मैंने SAP को तोड़ने के लिए अरब शेखों को कैसे सिखाया

बुर्के में महिलाएं, पारंपरिक अरबी लुटेरे में पुरुष, नक्काशीदार दीवारें और कई, कई गिल्डिंग, और यह सब एक विशाल लकड़ी के जहाज के अंदर। यह कुवैत सूचना सुरक्षा सम्मेलन जैसा दिखता है - कुवैत सूचना सुरक्षा 2012 ।



डिजिटल सुरक्षा में मेरे कर्तव्य के अनुसार, SAP की सुरक्षा को जन-जन तक पहुँचाना और वास्तव में उज्ज्वल क्षणों और नए परिचितों के लिए, मैं समय-समय पर विभिन्न अंतर्राष्ट्रीय सुरक्षा सम्मेलनों में बोलता हूँ ... हालाँकि यह अभी भी खतरे में पड़ने वाले सम्मेलनों को प्रमुख शोधकर्ता कहना सही होगा। सूचना प्रणालियों को हैक करने के नए दिलचस्प तरीकों के बारे में बात करें। ब्लैकहैट और एचईटीबी जैसे कार्यक्रमों में दो दर्जन भाषणों के बावजूद, मैं अब भी कुवैत में सम्मेलन को सबसे असामान्य में से एक के रूप में याद करता हूं।




اهتمام!
एसएपी भेद्यताओं के केवल तकनीकी विवरणों को पढ़ने में रुचि रखने वाले - आपके लिए, यह जानकारी यात्रा कार्यक्रम के दौरान इटैलिक में स्पष्ट है और लेखक की भावनात्मक भावनाओं से मुक्त है। एक उदाहरण SAP हैकिंग वीडियो लेख के अंत में उपलब्ध है।

स्वीकार करने के लिए, शुरू में मुझे पता नहीं था कि मैं कहाँ फिट बैठता हूं और मजाक में कहा कि मैं साइबर आतंकवाद में अरबों को प्रशिक्षित करने जाऊंगा। जैसा कि बाद में पता चला, कुवैत, हालांकि एक अरब देश, बहुत गरीब नहीं है, अगर दूसरा रास्ता नहीं है। दुनिया के तेल की आपूर्ति का लगभग 10% होने के कारण, देश इसके उत्पादन के कारण मौजूद है, जो कि विभिन्न स्रोतों के अनुसार, निर्यात के 90 से 98% तक है (वैसे, मेरे लिए एक बड़ा सवाल यह है कि शेष 2% क्या है)।



देश में लगभग 1 मिलियन स्वदेशी लोग हैं, जिनके आधार पर, वास्तव में, यह संपत्ति फैली हुई है। स्वदेशी आबादी के अलावा, कुवैत में भी लगभग 3.5 मिलियन प्रवासी हैं - ये मुख्य रूप से भारतीय और एशियाई हैं। इसलिए, एक नियम के रूप में, आपको दुकानों, होटल, रेस्तरां और आम तौर पर हर जगह भारतीयों के साथ संवाद करना होगा: अरबों के पास एक अच्छा जीवन है, और वे काम नहीं करना चाहते हैं।

इसलिए, मुझे मई की छुट्टियां ऐसे देश में बितानी थीं, जहां शराब ड्यूटी फ्री में भी नहीं है, जो कि कई लोगों के लिए एक घातक झटका होगा, लेकिन मैं थोड़ा परेशान नहीं था। कुवैत में 2 दिन व्यतीत करने के बाद और सऊदी अरब से इराक की सीमा की ओर कूच किया (मैं वहाँ के आसपास प्रहार करने के लिए टेमा जितना शांत नहीं हूं)


तेल रिसाव और अंतहीन निर्माण स्थलों को देखने के बाद, मैं उस होटल में गया जहाँ सम्मेलन आयोजित किया गया था।

