👖 🧚🏽 🧑🏾‍🤝‍🧑🏻 DEFCON 27 सम्मेलन। बटप्लग: ट्रू पेनेट्रेशन टेस्टिंग। भाग 2 🖊️ 👯 ⏺️

विश्लेषकों का मानना है कि वर्तमान में इंटरनेट ऑफ थिंग्स (IoT) दुनिया से लगभग 10 बिलियन डिवाइस हैं। कभी-कभी ये उपकरण बाजार में अपनी जगह हासिल कर लेते हैं, सचमुच मानव गधे पर चढ़ जाते हैं। जैसा कि यह निकला, सस्ते और कम-शक्ति वाले रेडियो चिप्स न केवल होम ऑटोमेशन के लिए महान हैं - वे लोगों को सेक्स के खिलौने के साथ बातचीत करने के तरीके को भी बदलते हैं। इस रिपोर्ट में, हम टेलीविज़न डिल्डोनिक्स की दुनिया में उतरेंगे, एक दूरी पर सेक्स की तकनीक जिसमें स्पर्श, तापमान और अन्य संवेदनाएं दो-तरफ़ा संचार लाइन के माध्यम से भागीदारों के बीच संचारित होती हैं। स्पीकर आपको बताएगा कि बटप्लग इलेक्ट्रॉनिक इलेक्ट्रॉनिक गुदा सेक्स खिलौने की सुरक्षा एक हमलावर के विरोध में हो सकती है जो स्टैक के प्रत्येक स्तर पर कमजोरियों को ढूंढता है और उनका शोषण करता है। अंतत :, यह खुद सेक्स्टॉयस को समझौता करने की अनुमति देता है,और वे डिवाइस जिनसे वे कनेक्ट होते हैं।

स्माइका, या स्माइलम के साथ एक हैकर ने गेम कंसोल के लिए वीडियो गेम के डेवलपर के रूप में अपने कैरियर की शुरुआत की, जैसे कि निनटेंडो डीएस, उन्हें एक साथ क्रैक करने की कोशिश कर रहा था। कुछ बिंदु पर, कंसोल ने गंभीर सुरक्षा प्रणालियों का अधिग्रहण किया, और स्मिया ने घर-विकसित सॉफ्टवेयर से इसे विकसित करने की तकनीक विकसित की। स्मिया को निंटेंडो 3 डीएस और वाई यू पर अपने "काम" के लिए जाना जाता है, हालांकि इसने सबसे लोकप्रिय वेब ब्राउज़र और वर्चुअलाइजेशन स्टैक के लिए कारनामों के विकास में भी योगदान दिया। शायद, अब वह "स्मार्ट" गुदा प्लग में तोड़ने के लिए इच्छुक हो गया।

DEFCON 27 सम्मेलन। बटप्लग: ट्रू पेनेट्रेशन टेस्टिंग। भाग 1

बेशक, आप ऐसी छोटी लाइन की लंबाई के साथ आने वाले संदेशों को भी प्रबंधित कर सकते हैं। उदाहरण के लिए, 30 अक्षर दुर्भावनापूर्ण जावास्क्रिप्ट को निष्पादित करने के लिए पर्याप्त हैं। यह स्लाइड एक गैर-मौजूद स्रोत से एक छवि के लिए 30 वर्णों की लंबाई के साथ एक उदाहरण टैग दिखाती है <img src = onerror = 'अलर्ट (1)'>, जो एप्लिकेशन को त्रुटि संदेश प्रदर्शित करने का कारण बनता है। जब भी छवि लोड करना वास्तव में असंभव है, तो यह संदेश प्रदर्शित किया जाएगा। स्क्रीनशॉट से पता चलता है कि एक समझौता डोंगल के माध्यम से जुड़ने से आपको दुर्भावनापूर्ण जावास्क्रिप्ट को निष्पादित करने की अनुमति मिलती है।

32 वर्ण सीमा कष्टप्रद है क्योंकि वॉल्यूम पेलोड को महसूस करना कठिन है, लेकिन यह बहुत संभव है। तो, आप देखते हैं कि हमने USB कुंजी का उपयोग करके एप्लिकेशन से सफलतापूर्वक समझौता किया है और अब हैकिंग को रिवर्स करने के लिए आधे रास्ते में है, यानी हैकर बूटप्लैग का उपयोग करके एप्लिकेशन को समझौता करने के लिए। डोंगल-कंप्यूटर साइट पर हैकिंग दो तरह से हो सकती है: कंप्यूटर के माध्यम से, आप डोंगल से समझौता कर सकते हैं, और डोंगल के माध्यम से, आप कंप्यूटर से समझौता कर सकते हैं।

