Turvaauk CVE

Size: px

Start display at page:

Download "Turvaauk CVE"

Grant McBride
6 years ago
Views:

Turvaauk CVE-2012-0158 Marko Täht Microsoft Office on laialdaselt kasutatud tarkvara erinevate andmete töötluseks.

1 Turvaauk CVE Marko Täht Microsoft Office on laialdaselt kasutatud tarkvara erinevate andmete töötluseks. Office versioonidel 2003, 2007 ja 2010 olid haavatavad läbi spetsiaalselt valmistatud RTF või DOC faili kaudu. ActiveX on tarkvara raamistik mida Microsoft kasutab, et oma vanu COM ja OLE tehnoloogiaid kasutada veebist alla laetud materjalide jaoks. Alustades Internet Explorer 3.0 lisas Microsoft ActiveX toe html sisse. Lehel millel oli ActiveX kasutused sai kasutada OBJECT tagi ja sellega automaatselt installeerida kontrollimis vahendid. See muutis internetti rikkalikumaks aga tekitas ka turvaaugu. Kuna inimeste poolset sisendit pole enam vaja siis sai automaatselt installida asju ja nende hulka võis kuuluda ka mõni pahavara. Antud probleemi võib vaadata ka kui makroviirusejaoks ust. Kasutaja avab modifitseeritud faili, peale mida ActiveX controlerid võtavad faili avamise endapeale. Kuna Offices on olemas macrod, siis modifitseeritud kood samastab ennast makroga, mis programmi avamisel käivitatakse. See ei sega dokumendi normaalset tööd, ainult et taustal kasutajale teadmata toimub igasugu lubamatut tegevust. Antud pahavara levis ka lihtsalt iteel saadetud dokumentide kaudu, mille avamisel installeeriti arvutisse trooja. Kui Wordi avamisel Word korraks sulgub ja uuesti avaneb, siis see võib olla märk sellest et teile on sattunud just see pahavara. Alla laetud.doc fail oli tegelikult rtf fail mis on loodud kasutamaks ära ActiveX poolt tekitatud auku. Pahavaraile koodi tunneb kergelt ära sõne E9 järgmi millele järgneb palju of90s mis on NOP juhend. Antud koodi disassemblimisel on näha mis sela sees toimub. NOP on No Operation juhend, mis ei tee mitte midagi.

2 Töödeldud faili on sisse kirjutatud 3 objekti. Esimeseks on 12-baidine signatuur ja pahavaralne kahendsüsteemis kood mis järgneb 4 taseme shellcode-le.

Selle võttega saab minna mööda mõnes heuristilisest mehanismit.

3 Teiseks objektiks on OLE objekt mis sisaldab muudetud DOC faili mis tekitab buffer overflow ja käivitab shellcode-i. Kasutades OLE tehnoloogiat tähendab, et me näeme pahavaralise HEX koodi ASCII kuju. Selle võttega saab minna mööda mõnes heuristilisest mehanismit. OLE on microsofti poolt välja arnedatud tehnoloogia mis lubab dokumentidesse ja teistesse objektidesse linkida ja embedida. Selle pahavara looja kirjutas varjas ära konstantid kasutadessulge ja tühikuid. OLE objekti signatuuriks on DOCF11E0A1B11AE1.

Kasutatud on ROP meetmeid et saada mööda Data Execution preventionist. Järgmisena kasutatakse FLDZ + FSTENV instructioneid et saada pointereid.

