересного.

Основная причина создания этой технологии - предоставление возможности двум приложениям безопасно обмениваться данными. Реальным примером этого служит ситуация, когда приложение, запущенное от имени ограниченной учетной записи, нуждается в получении некоторой информации, которая доступна только привилегированному процессу. В таком случае в дополнение к приложению в системе регистрируется сервис, имеющий права системы, созданный ка-

налом. Таким образом, все необходимые данные получает сервис, после чего сам сервис передает их приложению клиента посредством канала. Преимущества такого подхода легко определить в контексте организации безопасности приложения. Поскольку сервис исполняет ограниченные функции, то злоумышленник практически не имеет шансов воспользоваться им для повышения привилегий. В то же время само приложение не имеет высоких прав в системе и не может служить объектом для атаки. Но если бы приложение имело права системы, то атакующий, используя различные атаки, мог бы заставить его исполнить свой программный код от имени привилегированного процесса.

В качестве атак могут использоваться переполнение стека, кучи, а также Shatter-атаки (их описание было в Хакере 12.03).

Для организации работы каналов системой используется драйвер npfs.sys, который представляет интерфейс, сходный с интерфейсом драйвера файловой системы. В действительности эту технологию нельзя назвать файловой системой. Единственное, что указывает на сходство каналов и файлов – это способ обращения к ним. Подключение к каналу производится функцией CallNamedPipe:

ОПИСАНИЕ К CALLNAMEDPIPE

BOOL CallNamedPipe( // имя канала

LPCTSTR lpNamedPipeName,

//указатель на данные, записываемые в канал LPVOID lpInBuffer,

//длина данных, записываемых в канал DWORD nInBufferSize,

//указатель на данные, прочитанные с канала LPVOID lpOutBuffer,

//длина данных, прочитанных с канала

DWORD nOutBufferSize,

//длина данных, которые следует прочитать LPDWORD lpBytesRead,

//задержка при подключении

DWORD nTimeOut );

Но, как уже говорилось ранее, обращение к файлам и каналам идентично. Это действительно так, поскольку для подключе- ния вместо функции CallNamedPipe можно воспользоваться CreateFile:

ФУНКЦИЯ CREATEFILE

HANDLE CreateFile(

LPCTSTR lpFileName,

DWORD dwShareMode, LPSECURITY_ATTRIBUTES lpSecurityAttributes, DWORD dwCreationDisposition,

DWORD dwFlagsAndAttributes, HANDLE hTemplateFile

);

Для тех, кто хорошо знаком с организацией работы Windows, не секрет, что данная функция имеет более широкое применение в работе ОС. С ее помощью создаются или

открываются файлы, директории, физические диски, коммуникационные ресурсы, mailslot'ы и pipe'ы. В данном случае нас интересует только последнее, а именно pipe (канал).

Так или иначе, имя канала должно соответствовать стандарту UNC. Это значит, что для подключения к каналу с именем “NamedPipe” имя для локального подключе- ния должно иметь вид “\\.\pipe\NamedPipe”. В случае если необходимо подключиться к каналу, созданному на другом компьютере, вместо точки нужно указать его имя.

СОЗДАНИЕ КАНАЛОВ

Давай изучим технологию создания каналов и попробуем подключиться к нему. Пайп можно создать с использованием следующей конструкции:

СОЗДАНИЕ ПАЙПА

charlpPipe = new char[0xFF];

sprintf( lpPipe, "\\\\.\\pipe\\testpipe" ); HANDLE hPipe = 0;

hPipe = CreateNamedPipe( lpPipe, PIPE_ACCESS_DUPLEX, PIPE_TYPE_MESSAGE|PIPE_WAIT, 2, 0, 0, 0, NULL );

if( !hPipe ) return 1;

Таким образом, создается канал с именем "\\.\pipe\testpipe". Как видишь, ничего сложного на этом этапе нет. Только для создания действительно рабочего кода необходимо организовать процедуру ожидания подклю- чения клиента:

ЖДЕМ КЛИЕНТА

pSD = (PSECURITY_DESCRIPTOR) LocalAlloc(LPTR,SECURITY_DESCRIPTOR_MIN_LENGTH); InitializeSecurityDescriptor(pSD, SECURITY_DESCRIPTOR_REVISION);

SetSecurityDescriptorDacl(pSD, TRUE, pACL, FALSE); sa.nLength = sizeof (SECURITY_ATTRIBUTES); sa.lpSecurityDescriptor = pSD;

sa.bInheritHandle = FALSE; ConnectNamedPipe (hPipe, NULL);

В этом примере мы сначала инициализируем некоторые настройки относительно безопасности. Сейчас не будем обращать на этот код внимания, его логическое продолжение будет немного ниже. Пока мы просто ждем подключений со стороны клиента. Откомпилируем исходник и проверим его на работоспособность. Если компиляция прошла гладко, то программка запустится и будет работать. Теперь следует открыть любое другое приложение, работающее с произвольными файлами. Ими могут быть Notepad, msPaint и т.д. Дальше осталось только проверить канал, написав его имя в диалоговом окне «Файл» -> «Открыть».

