नए उपकरण, पुराने तरीके। हम इंजीनियर को रिवर्स करते हैं और 1Password के घातक दोष का पता लगाते हैं।

पासवर्ड मैनेजरों को हर कोई पसंद करता है। वे कई कारणों से महान हैं। व्यक्तिगत रूप से, मेरे पास प्रबंधक में 200 से अधिक प्रविष्टियाँ हैं। एक स्थान पर इतने गोपनीय डेटा के साथ, यह महत्वपूर्ण है कि आपके रिकॉर्ड से छेड़छाड़ होने पर नुकसान की सीमा को समझना महत्वपूर्ण है, चाहे वह मैलवेयर हो, शोषण हो या कई मिनटों के लिए बिना छोड़ा हुआ कंप्यूटर। वाशिंगटन पोस्ट ने हाल ही में हमारे अध्ययन के आधार पर एक लेख प्रकाशित किया है। यह लेख लोगों को जागरूक करने में मदद करता है कि सभी पासवर्ड मैनेजर समान नहीं हैं।

मेरा दृढ़ विश्वास था कि एक बंद पासवर्ड प्रबंधक अच्छी तरह से संरक्षित था। अगर किसी को मेरे कंप्यूटर तक पहुंच मिलती है, तो अधिकतम रैंडम बाइट्स के एक झुंड पर भरोसा कर सकते हैं, क्योंकि स्मृति से जानकारी स्पष्ट रूप से साफ़ हो जाती है।

यह 1Password 4 के लिए सच है (ध्यान दें कि नवीनतम संस्करण आज सातवें है)। कुछ साल पहले इसे स्विच करने से पहले, मैंने जाँच की कि वास्तव में स्पष्ट पासवर्ड नहीं हैं जब प्रबंधक लॉक अवस्था में हो। इसलिए समझौता होने की स्थिति में, हमलावर को एन्क्रिप्टेड स्टोरेज से निपटना होगा।


तिजोरी बंद है!

इस स्थिति में, कोई पासवर्ड प्रविष्टियाँ या कोई मास्टर पासवर्ड नहीं हैं। बहुत ही उचित और सही, और 1Password 4 ने इस परीक्षा को पास किया। या नहीं?

बोरिंग विवरणों से छुटकारा पाने के लिए, मैं तुरंत कहूंगा: हम नीचे दिखाए गए अनुसार, 1Password 4 में एक बंद उदाहरण से मास्टर पासवर्ड को पुनर्स्थापित करने में सक्षम थे।


1Password 4 को अनलॉक करें और अपने मास्टर पासवर्ड को पुनर्प्राप्त करें

एनीमेशन से पता चलता है कि 1Password 4 को पहले सामान्य तरीके से अनलॉक किया जाता है, और फिर लॉक किया जाता है। उसके बाद, हम अपनी बहुउपयोगी उपयोगिता चलाते हैं, जो पासवर्ड को सफलतापूर्वक पुनर्प्राप्त करता है। उपयोगिता 1Password 4 में पासवर्ड इनपुट फ़ील्ड के गलत प्रसंस्करण का फायदा उठाती है, जो बाधित मास्टर पासवर्ड बफर को पुनर्स्थापित करने के लिए है, इसे डीबॉफसेट करें, स्वचालित रूप से 1Password 4 को अनलॉक करें, और अंत में कंसोल में मास्टर पासवर्ड प्रदर्शित करें।

बोरिंग विवरण

पासवर्ड मैनेजर का मूल्यांकन करने का पहला चरण मेमोरी में एक स्पष्ट मास्टर पासवर्ड की जांच करना है। यह किसी भी हेक्स संपादक में संभव है जो प्रक्रिया मेमोरी स्पेस के साथ बातचीत करने में सक्षम है। उदाहरण के लिए, मुक्त एचएक्सडी संपादक। 1Password 4 मेमोरी स्पेस खोलने के लिए इसका उपयोग करें।



हम तुरंत 1Password 4 मेमोरी स्पेस के पहले पठनीय क्षेत्र में आते हैं।


एचएक्सडी मेमोरी प्रतिनिधित्व उदाहरण

अभी तक कुछ खास नहीं हुआ। लेकिन आप एक खोज कर सकते हैं। उदाहरण के लिए, यदि आप 1Password 4 अनलॉक विंडो में पासवर्ड टाइप करते हैं तो स्थिति कैसी दिखती है, लेकिन "अनलॉक" बटन पर क्लिक न करें:


फ़ील्ड में दर्ज मास्टर पासवर्ड के साथ लॉक वॉल्ट 1Password 4

निश्चित रूप से पासवर्ड स्मृति में कहीं है?