डोंगल बूट प्लग और एप्लिकेशन के बीच एक छोटे पुल का काम करता है। सवाल उठता है: क्या बूटप्लग के माध्यम से सीधे कंप्यूटर पर किसी एप्लिकेशन से समझौता करने के लिए उसी भेद्यता का उपयोग करना संभव है। दुर्भाग्य से, इस प्रश्न का उत्तर नकारात्मक है, और इसका कारण यह है कि संदेश के पात्रों की लंबाई पर एक और सीमा है जो बूट प्लग-इन से एप्लिकेशन में आती है।

डोंगल बस बूट प्लग-इन के संदेशों को पैक करता है और उन्हें एप्लिकेशन में भेजता है, और इस चरण पर आप अपना HTML कोड उनमें डाल सकते हैं। हालाँकि, एक समय में यह 20 बाइट्स से अधिक लंबा संदेश प्राप्त कर सकता है, जो कि XSS हमले को करने के लिए पर्याप्त नहीं है। हालांकि, डोंगल फर्मवेयर में एक बग है: लाइन के अंत में नल टर्मिनेटर के लिए कोई जांच नहीं है। इसलिए, यदि आप 20-वर्ण स्ट्रिंग के अंत के बाद कुछ अनअनियुक्तिकृत डेटा रख सकते हैं, तो आप 20 से अधिक वर्णों को एप्लिकेशन भेजने में सक्षम होंगे। दुर्भाग्य से, मुझे व्यवहार में इस भेद्यता का उपयोग करने का कोई तरीका नहीं मिला, लेकिन ऐसा अवसर ध्यान में रखने योग्य है।

तो समस्या यह है कि आप संभवतः इस भेद्यता का उपयोग कर नहीं सकते हैं ताकि एप्लिकेशन को सीधे प्लग प्लग-इन से प्राप्त कोड निष्पादित करने के लिए मजबूर किया जा सके। यह दुखद है, लेकिन यहां तक कि दुखद है कि यदि आप डोंगल फर्मवेयर को देखते हैं, तो आप देख सकते हैं कि सिद्धांत रूप में यह प्राप्त आंकड़ों के साथ कुछ भी नहीं करता है, लेकिन बस उन्हें एक नई पंक्ति में कॉपी करता है और इसे आगे भेजता है। इसलिए, हम मेमोरी बफर के अतिप्रवाह के माध्यम से हमला करने के लिए इसकी भेद्यता का उपयोग नहीं कर पाएंगे। हालांकि, अगर बूट प्लग-इन से सीधे एप्लिकेशन को हैक करना असंभव है, शायद बूट-प्लग-डोंगल-कंप्यूटर श्रृंखला के माध्यम से ऐसा करना संभव होगा?
अच्छी बात यह है कि डोंगल चिप आपको मूल Lovense Hush डेवलपर प्रोग्राम के लिए आवश्यकता से अधिक कोड रखने की अनुमति देता है।

डोंगल की फ्लैश मेमोरी में DFU लोडर के लिए आरक्षित क्षेत्र, लवेंस एप्लिकेशन के लिए एक क्षेत्र और नॉर्डिक सेमीकंडक्टर BLE चिप के लिए हार्डवेयर ड्राइवर के लिए एक बंद सॉफ्टवेइस क्षेत्र शामिल है। यह वह जगह है जहाँ BLE प्रोटोकॉल को ही संसाधित किया जाता है। उदाहरण के लिए, जब कोई एप्लिकेशन किसी खिलौने को BLE संदेश भेजना चाहता है, तो वह SVC कॉल के माध्यम से SoftDevice को एक्सेस करता है। इन 3 क्षेत्रों के अलावा, डोंगल में पर्याप्त बड़ी मात्रा में फ्लैश मेमोरी का अप्रयुक्त क्षेत्र है।
BLE SoftDevice स्टैक में भेद्यता का पता लगाने के लिए, आपको रिवर्स इंजीनियरिंग का उपयोग करने की आवश्यकता है, क्योंकि यह ओपन-सोर्स नहीं है। फर्मवेयर प्लग-इन की भेद्यता का पता लगाने के लिए मैंने ऐसा ही किया। इस मामले में, डेटा प्रवाह का पालन करना बहुत आसान है, क्योंकि वहां कोई एएसएलआर नहीं है, और कोड को निर्धारित करना आसान है जो इन संदेशों को संसाधित करेगा।

स्लाइड पर दाईं ओर, आपको GATTC इनकमिंग पैकेट हैंडलर (सामान्य विशेषताओं का एक प्रोफाइल) दिखाई देता है, जो कि संक्षेप में एक डोंगल है। विशेष रूप से, यह प्रतिक्रिया पैकेट के प्रकार द्वारा एक पढ़ा हुआ हैंडलर है। मैं ब्लूटूथ डिवाइस का विशेषज्ञ नहीं हूं, लेकिन मुझे लगता है कि यहां बिंदु यह है कि डोंगल परिधीय उपकरण के प्रकार को पढ़ता है और इस प्रकार से जुड़ी विशेषताओं के सभी प्रकारों के लिए हैंडलर का उपयोग करता है। इसका मतलब यह है कि वास्तव में आप एक समय में 1 से अधिक विशेषता प्राप्त कर सकते हैं, और विशेषता डेटा की एक जोड़ी के प्रत्येक हैंडलर का आकार पैकेज के अंदर एक क्षेत्र के रूप में एन्कोड किया गया है, जो आपको उन्हें प्रबंधित करने की अनुमति देता है।