पहले तो ऐसा लग रहा था कि होटल खत्म भी नहीं हुआ है, और यह सब कुछ मज़ाक था - वास्तव में, ठीक है, सम्मेलन यहाँ रेगिस्तान के बीच में कहाँ से होगा? .. फिर भी, एक छोटे से रास्ते मैं एक विशाल लकड़ी के किनारे को किनारे से देखा जा सकता है (वैसे, यह? जहाज गिनीज बुक ऑफ रिकॉर्ड्स में दुनिया के सबसे बड़े लकड़ी के जहाज के रूप में सूचीबद्ध है)। वह होटल, या बल्कि, सम्मेलन कक्ष था जिसमें कार्यक्रम हुआ था।




हॉल किसी अन्य सम्मेलन की तरह, आर्मचेयर की उबाऊ पंक्तियों से सुसज्जित नहीं था, लेकिन गोल तालिकाओं के साथ, जिस पर स्थानीय शेखों को बैठाया गया था, और सामने की पंक्तियों के स्थान पर एक अलग सिंहासन बेंच था। लगभग पाँच मिनट बाकी थे, केवल एक ने मुझे पीड़ा दी:



... क्या यह वास्तव में वह जगह है जहां मुझे SAP NetWeaver एप्लिकेशन के कर्नेल फ़ंक्शन में बफर ओवरफ्लो के बारे में बात करनी चाहिए, और फिर इस ट्रांजेक्शन कॉल के माध्यम से इस अतिप्रवाह का दोहन करना चाहिए जिसके माध्यम से आपको एक कमजोर रिपोर्ट चलाने की आवश्यकता है जो कर्नेल मॉड्यूल को कॉल करता है और ईआईपी को अधिलेखित करने के लिए 108 बाइट्स को स्थानांतरित करता है। शेलकोड के लिए लगभग 100, और यह रटना कितना मुश्किल था, यह देखते हुए कि इनपुट मूल्य का आकार 255 बाइट्स तक सीमित है ...

और फिर मेरे विचारों को सामान्य उपद्रव से बाधित किया गया था, सभी कहीं बिखरे हुए थे। मुझे महसूस हुआ कि ऐसा लगता है कि सबसे महत्वपूर्ण शेख आया, जिसके लिए पहली बेंच पर एक सीट मुक्त की गई थी। सभी एकत्रित मीडिया प्रतिनिधियों के फोटो खिंचवाने के बाद, वह मंच पर गया और ... नहीं, उसने कीनोट पढ़ना शुरू नहीं किया, क्योंकि सम्मेलन के विषयों को ध्यान में रखना तर्कसंगत होगा, लेकिन प्रार्थना करना शुरू कर दिया।

... .इस समय, मेरा सिर फिर से विचारों से टकरा रहा था: क्या मैं अपने कमरे में नहीं जाऊंगा और प्रस्तुति का रीमेक बनाऊंगा, सब कुछ फेंक दूंगा और केवल 3 चित्रों को ला छोड़ दूंगा: तेल, आतंकवादी, ईआरपीएसकेन ... नहीं, शायद, क्या विफलता है सेवा में, वे कल्पना करते हैं, और शायद मुझसे बेहतर हैं, जिसका अर्थ है कि SAP NetWeaver ABAP WEB इंटरफ़ेस में सेवा भेद्यता का खंडन जो WEBRFC सेवा के लिए घुमावदार XML अनुरोध को संसाधित करते समय होता है। ठीक है, वास्तव में, वहां सब कुछ सरल है: एक वेब एप्लिकेशन इंटरफ़ेस है जो सिस्टम के किसी भी उपयोगकर्ता तक पहुंच सकता है, साथ ही एक हमलावर जो डिफ़ॉल्ट एसएपी उपयोगकर्ताओं और पासवर्डों की सूची के लिए इंटरनेट पर खोज करने के लिए बहुत आलसी नहीं था। कई RFC फ़ंक्शन हैं जो आपको सिस्टम में विभिन्न कार्यों को करने की अनुमति देते हैं, लेकिन अतिरिक्त अधिकारों की आवश्यकता होती है, और एक RFC_PING फ़ंक्शन है जिसे किसी भी अधिकार की आवश्यकता नहीं है। XML पैकेट पार्सर, बदले में, जैसा कि मेरे सहयोगी d00kie ने बहुत पहले खोजा था, भारतीयों द्वारा लिखा गया है, इस अर्थ में इसमें XML Entity Expansion और XML Blupup (नीचे दिए गए उदाहरण) नामक भेद्यता है। यह इस तथ्य में शामिल है कि XML पैकेज के अंदर हम ENTITY टैग में परिभाषित चर के लिए बहुत अधिक पुनरावर्ती कॉल उत्पन्न करते हैं, जो XML पार्सर को निर्दयतापूर्वक सिस्टम संसाधनों का उपभोग करता है। इस प्रकार, एक सौ अनुरोध भेजने के बाद, आप आसानी से एसएपी के साथ एक सर्वर "डाल" सकते हैं, और कंपनी की सभी व्यावसायिक प्रक्रियाएं हमले की अवधि के लिए एक तांबे के बेसिन के साथ कवर की जाएंगी ...।

