Kriticka bezpecnostni dira & exploit

HackForum

Kriticka bezpecnostni dira & exploit#
Vzhledem k tomu, ze zde .cCuMiNn. pred chvili zverejnil projekt DoSer, ktery prezentuje nicivou silu chytre provedeneho DoS utoku, rozhodl jsem se, ze i ja prispeji svou troskou do mlyna.

Jiz pred casem jsem sestrojil 0-day exploit, ktery zneuziva fatalni bezpecnostni zranitelnosti pritomne v DNS serverech provozovanych na GNU/Linuxu (vsechny verze jadra), NetBSD (cca polovina stroju) a v nekterych pripadech i OpenBSD. Nemel jsem moznost otestovat vsechny systemy dukladne, nicmene praxe je takova, ze skrz zminenou bezpecnostni diru lze upravit zaznam o temer kazde domene. Kdyz vynechame par cinskych, tak jde asi vsechno :D

Sestrojil jsem exploit s velmi intuitivni konzoli, pomoci ktereho lze vymazat zaznam o libovolne domene. Poskytnut je rovnez prikaz na obnoveni vsech puvodnich zaznamu. Nelze vsak vkladat vlastni data, tedy zaregistrovat si zadarmo domenu ci presmerovat si jinou domenu na vlastni web. Technicky to proveditelne je, nicmene nemam pocit, ze bych chtel zdejsim retardovanym script-kiddies davat do rukou tak extremne silny nastroj.

Na zminene zranitelnosti jsem jiz sestrojil patche, ktere brzy predam do rukou vyvojaru. Uzijte si to tedy do sytosti dokud je cas.

Exploit si muzete stahnout na teto adrese: [link]
Ovladani je primitivni. Program je nutne spustit s administratorskymi pravy (potrebuje primy pristup k siti, aby mohl odesilat DNS dotazy mirne poupravene). Pote jiz staci zadat napriklad prikaz "hack soom.cz". Pro vraceni zmen do puvodniho stavu (puvodni zaznamy se loguji) staci zadat prikaz "fix". Nikdy ho nezapomente spustit. Cilem neni nic nicit!

Doufam, ze se mi zde konecne dostane alespon trochu vdeku, nebot za spusteni jedineho takovehoto prikazu jsem si donedavna nechaval platit 1000 USD + ;) Ale vsechno se jednou omrzi...

Jeste dodatek: Webove prohlizece vetsinou cashuji DNS dotazy, takze pokud proste udelate refresh, nemusi se zmeny hned projevit. Nejlepsi je zkusit tu samou stranku otevrit ve vice prohlizecich, popr. proste pouzit stary dobry ping / tracert / whateva...
(odpovědět)
independent | E-mail1.4.2013 4:44
re: Kriticka bezpecnostni dira & exploit#
ale nikde tam nevidim velke cervene tlacitko s napisem hack planet...to je ale skoda

----------
Vetsina serveru se da vyrootit, staci poslat spravnej zivotopis na spravnou adresu ;)
(odpovědět)
bramborak | E-mail1.4.2013 5:01
re: Kriticka bezpecnostni dira & exploit#
Moc male abstraktni mysleni ;) Moznosti to ma obrovske. Jinak jsem zapomnel zminit snad tu nejpodstatnejsi vec: spoustite to na VLASTNI riziko. Tohle neni nejaka posrana hracka a muze to udelat leccos
(odpovědět)
independent_ | 178.32.210.*1.4.2013 5:05
re: Kriticka bezpecnostni dira & exploit#
To červené tlačítko s nápisem destroy planet má být luxusní narážka na tu loic anon pakáž ? :) Pokud ano, tak je to určitě na +1 ..
(odpovědět)
tany | 85.132.166.*1.4.2013 12:15
re: Kriticka bezpecnostni dira & exploit#
The crash definitely scared many ppl.



bool __cdecl is_file_present(const char *a1)
{
FILE *f; // ebx@1

f = fopen(a1, "r");
fclose(f); // passing null pointer if fopen failed
return f != 0;
}




(574.294): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=0022fe98 ebx=00000000 ecx=77c3f000 edx=003e24e0 esi=00000000 edi=00a5f6ee
eip=77c40ac4 esp=0022fe80 ebp=0022fea8 iopl=0 nv up ei ng nz na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00010286
msvcrt!fclose+0x13:
77c40ac4 f6460c40 test byte ptr [esi+0Ch],40h ds:0023:0000000c=??