स्लाइड ऐसे पैकेज का एक नमूना दिखाती है। जीएटीटी ग्राहक टाइप रिक्वेस्ट पैकेट द्वारा रीड भेज सकते हैं जिसमें पढ़ने के लिए डिस्क्रिप्टर का प्रकार और रेंज होता है। सर्वर जो इस प्रकार के अनुरुप रेंज के भीतर हैंडलर्स से जुड़े डेटा रिक्वेस्ट रिटर्न डेटा के माध्यम से रीड का जवाब देते हैं। डिस्क्रिप्टर / डेटा पेयर की संख्या डिस्क्रिप्टर / डेटा पेयर की फ़ील्ड लंबाई द्वारा शेष पैकेट की लंबाई को विभाजित करके निर्धारित की जाती है, और यह फ़ील्ड हमेशा 0x7 या 0x15 है।

स्लाइड उस फ़ंक्शन के संचालन को दिखाती है जिसमें हम रुचि रखते हैं: आप देखते हैं कि कैसे पैकेट विशेषताओं के एक सरणी से डेटा से भरा होता है, और उनके लिए एक निश्चित बफर लंबाई आवंटित की जाती है। यह वह जगह है जहाँ डिस्क्रिप्टर वैल्यू रखी गई है, और फिर पॉइंटर इससे जुड़ा है। एक विशेषता सरणी बाइनरी डेटा है जिसे हेक्साडेसिमल प्रारूप में बफर के अंदर रखा गया है। डेटा को नीले रंग में हाइलाइट किया गया है, और उसके बगल में 0D डिस्क्रिप्टर और उससे जुड़ा सूचक 00 है, इसे नारंगी में हाइलाइट किया गया है। दूसरे और तीसरे हैंडलर का पैकेज समान दिखता है।

भेद्यता इस प्रकार है। यदि आप दाईं ओर कोड पढ़ते हैं, तो आप बैंगनी फ्रेम में रखे जाने वाले Detail_data_length पैरामीटर को देख सकते हैं - आने वाले संदेश की लंबाई, जिसका मान पूरी तरह से एक संभावित हमलावर द्वारा नियंत्रित किया जाता है। यदि हम वहां एक शून्य मान रखते हैं, तो हमें एक अनंत लूप मिलता है।

लूप अनंत हो जाता है क्योंकि कोड यह जांच नहीं करता है कि आउटपुट बफर को लिखने वाला डेटा इस आउटपुट बफर के अंदर है या नहीं। नतीजतन, हमें एक क्लासिक स्टैक बफर ओवरफ्लो मिलता है, क्योंकि डिवाइस में एएसएलआर या डीईपी नहीं है, और कोड तुरंत निष्पादित होता है।

शून्य के मान को असाइन करना और अनंत लूप प्राप्त करना, आप वास्तव में सभी रैम डेटा को कचरे से बदल देते हैं। हालांकि, यह एक असफल समाधान है, क्योंकि यह डिवाइस विफलता का कारण होने की संभावना है। लेकिन अगर आप 1 के मान का उपयोग करते हैं, तो यह आने वाले संदेश के अंदर बाइट्स की संख्या को सीमित कर देगा। इसका मतलब निम्नलिखित है - आप इस बफर को थोड़ा ओवरफिल कर सकते हैं, और फिर बफर, जो स्टैक पर आधारित है, इसके बगल में मौजूद हर चीज को नुकसान पहुंचा सकता है।

आइए देखें कि अतिप्रवाह से पहले स्टैक कैसा दिखता है। बफर विशेषताओं की सरणी जिसके बारे में हमने बात की थी, उसे पीले रंग में हाइलाइट किया गया है, नीले रंग में सहेजा गया रजिस्टर और नारंगी में वापसी पता। विशेषता की लंबाई 0x01 पर सेट करके, हम कई हैंडल / डेटा पॉइंटर जोड़े के अतिप्रवाह का कारण बन सकते हैं। डिस्क्रिप्टर्स में 2 बाइट्स होते हैं, लेकिन DWORD डिस्क्रिप्टर के शीर्ष दो बाइट्स साफ़ नहीं होते हैं। जिस बफर को हम ओवरफ्लो कर रहे हैं, वह बिना कुकीज़, कोई ASLR, कोई DEP के साथ स्टैक पर नहीं है।