<?xml version="1.0"?> <!DOCTYPE root [ <!ENTITY ha "Ha !"> <!ENTITY ha2 "&ha; &ha;"> <!ENTITY ha3 "&ha2; &ha2;"> <!ENTITY ha4 "&ha3; &ha3;"> <!ENTITY ha5 "&ha4; &ha4;"> ... <!ENTITY ha128 "&ha127; &ha127;"> ]> <root>&ha128;</root> 

 <?xml version="1.0"?> <!DOCTYPE foobar [<!ENTITY x "AAAAA… [100KB of them] … AAAA">]> <root> <hi>&x;&x;….[30000 of them] … &x;&x;</hi> </root> 

प्रारंभिक टिप्पणी समाप्त हो गई, और क्वालिस और सिमेंटेक की रिपोर्टें आपके क्लाउड कंप्यूटिंग और सूचना सुरक्षा में रुझानों की सुरक्षा के बारे में शुरू हुईं, जिसमें पारंपरिक रूप से गतिशीलता, क्लाउड और औद्योगिक नेटवर्क शामिल थे, जिनके बारे में मैंने पहले ही बहुत कुछ सुना था, और इसलिए प्रदर्शनी हॉल में भटक गया, जहां मैं सहयोगियों से मिला। ELCOMSOFT कंपनियां, जिन्होंने इस सम्मेलन में भाग लेने का फैसला किया। एक अच्छी कंपनी और तस्वीरों के लिए उन्हें विशेष धन्यवाद।



जल्द ही, आंद्रेई बेलेंको की रिपोर्ट शुरू होने वाली थी - मैंने उसे सुनने और दर्शकों की प्रतिक्रिया को देखने का फैसला किया, क्योंकि वह परंपरागत रूप से काफी तकनीकी रिपोर्टें थीं, और यह समझने का एक बड़ा मौका था कि कैसे भाषण तैयार किया जाए और किस पर ध्यान केंद्रित किया जाए।

... खैर, मैंने सोचा: एंड्री की रिपोर्ट पासवर्ड और एन्क्रिप्शन एल्गोरिदम के बारे में थी, और यह वही है जो मुझे चाहिए, एन्क्रिप्शन के लिए समर्पित SAP में मेरे पास कमजोरियों में से एक है। चाल यह है कि एसएपी जीयूआई एप्लिकेशन - वास्तव में, एसएपी से कनेक्ट करने के लिए मुख्य क्लाइंट उपयोगिता - आपको शॉर्टकट में पासवर्ड स्टोर करने की अनुमति देता है। यह फ़ंक्शन नए संस्करणों में डिफ़ॉल्ट रूप से निषिद्ध है, लेकिन आप स्वयं समझते हैं: जब एक एकाउंटेंट को आरामदायक होने की आवश्यकता होती है, तो अक्सर इन शॉर्टकट्स में पासवर्ड नीचे लिखे जाते हैं, जो मुझे अक्सर ऑडिट में मिलते हैं। स्वाभाविक रूप से, पासवर्ड स्पष्ट में वहां संग्रहीत नहीं हैं, वे एन्क्रिप्टेड हैं। यद्यपि "एन्क्रिप्ट किया गया" - यह जोर से कहा जाता है: इस तरह के एन्क्रिप्शन के लिए डिफी और हेलमैन ने लेखक को क्यूब में फेसपालम आदेश से सम्मानित किया होगा। सीज़र का कोड नहीं, बल्कि मूल रूप से यह व्यावहारिक रूप से है। XOR का उपयोग एन्क्रिप्शन के लिए किया गया था। एक स्थिर कुंजी के साथ। कुंजी सभी संस्करणों के सभी प्रतिष्ठानों के लिए समान है ... सामान्य तौर पर, महान असफल, और सबसे महत्वपूर्ण बात, कोई भी इसे ठीक नहीं करेगा, क्योंकि एसएपी ने इसे एक भेद्यता नहीं माना था। खैर, चूंकि यह बग नहीं है, यह एक विशेषता है, इसलिए सभी को बताएं कि क्या आपको अचानक "भूल गए" पासवर्ड को डिक्रिप्ट करने की आवश्यकता है। वैसे, वर्कस्टेशन को स्वयं एक्सेस करना भी मुश्किल नहीं है, और यह एसएपी जीयूआई की ActiveX कमजोरियों के माध्यम से महसूस किया जा सकता है, जिसके बारे में मैंने बहुत समय पहले बात की थी, या उदाहरण के लिए, टेन्सी यूएसबी, जो मेरे सहयोगी द्वारा एक लेख के बारे में पढ़ा जा सकता है।

वास्तव में, मुझे अब पहले दिन की याद नहीं थी, और मैं थोड़ा हैरान था कि श्रोताओं को मेरे क्षेत्र में बहुत समझदार लग रहा था, हालांकि वे असामान्य दिख रहे थे। अगले दिन, रिपोर्टें अधिक तकनीकी थीं, और एक से एक भी दिलचस्प विचारों को आकर्षित करने में कामयाब रही। जब मैं हॉल में बैठा था, मुझे महसूस हुआ कि कुवैत आमतौर पर एक अजीब लोग हैं। बाहर खड़े होने का उनका जुनून रूसियों की तुलना में कम विकसित नहीं है, और कई बच्चे ऐसे दिखते हैं और व्यवहार करते हैं, जिनकी दादी की विरासत उनके सिर पर गिर गई है, और वे वास्तव में नहीं जानते कि इसके साथ क्या करना है। इसलिए, उदाहरण के लिए, लगभग हर स्वाभिमानी कुवैती के पास 2 स्मार्टफोन हैं, अक्सर 2 आईफ़ोन - काले और सफेद। ठीक है, वे यह तय नहीं कर सकते हैं कि कौन सा कूलर अच्छा है, इसलिए वे केवल मामले में दो पहनते हैं।

इस प्रकार, समय ने अप्रत्यक्ष रूप से उड़ान भरी, और एक रिपोर्ट शुरू हुई, चलो SAP सुरक्षा सहयोगियों की, जिन्होंने जीआरसी और शक्तियों के भेदभाव के मुद्दों के बारे में बात की। वास्तव में, दुर्भाग्य से, बहुमत ने इस क्षेत्र के साथ SAP सुरक्षा की बराबरी की, हालाँकि SAP ने अपने दो हज़ारवें सॉफ्टवेयर भेद्यता को बंद कर दिया (पिछले 3 वर्षों में उन 2000 में से 80% को बंद कर दिया गया था), ऐसा माना जाता है कि SAP सुरक्षा यह केवल शक्तियों का अंतर है, यह विशेष रूप से अजीब लगता है। हालाँकि, मुझे लगता है, इस विषय पर मैं किसी भी तरह एक अलग पोस्ट में तोड़ दूँगा।