www.bezpeka.com/ library/secspec/sys ar_01.html

www.xakep.ru/post/ 19448/default.htm http://msdn.micros oft.com/library/enus/ipc/base/named_ pipes.asp

МОДИФИКАЦИЯ АТАКИ

Из всего сказанного можно сделать вывод, что если атакующий не может указать открываемый файл, то атака невозможна. На самом деле это не так. Если нельзя указать имя открываемого файла, то можно создать канал с таким же именем, как тот, который использует системный процесс. Возьмем, к примеру, канал «\\.\pipe\lsarpc», создаваемый процессом lsass.exe. Если запущен системный процесс, использующий этот канал, то после создания канала с таким же именем появится вероятность подключе- ния процесса именно к фальшивому экземпляру. Правда, вероятность того, что это произойдет сразу, довольно мала. Дело в том, что если процесс запрашивает подключение к каналу, то система даст ему дескриптор первого в списке свободного канала по дате создания. Значит, если заставить процесс обратиться к каналу множество раз, то он рано или поздно обратится к фальшивому. Но есть и другой вариант. Атакующий может сам подключиться ко всем свободным каналам и сразу же создать свой. Как результат, фальшивый канал будет первым в списке,

èименно к нему и подключится клиент:

РАБОТА С КАНАЛАМИ

char szPipe[64];

sprintf(szPipe, "\\\\.\\pipe\\lsarpc");

for(int intCounter = 1;intCounter<0xFF ;intCounter++)

{

HANDLE hPipe =0; while(!hPipe)

{

Pipe = CreateFile( szPipe, GENERIC_READ | GENERIC_WRITE, 0, NULL, OPEN_EXISTING, 0, NULL );

}

}

HANDLE hPipe = 0;

hPipe = CreateNamedPipe( lpPipe, PIPE_ACCESS_DUPLEX, PIPE_TYPE_MESSAGE|PIPE_WAIT, 2, 0, 0, 0, NULL );

Иногда, если каналом пользуется множество клиентов, то фальшивый экземпляр создается напрасно. Ведь нет гарантий, что первым подключится системный процесс. Тогда придется немного модифицировать эксплойт так, чтобы он одновременно создавал множество каналов при помощи отдельных потоков. Но тем, кому такой способ кажется нерациональным, можно предложить кое-что иное.

КОМБИНАЦИЯ АТАК

Если системный процесс имеет окно, то, используя Shatter-атаки, можно закрыть процесс, создающий настоящие каналы. Добиться этого можно командой PostThreadMessage(). Код смотри на врезке «Проведение атаки».

Далее достаточно только создать необходимый канал. В каче- стве способов для закрытия системных процессов можно использовать и атаки на переполнение буфера. И если имеет место переполнение, то это уже возможность исполнения кода с правами системы, и в нашем случае использование пайпов для этих целей нерационально.

РЕШЕНИЕ ПРОБЛЕМЫ

После множества проверок я так и не нашел системных приложений, входящих в стандартную поставку Windows, которые обращались бы к каналам. Но зато существует множество продуктов от сторонних разработчиков, с помощью которых все вышеописанное работает.

Стоит также проверять конфигурационные файлы. Некоторые приложения читают настройки из файлов, доступных на перезапись. Если где-то в нем указано имя файла, значит можно записать вместо него имя канала. Естественно, после этого приложение обратится к каналу. Поэтому предлагаю разработчикам не использовать в системных процессах подключение к пайпам. Лучше, чтобы сервис создавал свой экземпляр канала, а клиент с ограниченными правами просто подключался к нему. Таким образом используется механизм каналов в ОС Windows.

На этом тему каналов можно закрыть. Но впереди еще множество других интересных идей... z

ШИФРУЕМ

ИНФОРМАЦИЮ

ШИФРУЕМ ИНФОРМАЦИЮ

КОНТРОЛЬНЫЙ БИТ

Ïри передаче информации по Сети возможны всякие неприятности. Это не только перехват инфы злоумышленником, но и неверные данные на выходе. Такое случается часто. Информация

имеет свойство теряться по пути, искажаться по каким-либо причинам. Поэтому, как бы пользователь ни шифровал свои данные, такая банальная потеря информация будет ему не особо приятна. Для решения этой проблемы был придуман так называемый контрольный бит или бит четности. В зависимости от того, сколько в передаваемом байте единичек, он может принимать зна- чение либо 1, либо 0. Количество единичек в бите + в контрольном бите должно быть четным. Если на выходе получается нечетное число, значит, информация искажена. К сожалению, такой способ не может контролировать ошибки, кратные 3, 5, 7 и т.д.

Защита информации от нежелательных глаз - вопрос, не теряющий актуальности долгие годы. Поэтому стоит позаботиться о своей безопасности. Не брезгуй различного рода утилитами, которые созданы специально для решения этой проблемы. Тот же PGP надежно зашифрует инфу на твоем винте и защитит тебя от утеч- ки информации к злобным хакерам.