अगला, हम सिस्टम का परीक्षण करते हैं: 0xDA बाइट्स से भरा एक पैकेट 0x01 की लंबाई की विशेषता के साथ भेजें। यह पता चला है कि हम अपने विशेषता डेटा के लिए एक सूचक के साथ वापसी पते को फिर से लिखते हैं। चूंकि कोई डीईपी नहीं है, इसका मतलब है कि हर बार फ़ंक्शन वापस आने पर, कोड जो हमारे पैकेज के अंदर है, निष्पादित किया जाएगा। केवल सीमा यह है कि हमें एलएसबी सेट को कम से कम महत्वपूर्ण बिट के लिए वापसी पते की आवश्यकता है, इसलिए कोड थंब मोड में चलता है, क्योंकि कॉर्टेक्स एम 0 प्रोसेसर एआरएम मोड का समर्थन नहीं करता है।

हम कई स्थानीय चरों को भी फिर से लिखते हैं, जबकि हम यह सुनिश्चित करते हैं कि हम रास्ते में इस्तेमाल होने वाली किसी भी चीज़ को दोबारा न लिखें। मूल रूप से, हमें एक क्लासिक बैकडोर पैकेज मिलता है। यदि आप इस स्टैक पर ध्यान देते हैं, तो आप देखेंगे कि पुनर्लेखन एक सीमा के अनुरूप नहीं है, जिससे प्रोग्राम क्रैश हो जाएगा।

संग्रहीत रजिस्टरों के संबंध में एक और आवश्यकता है। ये स्थानीय चर हैं जो फ़ंक्शन वापस आने पर भी अधिलेखित हो जाते हैं।

उनमें से एक का उपयोग एक 32-बिट सीमा को विघटित करने के लिए किया जाता है, और सीमा के साथ सामग्री बेमेल कार्यक्रम को दुर्घटना का कारण बनेगा। इसलिए, आपको यह सुनिश्चित करने की आवश्यकता है कि save_arg_3 = 0, save_arg_4 DWORD से मेल खाता है, अर्थात यह सीमा के भीतर है, और LSB सेट है।

इसलिए, हमें यह सुनिश्चित करने की आवश्यकता है कि यह पैकेज काम कर रहा है। सौभाग्य से, यह वास्तव में आसान है, क्योंकि जिस तरह से SoftDevice इन आने वाले पैकेटों को वितरित करता है वह किसी भी मजबूर संरेखण आवश्यकताओं के बिना एक रिंग बफर है। व्हिट्सार्क ने यह सत्यापित करना संभव बना दिया कि बाद के पैकेट के संरेखण को पिछले पैकेट की लंबाई को बदलकर नियंत्रित किया जा सकता है।

पीले और नीले हाइलाइट किए गए 2 पैकेज जो शोषण पैकेज भेजे जाने से पहले भेजे जाते हैं। यह मुझे अंतिम पैकेज के संरेखण को नियंत्रित करने और इसे बनाने की अनुमति देता है ताकि यह एक कार्यक्रम दुर्घटना का कारण न बने, जो कि हम इसके लिए लक्षित हैं।

मैं ध्यान देता हूं कि एक निश्चित इंजीनियरिंग बाधा है: नॉर्डिक सॉफ्टडेविस कच्चे बीएलई पैकेट भेजने के लिए एक इंटरफ़ेस प्रदान नहीं करता है। इसे दरकिनार करने के लिए, आप 2 विकल्पों का उपयोग कर सकते हैं: अपने स्वयं के BLE स्टैक को लागू करें या मूल पैकेज में कुछ हुक क्रैक करें। चूंकि मैं आलसी हूं, इसलिए मैंने विकल्प 2 चुना।

ये हुक काफी सरल हैं, लेकिन कुछ रिवर्स इंजीनियरिंग की आवश्यकता होती है। हैकिंग के तरीकों को जीथब पर पाया जा सकता है, इंटरफ़ेस काफी "गंदा" है और इस बात की कोई गारंटी नहीं है कि यह काम करेगा, लेकिन मैंने इसे किया। आप अभी भी BTLEJack के उपयोग से बेहतर हैं।

void ble_outgoing_hook(uint8_t* buffer, uint8_t length);

जब भी BLE पैकेट भेजा जाता है, तो इसे SoftDevice पॉइंटर कहा जाता है, इसलिए इसे पहले से संशोधित किया जा सकता है:

int ble_incoming_hook(uint8_t* buffer, uint16_t length);

जब भी BLE पैकेट प्राप्त होता है तो यह हुक सॉफ्टडेविस कॉल करता है। वापसी मूल्य निर्धारित करता है कि क्या सामान्य सॉफ्टवेइस प्रसंस्करण को छोड़ दिया जाना चाहिए।

int send_packet(void* handle, void* buffer, uint16_t length);

