Отравляем приложения

Докучаев Дмитрий aka Forb

Спецвыпуск Xakep, номер #045, стр. 045-052-5

Непроверенные конфиги

Довольно забавно, но даже твой любимый Apache 1.3.24 попал в списки уязвимых приложений. Несмотря на то что версия стара, httpd очень популярен и установлен на каждом пятом сервере ;). Чтобы убить веб-сервант на твоем любимом хостинге, достаточно объявить переменную DATA_LOCALE и задать ее значение в размере более 12288 байт. Объявление возможно в любом конфиге, в том числе и в .htaccess-файле. Наколбасив смертельный конфиг, смело запрашивай веб-страницу и жди кончины самого безопасного в мире сервера. Да, я забыл описать строку в конфе. Она должна выглядеть следующим образом: SetEnv DATE_LOCALE "X", где X – строка более 12288 символов. Если не хочешь мутить конфиг самостоятельно, доверься эксплоиту, который сделает черное дело за тебя. Вот шелл-код, представляющий бажную строку:

char killcode[] =

"\x31\xc0\xb0\x0f\x50\x31\xc0\x50"

"\xb0\x25\x50\xcd\x80";

Обязательно кликни по ссылке http://www.securitylab.ru/31671.html и ознакомься с документацией по интересной уязвимости.

Особо занятный баг нашелся в антивирусе clamd под Linux. В конфиге /etc/clamav.conf используется директива VirusEvent, значение которой выполняется в том случае, когда будет обнаружен вирус. Так вот: по дефолту в VirusEvent загнана строка /bin/echo "Virus: %f: %v" | /usr/bin/mail -s "VIRUS ALERT" admin@network.net. Переменная %f отобразится в виде файла, в котором найден вирус. На первый взгляд, ничего страшного. Но только на первый ;). Допустим, хакер записал строчку «X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*» в файл с именем «; mkdir /xakep; echo “you are lame”|admin@network.net». Затем злоумышленник дожидается очередного сканирования (а по дефолту оно проходит раз в сутки). Строка вида ANTIVIRUS-TEST-FILE опознается демоном как вирус. После этого выполнится директива VirusEvent. При этом clamscan попытается вывести в консоль имя зараженного файла. Но, к сожалению, файл не проверяется на наличие спецсимволов, поэтому вывод будет опознан как обычная команда. В итоге на мыло админу улетит целых два письма, а в корне системы появится директория xakep. Если поиграться с именем файла, можно вообще переполнить буфер в clamd и аварийно завершить работу приложения. Однако подобные примеры не известны.

Будь бдителен!

Теперь тебе, наверно, понятно, что видеофайл может оказаться подставой, мидяха способна сорвать крышу у Winamp’а, а архив с секретной информацией убивает WinRar. Ты должен приучить себя не только к хакерской активности, но и к некоторой осторожности. Ты способен наколоть своего приятеля и переполнить его буфер (то есть буфер его приложений ;)), но помни, что и сам можешь стать жертвой соседа-ламера. Даже если ты уверен, что открываешь достоверный файл, абсолютная безопасность не гарантирована. Обязательно посещай сайты по безопасности (xakep.ru, securitylab.ru, security.nnov.ru), а также листай страницы твоего любимого журнала, чтобы обрести уверенность в безопасности своего софта.