हम HxD को खोलते हैं, लेकिन हमारे मास्टर पासवर्ड ("Z3Superpass #") के साथ एक लाइन के लिए खोज परिणाम उत्पन्न नहीं करता है।



ऐसा लगता है कि 1Password किसी तरह से एनक्रिप्ट करता है या प्रवेश करते ही फॉर्म को बाधित कर देता है। यदि प्रक्रिया सही ढंग से काम करती है, तो सब कुछ ठीक है।

गहरा गोता लगाना

यह पता लगाने के लिए कि मास्टर पासवर्ड स्मृति में क्यों नहीं मिल सकता है जब यह अनलॉक संवाद बॉक्स में स्पष्ट रूप से मौजूद है, तो आपको उस कोड को ढूंढना चाहिए जो इसके साथ इंटरैक्ट करता है। इसके कई तरीके हैं। आप 'GetMessage', 'PeekMessage', 'GetWindowText', या अन्य Windows APIs जो आमतौर पर उपयोगकर्ता इनपुट को संभालते हैं, कीबोर्ड और माउस ईवेंट की प्रोसेसिंग को ट्रैक कर सकते हैं। इसलिए हम बफ़र को ढूंढते हैं जहाँ कीस्ट्रोक्स रिकॉर्ड किए जाते हैं, और उनके माध्यम से हम एन्क्रिप्शन / ऑबफ्यूजन रूटीन पर जाते हैं। लेकिन यह एक लंबी और त्रुटि-प्रवण प्रक्रिया है, विशेष रूप से बड़े ढांचे के साथ जो कभी-कभी बहुत अजीब तरीके से स्मृति का प्रबंधन करते हैं, इसलिए आपको बफर को ट्रैक करने के लिए कई प्रतियां और रूपांतरण करना होगा।

इसके बजाय, हम अपने स्वयं के थ्रेड इमेजर उपकरण का उपयोग करते हैं, जिसे एप्लिकेशन स्तर पर "अजीब" मालिकाना प्रोटोकॉल को रिवर्स करने के लिए डिज़ाइन किया गया है। यह आपको यह निर्धारित करने में मदद करेगा कि मेमोरी 1Password 4 हमारे मास्टर पासवर्ड के साथ कहां इंटरैक्ट करता है। उपकरण "स्वचालित रूप से" 1Password 4 में कोड के क्षेत्रों की पहचान करता है जो एक मोटे पासवर्ड के साथ बातचीत करता है (यह केवल उन निर्देशों पर प्रकाश डालता है जो आगे के विश्लेषण के लिए ब्याज के डेटा के साथ बातचीत करते हैं)। परिणाम कुछ इस तरह दिखता है:


थ्रेड इमेजर 1Password 4 कोड पाता है जो एक अनफोकस्ड मास्टर पासवर्ड के साथ इंटरैक्ट करता है

चूँकि मास्टर पासवर्ड स्मृति में एक मोटे रूप में संग्रहीत किया जाता है, इसलिए उपकरण को पहले दिखाना चाहिए कि ऑबफसेशन कहां होता है।

पहले परिणाम के एक टुकड़े से पता चलता है कि मास्टर पासवर्ड की पहली उपस्थिति 0x7707A75D से 0x701CFA10 पते के कोड संक्रमण के साथ है।


थ्रेड इमेजर में एक विस्तृत प्रविष्टि कोड संक्रमण को 0x7707A75D से 0x701CFA10 तक उजागर करती है, जबकि EAX और ECX रजिस्टर मास्टर पासवर्ड के साथ बफर को संदर्भित करते हैं।

डिबगर (x64dbg) में इस जगह 0x7707A75D की जांच करना हमारे सिद्धांत की पुष्टि करता है। दरअसल, पहली बार, स्ट्रिंग 'Z3superpass #' तब होता है जब ntdll.dll लाइब्रेरी से डिकोडिंग फ़ंक्शन 'RtlRunDecodeUnicodeString' समाप्त होता है।