0:000> kv
ChildEBP RetAddr Args to Child
0022fea8 00401356 00000000 00404024 0022ffe0 msvcrt!fclose+0x13 (FPO: [Non-Fpo])
WARNING: Stack unwind information not available. Following frames may be wrong.
0022ff58 004010fd 00000001 003e24c0 003e2ae8 image00400000+0x1356
0022fff0 00000000 00401280 00000000 78746341 image00400000+0x10fd




Anyway, nice exploit!
(let the smarter kids disassemble teh magic)




(odpovědět)
palacinka | 188.165.33.*1.4.2013 6:22
re: Kriticka bezpecnostni dira & exploit#
To, ze si to neumis opravit, aby to na tvem plesnivem systemu fungovalo, je jenom tvuj problem.
(odpovědět)
independent | E-mail1.4.2013 14:42
re: Kriticka bezpecnostni dira & exploit#
Já jsem doufal že tento rok bude na prvního dubna lepší a originálnější "april fool prank" ale jak vidím není to nic extra :/ Kdo na to mohl vůbec naletět?
(odpovědět)
Bl4ckHe4rTh | 212.63.218.*1.4.2013 13:26
re: Kriticka bezpecnostni dira & exploit#
Kdybys nebyl uplne vygumovany a trochu sledoval IT security scenu, bylo by ti moc dobre jasne, proc jsem to zverejnil prave k 1.4.

Holt kdyz je neco mimo vase chapani, tak je to hned april ;)
(odpovědět)
independent | E-mail1.4.2013 14:46
re: Kriticka bezpecnostni dira & exploit#
Takze pro zdejsi neverici kriply jsem natocil kratke video, ktere nastroj predstavuj v praxi: [link]

Doufam, ze mi .cCuMiNn. promine, ze jsem utok musel prezentovat zrovna na SOOMu :D
(odpovědět)
independent | E-mail1.4.2013 15:39
re: Kriticka bezpecnostni dira & exploit#
to ako to funguje? o_O ved aj vascie weby mi to vedelo vymazat!
(odpovědět)
nyk03 | 171.25.193.*1.4.2013 19:31
re: Kriticka bezpecnostni dira & exploit#
Hezký, bylo by super kdyby ses potom s náma podělil o zdrojáky až odevzdáš ty patche :)
(odpovědět)
blackman | E-mail1.4.2013 23:14
re: Kriticka bezpecnostni dira & exploit#
Tak jak asi mnozi predpokladali, jednalo se skutecne o aprilovy zertik. Odkazovany program nedela nic jineho, nez ze edituje soubor hosts a k danemu domenovemu jmenu prirazuje adresu 0.0.0.0.

Uzivatele Linuxu tento soubor maji klasicky pod adresou /etc/hosts, ve Windows se nachazi na lokaci C:\Windows\System32\drivers\etc\hosts

Originalni soubor byl pri prvnim spusteni zazalohovan a prikazem "fix" posleze opet obnoven. Protoze jsem to ale delal ve 4 rano, vloudila se mi do nej drobna chybicka - zaloha se vytvarela jen pri spusteni aplikace (pokud neexistovala). Pokud tedy uzivatel zadal prikaz "hack", posleze "fix" a opet "hack", prikazem fix jiz k obnoveni nastaveni nedoslo (neexistoval soubor se zalohou).

Vsem uzivatelum, kteri tedy program spousteli, bych doporucil prohlednout si uvedeny soubor hosts a vymazat z nej vsechny radky vlozene programem (budou zacinat adresou 0.0.0.0 a za tou bude uvedeno domenove jmeno, ktere jste vlozili i do aplikace). Ve vychozim nastaveni Windows je soubor kompletne prazdny, zadne destruktivni ucinky tedy jeho editace mit nemuze (krome docasneho zablokovani urcite domeny).

PS: Byl jsem presvedceny, ze se na toto chytne hodne lidi, ale opak je pravdou. To je jedine dobre, protoze to znamena, ze tu kazdy nebude spoustet neduveryhodne aplikace, popr. ho nelaka neco nicit - oboji je chvalyhodne. A nebo se proste jen nikdo neozval :D
(odpovědět)
independent | E-mail1.4.2013 23:51
re: Kriticka bezpecnostni dira & exploit#
Jak sofistikované :P
(odpovědět)
mb0y | E-mail3.4.2013 8:01
re: Kriticka bezpecnostni dira & exploit#
To s tym zartom bolo jasne, ale nechal som ich nech si myslia :P Inak doslo mi luto "Bl4ckHe4rTh | 212.63.218.*" & "Takze pro zdejsi neverici kriply" ale co zart nemohol byt prezradeny inak dodavam vypis z anubisu [link] <-- inak ako vidim uz to niekto analyzoval aj predomnou :)
(odpovědět)
nitram147 | E-mail3.4.2013 16:35

Zpět
 
 
 

 
BBCode