यह कैसे इस BLE कनेक्शन को कच्चा पैकेट भेजने का कार्य दिखता है।

मैं एक बार में 4 बाइट से अधिक कोड कैसे संसाधित कर सकता हूं? कुछ पैकेज भेजने की जरूरत है! दाईं ओर आप आने वाले BLE पैकेट के रिंग बफर देखते हैं। पहला पैकेट हरे रंग में दिखाया गया है: शेल कोड जो एक पैरामीटर कॉल को नियंत्रित मापदंडों के साथ निष्पादित करता है और फिर "साफ" देता है। दूसरा पैकेट पीले रंग में दिखाया गया है - यह एक डेटा बफर है जिसे एक फ़ंक्शन कॉल द्वारा उपयोग किया जा सकता है। तीसरा पैकेट नीले रंग में दिखाया गया है - एक बफर जिसमें फ़ंक्शन कॉल पैरामीटर के मान हैं, और नारंगी - वह पैकेट जो निर्देश C1 E7 का उपयोग करके भेद्यता को लॉन्च करता है।

शुद्ध फ़ंक्शन वापस करने के बाद, हम इस पैकेज को फिर से भेज सकते हैं। इन 4 पैकेटों को भेजने से डोंगल के अंदर किसी भी तरह के मनमाने टुकड़े को अंजाम दिया जाता है और इसे बार-बार किया जा सकता है।

यह सुविधाजनक है क्योंकि इस तरह से मैं वास्तव में बड़े शेल कोड बाइनरी को रैम में कॉपी करने के लिए कई बार मेमेकपी कह सकता हूं। तब हम इस फ़ंक्शन को मेमोरी में मूल डोंगल कोड को पैच करने के लिए कहते हैं, और इसका उपयोग कंप्यूटर पर इंस्टॉल किए गए एप्लिकेशन को समझौता करने के लिए करते हैं। चूंकि XSS पेलोड बड़ा है, इसलिए हम इसे नहीं भेजते हैं, लेकिन इसे डोंगल पर शेल कोड में जेनरेट करते हैं। शेल कोड इस प्रकार है।

इन जोड़तोड़ों के परिणामस्वरूप, निम्नलिखित प्राप्त होता है: यदि हम एप्लिकेशन को नियंत्रित कर सकते हैं, तो हम डोंगल और बटप्लैग को नियंत्रित कर सकते हैं।

नितंब-डोंगल अनुभाग पर हैकिंग के 2 तरीके हैं: डोंगल खिलौना से समझौता कर सकता है, और नितंबल डोंगल और कंप्यूटर दोनों से समझौता कर सकता है। बोनस यह है कि नॉर्डिक BLE भेद्यता केवल Lovense उत्पादों में ही नहीं, बल्कि BLE के क्लाइंट पक्ष के लिए SoftDevise S110, S120 या S130 का उपयोग करने वाले किसी भी उपकरण में मौजूद है।

इसलिए, हमारे पास बूटप्लैग का उपयोग करके एप्लिकेशन से समझौता करने का अवसर है। इसका उपयोग कैसे किया जा सकता है? हम अभी भी केवल Lovense एप्लीकेशन के अंदर जावास्क्रिप्ट कोड निष्पादित कर रहे हैं, और सवाल यह है कि यह हमें क्या देता है? यह पता चलता है कि lovense.exe एप्लिकेशन मध्यम IL पर चलता है और विंडोज पर चलता है, वास्तव में असीमित संभावनाएं प्रदान करता है: यहां तक कि व्यवस्थापक विशेषाधिकारों के बिना, आप अपने कंप्यूटर पर फ़ाइलों तक पहुंच सकते हैं, आप मनमाने कोड को निष्पादित कर सकते हैं, आप XSS को लागू कर सकते हैं, और नेटवर्क तक पहुंच सकते हैं। आदि।

अगला प्रश्न: यदि आप एक रैनसमवेयर प्रोग्राम बना सकते हैं जो न केवल बूटप्लैग को संक्रमित करता है, बल्कि उपयोगकर्ता के कंप्यूटर को भी वायरल करके इसे आगे फैलाने का एक तरीका है? अब हमारे पास स्थानीय स्तर पर एक हैक है, लेकिन एक हैकर के लिए इंटरनेट के माध्यम से कई उपयोगकर्ता कंप्यूटरों पर नियंत्रण हासिल करना अधिक उपयोगी होगा। हम इसे कैसे करते हैं? खिलौने के सामाजिक कार्य, जैसे कि वीडियो चैट, टेक्स्ट चैट, छवि स्थानांतरण और रिमोट कंट्रोल स्वयं, हमले की सतह का काफी विस्तार करते हैं।

रिमोट कंट्रोल एक उत्कृष्ट लक्ष्य है, क्योंकि अगर कोई डेवलपर एक मालिकाना कार्यक्रम का उपयोग करना चाहता है, तो इसमें निश्चित रूप से बग और कमजोरियां होंगी। इसका इस्तेमाल कैसे करें? उदाहरण के लिए, आप एक साथी को JSON ऑब्जेक्ट भेज सकते हैं जिसमें कमांड्स हैं, उदाहरण के लिए, कमांड "कंपन: 10":

