👇🏼 😞 🔂 हम औद्योगिक स्विच की कमजोरियों का विश्लेषण करना जारी रखते हैं: हम एक पासवर्ड के बिना मनमाना कोड निष्पादित करते हैं 👨‍🏫 🧖🏾 🗼

सकारात्मक अनुसंधान 2019 में, हमने मोक्सा औद्योगिक स्विच प्रबंधन प्रोटोकॉल की समीक्षा की। इस बार हम इस विषय को जारी रखेंगे और हमारे विशेषज्ञों द्वारा पहचाने जाने वाले मॉडल के FL SWITCH 3xxx, FL SWITCH 4xxx और FL SWITCH 48xx लाइन के फीनिक्स कॉन्टैक्ट स्विच में भेद्यता CVE-2018-10731 के बारे में विस्तार से विश्लेषण करेंगे। डिवाइस की वेब इंटरफ़ेस में पाई गई यह भेद्यता, डिवाइस के क्रेडेंशियल्स को जाने बिना मनमाने कोड को निष्पादित करने की अनुमति देती है और CVSS संस्करण 3 पैमाने पर 10 में से 9 पर रेट किया गया है।

पहली झलक

ऊपर उल्लिखित डिवाइस लिनक्स चला रहे हैं, और आप उन्हें कॉन्फ़िगर करने के लिए वेब इंटरफ़ेस का उपयोग कर सकते हैं। घरेलू और औद्योगिक कई अन्य IoT उपकरणों के साथ, वेब इंटरफ़ेस में कई सीजीआई अनुप्रयोग हैं जो उपयोगकर्ता HTTP अनुरोधों को संसाधित करते हैं। हमारे मामले में, CGI एप्लिकेशन सक्रिय रूप से cgic लाइब्रेरी का उपयोग करते हैं, जो HTTP अनुरोधों के साथ काम करने की सुविधा प्रदान करता है, और इस लाइब्रेरी के कार्यों libipinfusionweb.soको डिवाइस के फाइल सिस्टम में स्थित साझा लाइब्रेरी में बनाया गया है।

एचटीटीपी अनुरोध को संसाधित करते समय, वेब सर्वर उपयोगकर्ता अनुरोध डेटा को पर्यावरण चर के एक सेट के रूप में सीजीआई अनुप्रयोग को भेजता है। उनका प्रारंभिक प्रसंस्करण mainलाइब्रेरी फ़ंक्शन द्वारा किया जाता है libipinfusionweb। अगला, फ़ंक्शन CGI एप्लिकेशन के फ़ंक्शन को mainकॉल करता है cgiMain, जिसमें अनुरोध के आगे की प्रक्रिया होती है।

चित्र 1. HTTP अनुरोध को संसाधित करना

अपने काम के दौरान, लाइब्रेरी का मुख्य कार्य libipinfusionwebएक फ़ंक्शन को कॉल करता get_login_userहै, जो पास किए गए कुकी मानों के आधार पर निर्धारित करता है कि उपयोगकर्ता ने सिस्टम में प्रमाणीकरण पारित किया है या नहीं।

चित्र 2. मुख्य

फ़ंक्शन का छद्म कोड टुकड़ा फ़ंक्शन का उपयोग करके फ़ंक्शन get_login_userकुकी पैरामीटर c_sessionका मान प्राप्त करता है cookies_get_valueऔर इसे एक चर में संग्रहीत करता है local_e0। चर स्वयं local_e00x80 की लंबाई के साथ एकल-बाइट वर्णों का एक सरणी है और स्टैक की शुरुआत से 0xE0 की दूरी पर स्थित है।

चित्रा 3. get_login_user फ़ंक्शन के छद्म कोड का एक टुकड़ा।

हालांकि, फ़ंक्शन कोड cookies_get_valueदिखाता है कि फ़ंक्शन द्वारा प्राप्त cgiCookieStringकुकी पैरामीटर का मान 0x400 बाइट्स की अधिकतम लंबाई है।

चित्रा 4. कुकीज़_गेट_वायु फ़ंक्शन के छद्म कोड का एक टुकड़ा।

इस प्रकार, जब 0xE0 (224) वर्णों से अधिक कुकी पैरामीटर पास किया जाता है, तो फ़ंक्शन get_login_userइस पैरामीटर के मान को उसके स्टैक में सहेज देगा , जिसके परिणामस्वरूप चर के पीछे की सभी जानकारी को local_e0अधिलेखित कर दिया जाएगा, जिसमें पता भी शामिल है। वापसी समारोह।