4 Kasutatud on ROP meetmeid et saada mööda Data Execution preventionist. Järgmisena kasutatakse FLDZ + FSTENV instructioneid et saada pointereid. See on vana vote ja selelst võidake mööda vaadata eriti siis kui on ümbritsetud koodiga mis tundub korrektne. ROP on võte kus kood märgitakse mitte käitatavaks, selle asemel võetakse kuhjast ruumi kuhu kopeeritakse antud kood. Ja vaja on ainult kood välja kutsuda et seda kasutada. Shellcode teine osa on täis igasuuseid tühiseid käske millel pole mittemingit mud eesmärki kui ainult petta ära heuristilisi mehanisme. Koodi on ära peidetud funktsioon mis dekrüpteerib kolmanda taseme shellcode. Kürpteerimiseks on kasutatud lihtsat XOR tehet kus võtmeks on 0x3D. Järgmisena otsib kood viimase shellcode osa. Et leida kernel32.dll kasutab ta nime pikkuse otsimist, et vähendada ohtu, et mõni tõrje süteem selle leiaks. Pahavara viimane tase peitub OLE objekti RTF failis mis võet esimesel tasemel ette. Kontrollides mälu otsib kood ülesse mälu ala mida antud protsess saa bhetkel lugeda. Selle seest otsib ta ülesse oma signatuuri. Peale dekrüpteerimist kopeeritakse viimase taseme kood mällu ja salvestab pointeri dekrüpteeritud MZ kohta. Lõpuks jätkab kood rutiini et jõuda kohani kus tegelikult antud fail käivitatakse.

5 Viimane shellkoodi osa paigutab binaari %TEMP%WINWORD.EXE ja kustutab ära registrid kus MS Word hoiab infot failide kohta mida võib olla on kunagi vaja taastada. Lõpuks kasutab ta WMI liidest et käivitada MZ fail. Turvaaugu lappimine. Kõige lihtsam moodus probleemist vabaneda on tõmmata microsofti poolt välja lasted update mis paigaldab kill biti järgmistele faili identifikaatoritele. {bdd1f04b-858b-11d1-b16a-00c0f } {996BF5E ADEB-0B013914E99C} {C74190B d1-B16A-00C0F } {9181DC5F-E07D-418A-ACA6-8EEA1ECB8E9E} Ja lisaks vahetab välja ka vanad Windows common control uue vastu milles antud turva auku ei eksisteeri. Kill biti paigaltus väldib olukorda et vigast koodi saaks kunaig käivitada. Isegi kui antud nõrkus tuuakse süsteemi kuidaig tagasi siis killbiti olemas olu ei lase sellel koodil kunaig käivituda. Samas saab seda teha ka manuaalselt paigaldades kill biti MSCOMCTL.TreeView, MSCOMCTL.ListView2, MSCOMCTL.TreeView2, and MSCOMCTL.ListView kontrolleritel registris. Selleks tuleb luua fail nimega Disable_MSCOMCTL.reg kuhu on sisse kirjutatud Windows Registry Editor Version 5.00 Compatibility\{C74190B d1-B16A-00C0F }] Explorer\ActiveX Compatibility\{C74190B d1-B16A-00C0F }] Compatibility\{996BF5E ADEB-0B013914E99C}] Explorer\ActiveX Compatibility\{996BF5E ADEB-0B013914E99C}] Compatibility\{9181DC5F-E07D-418A-ACA6-8EEA1ECB8E9E}]

6 Explorer\ActiveX Compatibility\{9181DC5F-E07D-418A-ACA6-8EEA1ECB8E9E}] Compatibility\{bdd1f04b-858b-11d1-b16a-00c0f }] Explorer\ActiveX Compatibility\{bdd1f04b-858b-11d1-b16a-00c0f }] Topelt klõps loodud failil käivitab selle ja paigaldab killbitid. Peale seda tuleks teha restart, et muudatused tööle hakkaksid. Lisaks ei tasuks kunagi avada RTF ja DOC faile tundmatutest allikatest. Microsofti poolt on nüüd ka välja lastud ActiveX updated mis kaotavad antud exploidi täielikult ära. Aga kuna enamik inimesi ei viitsi update teha oma süsteemile, siis antud explit eksisteeri siiani suhtselt jõudsalt. Kasutatud kirjandus: CVE Vulnerability.pdf

SQL Server 2005 Expressi paigaldamine

SQL Server 2005 Expressi paigaldamine Laadige alla.net Framework 2.0 http://www.microsoft.com/downloads/details.aspx?familyid=0856eacb-4362-4b0d- 8edd-aab15c5e04f5 Avage http://www.microsoft.com/express/2005/sql/download/default.aspx