{
cate: "id",
id: {
DEADBABEBEEF: {
v: 10
}
}
}

इस मामले में, रिसीवर आने वाले JSON का विश्लेषण करता है, खिलौने के लिए एक कमांड बनाता है और इसे आगे भेजता है, और यहां 2 मोड हैं। पहला मोड "आईडी:" एक विशिष्ट सेक्स टॉय को एक कमांड भेजता है, दूसरा मोड "ऑल:" सभी रिमोट खिलौनों को कमांड भेजता है।
क्या आने वाले डेटा को सही तरीके से मान्य किया गया है? चूँकि JSON बहुत लचीला है, कोड, एक संख्या की अपेक्षा, इसके बजाय एक संपूर्ण स्ट्रिंग प्राप्त कर सकता है। यदि हम खिलौने को भेजे गए आदेशों को नियंत्रित कर सकते हैं, तो हम संभवतः डोंगल पार्सर बग का उपयोग कर सकते हैं। अगली स्लाइड पर, नारंगी फ्रेम दिखाता है कि इनपुट डेटा का उपयोग कहां किया गया है, और नीला वह दिखाता है जहां इसकी जांच की जाती है।
यह बग यह है कि एप्लिकेशन ठीक से जांच नहीं करता है कि कंपन जैसे कमांड के लिए इनपुट वास्तव में पूर्णांक है। इस स्थिति में, "आईडी:" मोड में, केवल कंपन तीव्रता सूचकांक n> = 0 की जाँच की जाती है, और यदि आप एक पूर्णांक 12 पास करते हैं जो शून्य से अधिक है, तो यह पैरामीटर परीक्षण पास करेगा। यहां तक कि अगर आप एक स्ट्रिंग पास करते हैं, अर्थात, उद्धरण संख्या "12" है, तो सिस्टम इसे स्वीकार करेगा। यह संख्याओं और अक्षरों के संयोजन के रूप में केवल एक स्ट्रिंग को स्वीकार नहीं करेगा, उदाहरण के लिए, "12 वांस्ट"।

जैसा कि आप देख सकते हैं, यह चेक हमें टेक्स्ट कमांड दर्ज करने की अनुमति नहीं देता है। हालांकि, यदि आप कोड के नीचे देखते हैं, तो आप एक ही चेक देखेंगे, केवल इस बार आवेदन स्थिति n <0 की जांच करता है। अब, यदि हम "12 वांस्ट" दर्ज करते हैं, तो हम परीक्षण पास नहीं करेंगे, क्योंकि एप्लिकेशन इस पर विचार करेगा कि स्ट्रिंग के रूप में यह अभिव्यक्ति 0. से कम नहीं है। लेकिन अगर हम फॉर्म की असमानता के साथ एक स्ट्रिंग दर्ज करते हैं! ("12test" <0), तो सिस्टम इसे सच मान लेगा इस तथ्य के बावजूद कि यह एक पूर्णांक नहीं है और एक संख्या नहीं है, लेकिन एक अल्फ़ान्यूमेरिक संयोजन है। संक्षेप में, इसका मतलब है कि हम इस कमांड में एक मनमाना स्ट्रिंग दर्ज कर सकते हैं जिसे डोंगल में भेजा जाएगा। यह हमें शोषण कोड को उसी तरह भेजने की अनुमति देता है, जैसे हमने JSON पार्सर के माध्यम से डोंगल से पहले किया था। अंतर केवल इतना है कि अब यह इंटरनेट के माध्यम से किया जा सकता है।

तो, आने वाले डेटा की जांच के लिए फ़िल्टर के कार्यान्वयन में एक बग के लिए धन्यवाद, हमें लोवेन्स एप्लिकेशन के माध्यम से डोंगल को दूर से समझौता करने का अवसर मिला, जिसके माध्यम से, हम उपयोगकर्ता के कंप्यूटर को क्रैक कर सकते हैं। डोंगल को हैक करना एक बड़ी बात है, लेकिन सफलता के लिए शर्त यह है कि पार्टनर के खिलौने को रिमोट कंट्रोल से प्रच्छन्न हमलावर पर ट्रांसफर करने की सहमति हो। यह लक्षित हमले के लिए सुविधाजनक है, लेकिन वायरल वाले के लिए पूरी तरह से अनुपयुक्त है।

हालांकि, टेक्स्ट चैट और चित्रों को किसी भी अनुमति की आवश्यकता नहीं होती है, जो पूरी तरह से चैट पाठ संदेश में दुर्भावनापूर्ण HTML कोड भेजकर क्लासिक XSS हमले की अनुमति देता है। वायरस वितरित करना तुच्छ हो जाता है: बस सही जावास्क्रिप्ट फ़ंक्शन बनाएं और अपने दोस्तों को स्पैम करें।

इस स्तर पर, हम केवल एक संदेश भेजकर कोड निष्पादित कर सकते हैं और मूल रूप से अपना लक्ष्य प्राप्त कर सकते हैं। अंतिम XSS पेलोड इस तरह काम करता है:

वह सब कुछ करें जो पीड़ित की मशीन पर होना चाहिए।
एक जावास्क्रिप्ट ऑब्जेक्ट पकड़ो जो आपको चैट तक पहुंचने की अनुमति देता है।
एक XSS पेलोड भेजें जो इस स्क्रिप्ट को आपके सभी दोस्तों के कंप्यूटर पर डाउनलोड करता है।

इस प्रकार, हमने बूट प्लग-इन से इंटरनेट तक नेटवर्क के प्रत्येक नोड से समझौता किया। अब आप किसी भी उपकरण से किसी भी उपकरण से समझौता कर सकते हैं - हमने एक बट वर्म या एक वायरस बनाया, जिसे "गधा वर्म" कहा जाता है।

जैसा कि मैंने वादा किया था, अब मैं आपको एक लाइव वीडियो दिखाऊंगा। पहली चीज जो मैं दिखाऊंगा वह बीटीएलई जैक का उपयोग बूट प्लग-इन और नियमित विंडोज वर्चुअल मशीन के बीच संबंध को बाधित करने के लिए कर रहा है। अब मैं बूटप्लैग चालू करने की कोशिश करूँगा - मुझे उम्मीद है कि आप सभी को कंपन की आवाज़ सुनाई देगी! (हँसी)। तो, यह काम किया, अब मैं अपने खिलौने को एप्लिकेशन कंट्रोल पैनल में जोड़ने की कोशिश करूंगा। देखें कि कार्यक्रम को हश मिला, लेकिन एक मिनट रुको! मैं BTLE जैक प्रक्रिया शुरू करना भूल गया। इस मोड में BTLE जैक का उपयोग करने का एकमात्र कारण है क्योंकि यह लाइव डेमो को आसान बनाता है, लेकिन व्यवहार में, आप सूंघने की आवश्यकता के बिना मौजूदा कनेक्शन को रोक सकते हैं। इसलिए मैं प्रयोग को आसान बनाने के लिए इस चीज को लॉन्च कर रहा हूं। चलो सब फिर से दोहराते हैं। आप देखते हैं कि खिलौने का कनेक्शन स्थापित है।

बाईं ओर के स्निफर से पता चलता है कि उसे यह कनेक्शन मिला है। तो, हमारे पास एक एप्लिकेशन है जो हमारे सेक्स टॉय के साथ जुड़ा हुआ है। मुझे नहीं पता कि क्या आप सुनते हैं कि मैं वास्तव में बूट प्लग-इन को नियंत्रित कर सकता हूं (स्मीयर स्लाइडर को ऊपर ले जाता है, जिसके बाद कंपन की ध्वनि सुनाई देती है)। अब मैं इस चीज़ को बंद कर देता हूं (स्लाइडर को नीचे ले जाता है, कंपन की आवाज़ गायब हो जाती है)। अब मुझे इस कनेक्शन को हैक करने की आवश्यकता है। ऐसा करने के लिए, मैं कई मापदंडों को कॉपी करता हूं, उन्हें smea @ ubuntu लाइन में पेस्ट करता हूं और अंत में मैं टी पैरामीटर दर्ज करता हूं - कनेक्शन को इंटरसेप्ट करने के लिए एक कमांड।

यदि यह काम करता है, तो यह एप्लिकेशन के साथ कनेक्शन को मार देगा। जैसा कि आप देख सकते हैं, एप्लिकेशन विंडो में एक संदेश दिखाई दिया कि डिवाइस के साथ कनेक्शन खो गया था। एक महान उपकरण के लिए धन्यवाद BTLE जैक! बूटलॉग अनुप्रयोग से डिस्कनेक्ट हो गया है और अब इसे ubuntu वर्चुअल मशीन के माध्यम से नियंत्रित किया गया है। सैद्धांतिक रूप से, हमें दूर से इसे कंपन बनाने में सक्षम होना चाहिए। मैं वाइब्रेट 20 टीम टाइप करता हूं, और जैसा कि आप देख सकते हैं, सब कुछ काम करता है - हम आधिकारिक एप्लिकेशन (दर्शकों से तालियां) की मदद के बिना बूटप्लग को दूर से नियंत्रित करने में सक्षम थे। अब मैं इसे DFU मोड में डालने जा रहा हूं, और अगर यह काम करता है, तो मुझे इस बात को रोकना होगा। मैं उपयुक्त कमांड दर्ज करता हूं और कंपन बंद हो जाता है।

अब मैं अपना स्मार्टफोन लेता हूं और देखता हूं कि क्या मैं एप्लिकेशन के माध्यम से खिलौना को फिर से कनेक्ट कर सकता हूं। अपने अनुप्रयोगों के बीच, मैं फर्मवेयर प्लग-इन का अद्यतन पाता हूं और लक्ष्य DfuTarg का चयन करता हूं - जिस डिवाइस पर फर्मवेयर अपडेट करना आवश्यक है, लेकिन वास्तव में - इसमें एक दुर्भावनापूर्ण कारनामे का परिचय दें।

आप देखें कि अपडेट प्रक्रिया कैसे चलती है। स्क्रीन पर एक संदेश दिखाई देता है कि डिवाइस फर्मवेयर सफलतापूर्वक अपडेट किया गया है। अब मैं अपने कंप्यूटर पर इंस्टॉल किए गए एप्लिकेशन से बूटप्लैग को जोड़ने का फिर से प्रयास करूंगा, और आप देख सकते हैं कि क्या होता है: स्क्रीन पर एक रैनसमवेयर स्क्रीनसेवर दिखाई देता है (दर्शकों से तालियां)!

“उफ़, आपके बट प्लग को एन्क्रिप्ट किया गया है! 3 दिनों के भीतर $ 50 बिटकॉइन के साथ इस महत्वपूर्ण खिलौने तक पहुंच की बहाली के लिए भुगतान करें, अन्यथा एक सप्ताह में आप इसे हमेशा के लिए खो देंगे। " यहां देखिए यह कैसे काम करता है!

तो, आपने डोंगल पर कोड निष्पादित किया, फिर कंप्यूटर पर और इंटरनेट के माध्यम से बूट प्लग में मिला। जैसा कि आप देख सकते हैं, सुरक्षा के मामले में, यह बट प्लग बहुत कमजोर है, शायद यह उत्तर कोरिया द्वारा बनाया गया था। आपने देखा कि मेरे पास एक वर्चुअल मशीन स्थापित थी जो डोंगल या अन्य हार्डवेयर से जुड़े बिना एप्लिकेशन को चलाती थी। यह VM केवल इंटरनेट से जुड़ा था और लगता है कि मेरे मित्र के कंप्यूटर से जुड़ा हुआ है। इसलिए हमने रैंसमवेयर के वायरल प्रसार को सफलतापूर्वक हासिल कर लिया है।

मुझे लगता है कि कहा गया है कि सभी से, उपयोगी सबक के एक जोड़े को सीखा जा सकता है। इस उपकरण का एक उदाहरण के रूप में उपयोग करते हुए, हमने जांच की कि चीजों की इंटरनेट की दुनिया कितनी कमजोर हो सकती है। कुछ उपकरणों का उपयोग जीवन समर्थन के लिए किया जाता है, और लोगों को यह महसूस नहीं होता है कि ये नई प्रौद्योगिकियां कितनी कमजोर हैं। एक "स्मार्ट" चीज़ को हैक करके, आप इंटरनेट के माध्यम से अपने घर में अन्य "स्मार्ट" उपकरणों को हुक कर सकते हैं। मुझे आशा है कि मेरे शोध का परिणाम न केवल सेक्स टॉयज पर लागू होगा। इसके अलावा, मैं इस चीज के लिए सभी कोड सीखने का इरादा रखता हूं, इसलिए ट्विटर पर मुझसे जुड़ें। यदि आप अपनी खुद की बूटलूप को हैक करना शुरू करना चाहते हैं, तो मैं आज GitHub पर अपने टूल प्रकाशित करने जा रहा हूं।

मैं अपने सभी दोस्तों को धन्यवाद देना चाहता हूं जिन्होंने मुझे पंचिंग में मदद की और मुझे चरम प्लग में होने के कारण युद्ध प्लग की दुनिया से परिचित कराया। मैंने नाम नहीं दिए, लेकिन हारून, आप खुद जानते हैं कि आप कौन हैं (हँसी)। धन्यवाद दोस्तों, यह बहुत बढ़िया था!

विज्ञापन का एक सा :)

हमारे साथ रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक ऑर्डर देकर या $ 4.99 से डेवलपर्स के लिए अपने दोस्तों के क्लाउड-आधारित VPS की अनुशंसा करके हमें समर्थन दें, आपके द्वारा आविष्कार किया गया एंट्री-लेवल सर्वर का एक अनूठा एनालॉग: VPS (KVM) E5-2697 3 (6 करोड़) 10GB DDR4 480GB SSD 1Gbps के बारे में पूरी सच्चाई $ 19 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd एम्स्टर्डम में इक्विनिक्स टीयर IV डेटा सेंटर में 2 गुना सस्ता? केवल हमारे पास 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV नीदरलैंड के 199 डॉलर में से है!डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग सी?

DEFCON 27 सम्मेलन। बटप्लग: ट्रू पेनेट्रेशन टेस्टिंग। भाग 2

विज्ञापन का एक सा :)

More articles: