последствия ядерной войны

КРИС КАСПЕРСКИ АКА МЫЩЪХ

Спецвыпуск: Хакер, номер #072, стр. 072-062-8

Собственно говоря, технически все это можно было сделать и на w2k. Тем более что службы, разработанные сторонними поставщиками, по-прежнему работают на том уровне привилегий, под который они были спроектированы (и, как правило, этим уровнем является system). В отдаленном будущем разработчики, возможно, последуют рекомендациям Microsoft и перепроектируют свои службы так, чтобы они смогли работать на пониженном уровне, но даже на пониженном уроне службам доступны все файлы, доступные простому пользователю. То есть установить backdoor и перехватить конфиденциальную информацию хакер все-таки сможет. Да, на NTFS-разделах пользователь в силах запретить непривилегированным службам видеть свои секретные файлы, но только кто из пользователей это будет делать? А если бы пользователи делали это, то никакие антивирусы им не были бы нужны.

Загрузить rootkit'а на пониженном уровне привилегий уже труднее (легальными средствами - вообще невозможно), но, учитывая, что большинство пользователей сидит под администратором (факт, против которого не попрешь), хакеры продолжат атаковать прикладные приложения, содержащие намного больше ошибок, чем службы. А с открытием большого класса атак на драйвера через ошибки синхронизации, дающих хакеру ядерные привилегии, атака на службы не актуальна.

[изоляция нулевой сессии.]

Гордиться закрытием дыры четырехлетней (!) давности может только отдел маркетинга Microsoft. Остальные бы, по крайней мере, сдали это втихую, чтобы не позориться.

История началась в августе 2002 с публикации Криса Пэджета (Chris Paget) «Exploiting design flaws in the Win32 API for privilege escalation» («Использование дефектов проектирования Win32 API для повышения привилегий»), описывающей элегантный трюк. Находим окно более привилегированного приложения со строкой редактирования и засылаем туда shell-код путем посылки сообщения WM_SETTEXT, управление которым передается через таймер, работающий в контексте уязвимого приложения и устанавливаемый отправкой еще одного сообщения - WM_TIMER. Атаки подобного типа получили название «shatter attacks» и чрезвычайно взволновали общественность, просочившись даже в некомпьютерную прессу.

Вообще, оконная подсистема Windows является одной большой дырой, простительной для Windows 3.x и 9x, где понятие привилегий отсутствует как класс, и «натянутой» на NT без учета системы разграничения доступа. Ни для кого не секрет, что сообщения позволяют манипулировать элементами управления более привилегированных приложений, в частности, отключать брандмауэры и антивирусы, запускать от их имени другие программы и т.д. Тем не менее, Microsoft категорически отказалась признавать это «дефектом проектирования» и выпустила заплатки для NT, w2k и XP лишь в декабре, под напором возмущенных пользователей.