थोड़ा विश्लेषण करने के बाद, यह स्पष्ट है कि इन दो कार्यों का उपयोग पासवर्ड को बाधित करने के लिए किया जाता है: 'RtlRunEncodeUnicodeString' और 'RtlRunDecodeUnicodeString'। तो मास्टर पासवर्ड स्मृति से आदिम प्रतिलिपि से छिपा हुआ है, यही वजह है कि पहले हम इसे हेक्स संपादक में नहीं ढूंढ सकते थे।

यदि आप RtlRunEncodeUnicodeString फ़ंक्शन के अंत में एन्कोडेड बफर का अध्ययन करते हैं, तो मास्टर पासवर्ड के साथ एन्क्रिप्टेड लाइन इस तरह दिखती है:


एन्क्रिप्टेड मास्टर पासवर्ड

RtlRunDecodeUnicodeString 'के बाद इसे डिकोड किया गया है:


डिक्रिप्ट मास्टर पासवर्ड

दिलचस्प बात यह है कि यह क्षेत्र एक ही पते 0x00DFA790 पर सहेजा गया है और हम 1Password 4 अनलॉक विंडो में पासवर्ड दर्ज करते समय इसके बदलाव का सचमुच अवलोकन कर सकते हैं:

भेद्यता

'RtlRunEncodeUnicodeString' और 'RtlRunDecodeUnicodeString' एक साधारण XOR ऑपरेशन के साथ एक स्ट्रिंग को संशोधित करने वाले सरल कार्य हैं। यह इतना बुरा नहीं है: यह 'ES_PASSWORD' फ्लैग सेट के साथ सभी देशी विंडोज संपादन नियंत्रणों को मास्क करने की मानक विधि प्रतीत होती है।

समस्या यह है कि 1Password 4 को अनलॉक करने के बाद, एन्क्रिप्ट किए गए मास्टर पासवर्ड को मेमोरी से साफ़ नहीं किया जाता है।

इससे भी बदतर, यह 1Password 4 लॉक होने के बाद भी मेमोरी में रहता है। अर्थात, हमारे पास एक लॉक पासवर्ड स्टोर है, लेकिन मेमोरी में एक एन्क्रिप्टेड मास्टर पासवर्ड के साथ।

और इससे भी बदतर, जब से हम मास्टर पासवर्ड इनपुट डायलॉग बॉक्स के साथ बातचीत करते हैं, उसी मेमोरी क्षेत्र को उसी XOR मान के साथ पुन: उपयोग किया जाता है, जो हमें एक शोषण बनाने के लिए एन्कोडेड बफर तक आसान पहुंच प्रदान करता है।

कार्य

1Password 4 के लिए एक विश्वसनीय शोषण बनाने के लिए, आपको प्रोग्राम की वर्कफ़्लो द्वारा मास्टर पासवर्ड को कैसे संसाधित किया जाता है, इसकी स्पष्ट तस्वीर प्राप्त करने की आवश्यकता है। उपरोक्त उपकरणों का उपयोग करके, हमने एक आउटपुट डेटा आरेख बनाया (नीचे आंकड़ा देखें)।



यह आरेख यह समझना आसान बनाता है कि कहां और कौन सी लाइब्रेरी स्मृति में उन क्षेत्रों की पहचान करने के लिए शामिल हैं जहां आप मास्टर पासवर्ड प्राप्त कर सकते हैं।

शोषण

फिलहाल हमारे पास क्या है? हमारे पास एक लॉक्ड स्टोरेज है, और मेमोरी में कहीं न कहीं एक ऑबफसकेटेड पासवर्ड स्टोर होता है, क्योंकि प्रोग्राम मेमोरी को ठीक से साफ नहीं करता था।



इसे पुनर्प्राप्त करने के लिए, आपको 1Password 4 में प्रक्रिया को कॉल करने की आवश्यकता है, जो 'RtlRunEncodeUnicodeString' और 'RtlRunDecodeUnicodeString' आरंभ करता है। इस प्रकार, यह एन्कोडेड मास्टर पासवर्ड के साथ मेमोरी बफर का स्थान दिखाएगा।


एक अस्पष्ट मास्टर पासवर्ड के साथ मेमोरी क्षेत्र

इस बफर के बिना, किसी को आंतरिक प्रक्रियाओं और विंडोज नियंत्रण और संबंधित स्मृति प्रबंधन तंत्र के रसातल में उतरना होगा। शायद यह विश्लेषण एक बफर खोजने में आसान बनाता है, लेकिन हम इस तरह से नहीं गए।

ऐसा लगता है कि 'RtlRunEncodeUnicodeString' और 'RtlRunDecodeUnicodeString' को कॉल करने का एकमात्र तरीका संवाद बॉक्स में चरित्र में मास्टर पासवर्ड दर्ज करना है। तो हमें वांछित बफर मिलता है। लेकिन हम पासवर्ड की लंबाई नहीं जानते हैं।

हमने इस समस्या को उस कोड को इंटरसेप्ट करके हल किया है जो हमारे बफर के पहले चरित्र को एक्सेस करता है, जो बदलाव के प्रयास को अवरुद्ध करता है। यह दिनचर्या comctl32 में नियंत्रण संदेश लूप में है, जो संबंधित तत्वों के बफर नियंत्रण को संभालती है। ऑफसेट 0x70191731 के साथ 'मेमोव' को कॉल करना, दर्ज चरित्र के साथ बफर को ओवरराइट करता है:


(साइड इफेक्ट: हाइलाइटेड लाइन (पीला) पूरी पासवर्ड लाइन को अपडेट करती है)

अब आखिरकार हमें वह सब कुछ मिल गया, जो हमें शोषण पैदा करने के लिए चाहिए। निम्नलिखित चरण हमें मास्टर पासवर्ड निकालने की अनुमति देंगे:

1. मास्टर पासवर्ड की पहली बाइट को ओवरराइट करने से रोकने के लिए हुक 'मेमोव'।
   
2. हुक 'RtlRunEncodeUnicodeString' को आपत्तिजनक मास्टर पासवर्ड बफ़र का स्थान प्राप्त करने के लिए।
   
3. पिछले चरण में प्राप्त obfuscated बफर का उपयोग करने के लिए हुक 'RtlRunDecodeUnicodeString'।
   
4. पासवर्ड प्रविष्टि फ़ील्ड में एक चरित्र दर्ज करना और चरण 1 को अस्वीकार करना (संपूर्ण मास्टर पासवर्ड को सहेजना), चरण 2 से चरण 3 को अप्रत्यक्ष मास्टर पासवर्ड को डीकोड करने के लिए पुनर्निर्देशित करना।

इन सभी क्रियाओं को करने के लिए, इन सभी हुक के लिए हैंडलर कोड के साथ एक DLL बनाएं। लाइब्रेरी 1Password 4 प्रक्रिया में सन्निहित है, मास्टर पासवर्ड डायलॉग बॉक्स में एक वर्ण भेजता है, मेमोव, RtlRunEncodeUnicodeString और RtlRunDecodeUnicodeString चरणों को लॉन्च करके, हम अवरोधन कर सकते हैं - और हमारे पासवर्ड को बाधित मास्टर पासवर्ड को पुनर्प्राप्त करने के लिए कर रहे हैं। ज्यादातर मैजिक डिटॉररट्रल रनरएन्कोड यूनिकोडस्ट्रीमिंग में होता है, यह नीचे दिखाए गए 'RtlRunEncodeUnicodeString' फंक्शन के लिए हुक है:



जो हमें अंतिम परिणाम पर लाता है: Windows API द्वारा उपयोग की जाने वाली छोटी गाड़ी प्रक्रिया का उपयोग करके किसी भी संस्करण के लॉक रिपॉजिटरी 1Password 4 को अनलॉक करना:

सारांश

जब हमने पहली बार 1Password 4 के इनसाइड में देरी की, तो हमें किसी प्रकार की जटिल सुरक्षा प्रणाली के मिलने की उम्मीद थी और उम्मीद थी कि सभी संवेदनशील जानकारी मेमोरी से साफ हो जाएगी, जैसा कि PBKDF2 प्रक्रियाओं और अन्य क्षेत्रों में होता है जहां मास्टर पासवर्ड का उपयोग किया जाता है। पत्राचार प्रविष्टियाँ भी मंजूरी दे दी हैं। हालांकि, ओवरसाइट के कारण, पासवर्ड इनपुट फ़ील्ड को एक छिपे हुए पासवर्ड के साथ एक मानक विंडोज एपीआई नियंत्रण माना जाता है, जो 1Password 4 की सुरक्षा को कमजोर करता है।