नोट: जब एक फ़ंक्शन दूसरे को कॉल करता है, तो रिटर्न पता स्टैक पर संग्रहीत होता है। नियंत्रण को इस पते पर स्थानांतरित कर दिया जाता है जब बुलाया फ़ंक्शन अपना काम पूरा करता है। तदनुसार, यदि आप इस पते को फिर से लिखते हैं, तो आप प्रोग्राम निष्पादन प्रक्रिया पर नियंत्रण प्राप्त कर सकते हैं। उदाहरण के लिए, एक हमलावर इस पते को प्रोग्राम के एड्रेस स्पेस में स्थित एक दुर्भावनापूर्ण शेलकोड के पते से बदल सकता है।

ध्यान दें कि प्रमाणीकरण सत्यापित होने से पहले रिटर्न पते का पुनर्लेखन होता है, जो एक हमलावर के लिए इस भेद्यता का दोहन करना संभव बनाता है जो डिवाइस की साख को नहीं जानता है।

शोषण

हमने इस भेद्यता के दोहन की संभावनाओं को प्रदर्शित करने के लिए कई विकल्पों की जांच की। सबसे सरल बात यह है कि स्टैक पर पेलोड कोड लिखना है (इसके लिए 0x400 - 0xE0 = 800 बाइट्स रहता है, यह कोड के लिए पर्याप्त है) और कोड पते के साथ रिटर्न एड्रेस को फिर से लिखना है। सैद्धांतिक रूप से, यह विकल्प संभव था, क्योंकि कमजोर स्विच का प्रोसेसर एनएक्स-बिट फ़ंक्शन का समर्थन नहीं करता है (अर्थात, यह स्टैक पर कहीं भी स्थित कोड के निष्पादन की अनुमति देता है), लेकिन व्यवहार में इसकी गंभीर सीमाएं थीं।

असुरक्षित स्विच प्रोसेसर में MIPS वास्तुकला है; इस आर्किटेक्चर के कई प्रोसेसर निर्देश बाइट अनुक्रम में शून्य बाइट्स में एन्कोडेड हैं। बफर सामग्री को पहले शून्य बाइट (फ़ंक्शन के उपयोग के कारण) के नीचे लिखा गया हैstrcpy), इसलिए, केवल उन ऑपरेंड्स का उपयोग करना आवश्यक है जिनमें एक शून्य बाइट शामिल नहीं है, जो कि असंभव है, क्योंकि कोई भी पेलोड कम से कम इन बाइट्स में से कई का उपयोग करेगा। ROP श्रृंखला का

निर्माण करते समय , फिर से, हमें अशक्त बाइट के प्रतिबंधों का सामना करना पड़ेगा: ROP गैजेट के पते में शून्य नहीं होना चाहिए, जो उनकी खोज को बहुत जटिल करता है। द्वारा और बड़े, हम केवल एक शून्य का उपयोग कर सकते हैं, जिसे स्ट्रैची फ़ंक्शन द्वारा कॉपी किया गया है। यह एक पूर्ण आरओपी श्रृंखला के निर्माण पर एक सीमा लगाता है, और इसके अलावा, जिन गैजेट्स की हमें ज़रूरत थी वे बहुत कम थे। हालाँकि, लीबिपिनफ्यूज़न लाइब्रेरी में खोज के दौरान, निम्न कोड टुकड़ा पाया गया था:

चित्र 5। libipinfusionweb लाइब्रेरी के निष्पादन योग्य कोड का एक टुकड़ा

बशर्ते कि रजिस्टर $ s0 की सामग्री को नियंत्रित किया जाता है, यह कोड टुकड़ा आपको एक फ़ंक्शन का उपयोग करके ओएस कमांड निष्पादित करने की अनुमति देता है mysystem(शुरुआत में इस फ़ंक्शन का नाम नहीं था, लेकिन हमने इसका नाम बदल दिया था, क्योंकि यह लिनक्स सिस्टम फ़ंक्शन के समान है)।

चूंकि हम get_login_user फ़ंक्शन से रिटर्न एड्रेस को फिर से लिख रहे हैं, इसलिए इस फ़ंक्शन को अंत तक निष्पादित किया जाएगा। Get_login_user फ़ंक्शन के उपसंहार में, आप देख सकते हैं कि रजिस्टर $ s0 का मान स्टैक पर पहले से सहेजे गए मूल्य (स्टैक के शीर्ष से ऑफसेट 0xD8 पर) में पुनर्स्थापित किया गया है। हालाँकि, इस बिंदु पर, स्टैक का यह क्षेत्र पहले से ही हमारे नियंत्रण में है, अर्थात्, हम रजिस्टर $ s0 की सामग्री पर नियंत्रण प्राप्त कर सकते हैं और इस प्रकार फ़ंक्शन का उपयोग करके मनमाना ओएस कमांड निष्पादित कर सकते हैं mysystem।

चित्र 6. get_login_user फ़ंक्शन निष्पादन योग्य कोड का एक स्निपेट

इस प्रकार, इस भेद्यता के शोषण को सफलतापूर्वक प्रदर्शित करने के लिए, हमें एक पैरामीटर के रूप में भेजने की आवश्यकता है Cookie c_sessionजिसमें एक लंबी लाइन है:

OS स्ट्रिंग कमांड, जिसे बाद में mysystem फ़ंक्शन में पास किया जाएगा;
स्टैक पर इस कमांड का पता;
नया रिटर्न पता (चित्र 5 में दिखाए गए कोड के टुकड़े का पता)।

अंतिम पेलोड इस तरह दिखना चाहिए:

चित्रा 7. पेलोड

इस बिंदु पर, हमारे पास पहले से ही एक भेद्यता का उपयोग करके प्राप्त डिवाइस पर एक शेल था जिसे संचालित करने के लिए व्यवस्थापक अधिकारों की आवश्यकता थी। इसलिए, हम अतिरिक्त जानकारी प्राप्त करने में सक्षम थे जिससे हमें काम करने में मदद मिली:

अध्ययन के तहत डिवाइस पर एएसएलआर अक्षम किया गया था - इसलिए, उपयोग किए गए गैजेट और ओएस कमांड के पते हमेशा समान होंगे।

चित्रा 8. जांच के तहत डिवाइस पर एएसएलआर स्थिति

मेमोरी पतों की श्रेणी जिसमें स्टैक झूठ हो सकता है। सटीक पते की गणना करने के लिए, हम इस श्रेणी के सभी पतों पर गए।

पेलोड के रूप में, हमने निम्नलिखित सामग्रियों के साथ एक वेब शेल, एक CGI एप्लिकेशन के लोडिंग को लागू किया:

#!/bin/sh
eval $HTTP_CMD 2>&1

चूंकि, CGI प्रोटोकॉल के अनुसार, HTTP हेडर की सामग्री HTTP_ <हैडर नाम> के नाम के साथ पर्यावरण चर के रूप में CGI एप्लिकेशन को प्रेषित की जाती है, यह शेल CMM evalHTTP हेडर की सामग्री को निष्पादित करने के लिए कमांड का उपयोग करेगा। नीचे दिया गया आंकड़ा लोड किए गए शेल का उपयोग करके एलएस कमांड के सफल संचालन और निष्पादन का परिणाम दिखाता है।

चित्र 9. ls कमांड के सफल संचालन और निष्पादन का परिणाम

निष्कर्ष

हमने इस भेद्यता के दोहन की क्षमता का प्रदर्शन किया है। जैसा कि हमने पहले ही उल्लेख किया है, इसके संचालन में पासवर्ड के ज्ञान की आवश्यकता नहीं होती है, और इसलिए इसे एक अनौपचारिक हमलावर द्वारा भी किया जा सकता है।

एक औद्योगिक नेटवर्क स्विच को हैक करने से पूरे उत्पादन का समझौता हो सकता है। नेटवर्क इंटरैक्शन का उल्लंघन प्रक्रिया को प्रतिकूल रूप से प्रभावित कर सकता है जब तक कि यह पूरी तरह से बंद न हो जाए।

भेद्यता और PoC के बारे में जानकारी विक्रेता को प्रेषित की गई, जिन्होंने अद्यतन फर्मवेयर संस्करण 1.34 को जारी किया, और पहचानकर्ता CVE-2018-10731 को स्वयं भेद्यता को सौंपा गया था।

किसी व्यक्ति की तलाश है

यदि आप ऐसी चीजें करने की इच्छा रखते हैं, तो हम अपनी टीम में एक विशेषज्ञ की तलाश कर रहे हैं। हम प्रक्रिया नियंत्रण प्रणालियों (बड़े औद्योगिक / ऊर्जा / परिवहन सुविधाओं, आदि) के सुरक्षा विश्लेषण में लगे हुए हैं। प्रत्येक प्रोजेक्ट पर, हम इन ऑब्जेक्ट्स के संचालन को रोकने या बाधित करने के तरीकों की तलाश करते हैं। हर बार हम विनिर्माण प्रक्रिया को प्रभावित करने, औद्योगिक हार्डवेयर और सॉफ्टवेयर की खोज करने, मालिकाना नेटवर्क प्रोटोकॉल का विश्लेषण करने के कई तरीके खोजते हैं। हम बहुत सारे ज़िरोडी पाते हैं और रिपोर्ट करते हैं, रिपोर्ट लिखते हैं (GOST के अनुसार नहीं) और बहुत कुछ करते हैं। जब समय होता है, हम आईबी पर बोलते हैं और न केवल सम्मेलनों में। रिक्ति के लिए लिंक: hh.ru/vacancy/36371389

व्याचेस्लाव मॉस्कविन, पॉजिटिव टेक्नोलॉजीज द्वारा पोस्ट किया गया

पहली झलक

शोषण

निष्कर्ष

किसी व्यक्ति की तलाश है

More articles: