12341234123412341234123412341234>> взломКрис Касперски123412341234123412341234обзорэксплойтовЕще не началась массовая миграция леммингов на Висту, а дыры в ней уже обнаруживаютсякосяками. Наш сегодняшний обзор вновь посвящен этой операционной системе,которая, вопреки всем заверениям корпорации Microsoft, намного более дырявая, чемпредшествующая ей Xрюша.046xàêåð 08 /104/ 07
1 2 3>> взломВот такая она, эта загадочная и неповторимаяВиста, которую возможно создать лишь однаждыУдаленный обход WindowsFirewallBriefНачиная с XP в состав Windows входитнекая пародия на брандмауэр а-ля WindowsFirewall, блокирующая по умолчаниювсе локальные порты. Без существенныхизменений она перекочевала в Висту.А там, в Висте, сетевой стек полностьюпереписан, заточена поддержка IPv6 скучей тоннельных протоколов типа Teredo,инкапсулирующих IPv6 в IPv4/UDP ивысаживающих брандмауэры стороннихпроизводителей на полную измену,поскольку, чтобы определить целевойIP-адрес и порт назначения, необходимораздербанить пакет, декодируя его сучетом формата Teredo. О том, что Teredoпредставляет собой мощное орудиедля пробивания уже существующихбрандмауэров, всем специалистам и безтого было известно. Но вот тот факт, чтоTeredo, разработанный Microsoft, обходитWindows Firewall, разработанный ей же,вызывал большой переполох — игнорируянастройки встроенного брандмауэра,хакеры получили возможность сканироватьпорты и устанавливать соединения слюбыми сетевыми службами, используяштатные средства Висты.TargetsУязвимость затрагивает Microsoft WindowsVista beta 1/2, Home Basic/Home Premium/Business/Enterprise/Ultimate, включая иx64-битные редакции. На Windows 2000/XP иServer 2003 эта угроза не распространяется.exploitНе требуется, для атаки достаточно воспользоватьсялюбой утилитой, умеющей передаватьи принимать IPv4-пакеты (например,netcat).SolutionПоскольку IPv6 все еще не получил большогораспространения, то для предотвращениявторжения протокол Teredo рекомендуетсяотключить, например, путем блокированияTCP-порта 5357 на внешнем брандмауэре.Внешний вид Windows FirewallУдаленный обход защитыкучи от переполненияBriefМассовые переполнения кучи началисьсо статьи «Once upon a free()...»,опубликованной в августовском выпускеэлектронного журнала PHRACK за 2001 год.Microsoft напряглась и встроила в XP SP2защиту от переполнения кучи, значительноусиленную в Висте, пробить которуюудалось лишь совместными усилиямицелой плеяды выдающихся хакеров: Brett’аMoore, Oded’а Horovitz’а, Matt’а Connover’аи нашего соотечественника АлександраСотирова. Сложность атаки объясняетсятем, что Виста не только проверяетцелостность служебных данных кучи (такженазываемых метаданными — metadata), ноеще и шифрует их для надежности (кстатиговоря, аналогичным образом поступает ибиблиотека glib для Linux и xBSD). Впрочем,ключ шифровки и контрольная сумма лежатрядом с подшефными метаданными, гдеони могут быть перезаписаны хакером.Достаточно «всего лишь» разобраться сформатом служебных данных.TargetsУязвимость затрагивает Microsoft WindowsVista beta 1/2, Home Basic/Home Premium/Business/Enterprise/Ultimate, включая иx64-битные редакции, а также Windows2000/XP/Server 2003.exploitsДля реализации атаки можно использоватьбиблиотеку Immlib, созданную компаниейImmunityinc Inc для своего же отладчикаImmunityinc Debugger.. Фрагмент демонстрационногоскрипта, пробивающего защитукучи от переполнения, смотри на диске.SolutionВоспользоваться коммерческим программнымкомплексом BufferShield (www.sysmanage.com/sites/D_BuffShld.html).Внешний вид коммерческого отладчикаImmunityinc Debugger, подозрительно похожего нанекоммерческий OllyDbgлокальная атака на ACl’ыBriefВ июне 2007 года хакер по имени RobbieSohlman обратил внимание на «неаккуратную»установку в Висте прав, регламентирующихдоступ к реестру и файловой системе.В результате нее непривилегированныепользователи могут беспрепятственночитать закрома защищенных хранилищ, вкоторых, помимо прочих данных, находитсяпароль администратора, а его захватприводит к известным последствиям. Хотяуязвимость носит локальный характер,ей могут пользоваться сетевые черви дляповышения своих привилегий и установкируткитов, скрывая их от глаз антивирусныхслужб. Microsoft подсуетилась и выпустилазаплатку, доступную через службуWindows Update. Технические подробностисодержатся в бюллетене безопасности подномером MS07-032, из которого абсолютноневозможно ничего понять. То же самоеотносится и к прочим ресурсам по безопасности,например к Security Focus(www.securityfocus.com/bid/24411), ограничившемусяобщими словами, но ничего несказавшему по существу вопроса. Так чтомне пришлось разбираться с проблемойсамостоятельно.TargetsУязвимость затрагивает Microsoft WindowsVista beta 1/2, Home Basic/Home Premium/Business/Enterprise/Ultimate, включая иx64-битные редакции. На Windows 2000/XP иServer 2003 эта угроза не распространяется.exploitsНе требуется — атака реализуется штатнымисредствами доступа к файловой системе иреестру.SolutionУстановить заплатку, которую можно получитьна узле Windows Update.xàêåð 08 /104/ 07047
Change language