... इस रिपोर्ट के बाद, मैं और अधिक हैरान हो गया, क्योंकि, सबसे पहले, छात्रों को स्पष्ट रूप से कम से कम इस बात की जानकारी थी कि SAP क्या था, और SAP में क्या शामिल था, और यहां तक ​​कि न्यूनतम समस्याएं थीं, के साथ न्यूनतम परिचित थे शक्तियों के पृथक्करण के संबंध में सुरक्षा न्यूनतम है। और इसलिए, आप उन्हें बता सकते हैं कि कई अन्य समस्याएं हैं - उदाहरण के लिए, यहां आंतरिक भाषा एबीएपी है, जो एसएपी प्रणाली में लिखे गए हैं। यह, कई अन्य भाषाओं की तरह, कमजोरियों को शामिल कर सकता है और वास्तव में उन्हें शामिल करता है। यदि हम BSP के बारे में बात कर रहे हैं, तो सभी समान SQL इंजेक्शन, डायरेक्टरी ट्रैवर्सल, फाइल सिस्टम, ABAP कोड इंजेक्शन, क्रोस स्क्रिप्टिंग को एक्सेस कर रहे हैं (ये ABAP और HTML के मिश्रण में लिखी गई वेब स्क्रिप्ट हैं), और अन्य समस्याएं, साथ ही साथ कई अनोखी भी। ABAP कोड में निहित कमजोरियां। दिलचस्प कमजोरियों में से एक जो हमें एसएपी में मिली, जो कि डब्ल्यूईबी-अनुप्रयोगों में आम है और सीजीआई-लिपियों से सभी के लिए जानी जाती है, इसे "ओएस कमांड का कार्यान्वयन" कहा जाता है। तर्क समान है: एबीएपी में कर्नेल कॉल हैं जो आपको ओएस कमांड को कॉल करने की अनुमति देते हैं। कभी-कभी इन कॉल में पैरामीटर उपयोगकर्ता से आते हैं और फ़िल्टर नहीं किए जाते हैं। इस प्रकार, विंडोज में "और" प्रतीक को अलग करने वाले कमांड का उपयोग करके, आप अपने स्वयं के तथाकथित कमांड में जोड़ सकते हैं, उदाहरण के लिए: "नेट उपयोगकर्ता हैकर QWERTY / जोड़ें" - जिससे ओएस में एक नया खाता बनाया जा सकता है ।

उपयोगकर्ता EARLYWATCH और पासवर्ड समर्थन के साथ कैसे लॉग इन करें और OS कमांड को कैसे निष्पादित करें, इसका एक विस्तृत डेमो, हम वीडियो को देखते हैं।



परिणामस्वरूप, पूरी तरह से अपनी रिपोर्ट "सबसे दिलचस्प एसएपी कमजोरियों के शीर्ष 10" के बारे में बताया, मुझे विशेष रूप से मजाकिया कमजोरियों पर दर्शकों से काफी सकारात्मक समीक्षा और हँसी मिली।



अन्य कमजोरियों पर मैं निम्नलिखित पोस्ट में अधिक विस्तार से विचार करूंगा। SAP सुरक्षा से संबंधित सभी चीजें अनुसंधान और प्रकाशन वर्गों में erpscan.com /erpscan.ru परियोजना की वेबसाइट पर भी उपलब्ध हैं।

सामान्य तौर पर, कुवैत, एक पर्यटक देश नहीं है, और जो लोग भ्रमण और उपयुक्त सेवाओं के आदी हैं, वे इस स्थान की सराहना करने की संभावना नहीं रखते हैं, और इससे भी अधिक वापस लौटना चाहते हैं, लेकिन, फिर भी, अरब अमीरात और दुबई की रूढ़ताएं वहां मौजूद हैं। आप देखते हैं, 5 वर्षों के बाद, कुवैत दूसरा दुबई बन सकता है, लेकिन अभी के लिए - घर खत्म नहीं हुए हैं, पानी गंदा है, भोजन अमेरिकी है, यहां तक ​​कि ड्यूटी फ्री में भी शराब नहीं है, लेकिन यह बहुत ही दोस्ताना लोग हैं, रेगिस्तान के अद्वितीय दृश्य, एक अरबी स्वाद और सिर्फ एक तुच्छ जगह।