भानुमती का पिटारा: हम NeoQUEST-2019 नौकरी के उदाहरण का उपयोग करके WinRAR भेद्यता के शोषण का विश्लेषण करते हैं

कितनी बार अच्छे पुराने WinRAR हमारी सहायता के लिए आते हैं! समय-समय पर, वह सावधानीपूर्वक और निःस्वार्थ रूप से हमारे अभिलेखागार को खोल देता है, और उन्हें वापस पैक करता है। लेकिन हम बड़े हो गए, और अब मैं कुछ और दिलचस्प कोशिश करना चाहता हूं, है ना? और बस फिर उन्होंने 19 साल की भेद्यता पाई जो संग्रह से निकाले गए मैलवेयर को अनियंत्रित स्थान पर सहेजने की अनुमति देता है। आइए देखें कि यह कैसे किया जा सकता है, NeoQUEST-2019 के ऑनलाइन चरण से टास्क नंबर 9 के उदाहरण का उपयोग करते हुए।

किंवदंती के अनुसार, हमारे पास दो सर्वर हैं। पहला सर्वर (http://213.170.100.213:800/) आपको भानुमती के लिए एक उपहार भेजने की अनुमति देता है, जो उसकी आंखों को पकड़ने वाली सभी अज्ञात वस्तुओं को अनपैक करना पसंद करता है। "उपहार" प्रारूप ज्ञात है: सर्वर केवल rar अभिलेखागार डाउनलोड करता है। एक मनमाना आरएआर संग्रह डाउनलोड करें। जवाब में, हम निम्नलिखित देखते हैं:


यह बहुत संभावना नहीं है कि पेंडोरा हमारे संग्रह में रुचि रखते थे। आइए nmap का उपयोग करते हुए सर्वर के बारे में थोड़ा और जानने की कोशिश करें:


अब हम जानते हैं कि पहला सर्वर:

• रार-अभिलेखागार लोड करने की अनुमति देता है;
• विंडोज पर उठाया।

विन + रर = विनर! संभवतः, अभिलेखागार को इस अभिलेखागार द्वारा संसाधित किया जाता है, जिसमें (अधिक सटीक रूप से - UNACEV2.DLL पुस्तकालय में) उन्हें एक भेद्यता मिली जो 19 वर्षों से मौजूद है। यह "छेद" आपको आर्काइव की सामग्री को अनियंत्रित निर्देशिका में अनज़िप करने की अनुमति देता है, भले ही उपयोगकर्ता फ़ाइलों को निकाल रहा हो। हम यहां भेद्यता शोषण तंत्र का विस्तृत विवरण पाते हैं । हम संग्रह के उत्पादन के लिए आगे बढ़ते हैं, जो खुद से चलता है और खुद के लिए निर्णय लेता है कि इसे कहां अनपैक करना है।

सबसे पहले, WinAceArchiver उपयोगिता प्राप्त करें। ऊपर दिए गए लिंक पर दिए गए निर्देशों के अनुसार, हम एक आदिम संग्रह बनाते हैं जिसमें hello.txt फाइल है। WinAceArchiver में, स्टोर करने के लिए विकल्प टैब सेट कंप्रेशन पर Create बटन पर क्लिक करें, फिर चयन टैब पर लौटें, hello.txt फ़ाइल का चयन करें, हमारे संग्रह को बचाने के लिए पथ निर्दिष्ट करें, और सबसे महत्वपूर्ण बात! - विकल्प "स्टोर पूर्ण पथ" सेट करें:


अगला, "जोड़ें" बटन पर क्लिक करें और Hello.ace संग्रह प्राप्त करें। यह पथ को थोड़ा समायोजित करने और चेकसम को सही करने के लिए बनी हुई है। कोई भी बाइनरी एडिटर और acefile.py स्क्रिप्ट हमें इसमें मदद करेगा, जो मदद करके वास्तविक मूल्यों की गणना स्वयं करेगा।

भेद्यता का फायदा उठाने के लिए, आपको फ़ाइल के पूर्ण पथ से पहले एक वॉल्यूम लेबल जोड़ना होगा, जिसे अभिलेख द्वारा गिरा दिया जाएगा। फिर बाकी रास्ते को "सुरक्षित" रिश्तेदार के रूप में लिया जाएगा। इसलिए, संपादक को खोलें और पथ को संशोधित करें ताकि यह C: \ C: \ से शुरू हो ।

यह था:


यह बन गया:


अब acefile.py स्क्रिप्ट का उपयोग करके चेकसम की जाँच करें:


वर्तमान का मान ठीक करें:


यह केवल नमस्कार के लिए हमारे संग्रह का नाम बदलने के लिए बना हुआ है। हो गया। चेक करें कि पंडोर इस तरह का उपहार कैसे देते हैं?


बहुत बढ़िया! उम्मीदें वास्तविकता के साथ मेल खाती हैं, और WinRar ने आर्काइव को ठीक उसी तरह संसाधित किया जैसा कि हमें जरूरत थी। यह एक बात का पता लगाने के लिए बनी हुई है: हमें किस पथ की आवश्यकता है?

किंवदंती के अनुसार, हम जानते हैं कि खजाने को दूसरे सर्वर (http://213.170.100.213:900/) पर "देखा" जा सकता है। यह करना सबसे आसान कैसे है? बेशक, आपके php स्क्रिप्ट को चलाकर, जो कि, उदाहरण के लिए, सर्वर रूट डायरेक्टरी को सूचीबद्ध करेगा। हम अपने अनुमान की पुष्टि करते हैं:


महान, सर्वर हमारे php स्क्रिप्ट को निष्पादित करने के लिए तैयार है! यह सही समय है कि इस लिपि को कहां रखा जाए। अब तक हम जानते हैं कि सर्वर विंडोज पर है - इसलिए, सबसे अधिक संभावना है कि पथ C: \ से शुरू होता है । और फिर? खजाना सर्वर के बारे में थोड़ा और जानें।


सर्वर पर nginx उठा हुआ है। निश्चित रूप से पेंडोरा का वातावरण तकनीकी प्रगति के अंतिम शब्द (उन सभी चीजों में जो अभिलेखागार की चिंता नहीं करता है) का अनुसरण करता है और नगीनक्स के नवीनतम संस्करण का उपयोग करता है, जो कि 1.15.9 है (आप यहां देख सकते हैं )। यह डिफ़ॉल्ट nginx कॉन्फ़िगरेशन फ़ाइल में निर्दिष्ट सर्वर की रूट डायरेक्टरी को जोड़ने के लिए बना हुआ है:


परिणाम इस प्रकार है: C: \ nginx-1.15.9 \ html । भानुमती इस बार क्या जवाब देंगी?

निर्देशिका तक पहुंच निषिद्ध है ... लेकिन हमसे गलती नहीं हो सकती है! हम निश्चित रूप से सही रास्ते पर हैं, क्योंकि पहुंच से वंचित है, लेकिन निर्देशिका मौजूद नहीं है। शायद कुछ ऐसा है जिसके बारे में हम अभी तक नहीं जानते हैं। हम निर्देशिका स्कैनर का उपयोग कर सर्वर के बारे में जानकारी एकत्र करना जारी रखते हैं:


हाँ, यह वहाँ है। व्यवस्थापक / निर्देशिका आशाजनक लगता है। आइए पंडोर को एक ऐस आर्काइव भेजने की कोशिश करते हैं, जिसमें C: \ nginx-1.15.9 \ html \ admin एक निरपेक्ष के रूप में कार्य करता है:


सफलता! अंत में, हम अपनी स्क्रिप्ट निष्पादित करते हैं जिसमें सर्वर रूट डायरेक्टरी सूचीबद्ध है: 213.170.100.213 : 800 / admin / test34852ED2-8996-4F81-A919-30B6FE9F03AB.php । स्क्रिप्ट कुछ इस तरह दिख सकती है:

<?php if ($handle = opendir('C:\nginx-1.15.9\html')) { while (false !== ($entry = readdir($handle))) { if ($entry != "." && $entry != "..") { echo "$entry <br>"; } } closedir($handle); } ?> 

परिणाम इस प्रकार है:


यूरेका! Pandorica! इसी तरह, आइए देखें कि " ट्रेजर " पैंडोरिका किस तरह का है / लंबे समय से प्रतीक्षित key.txt से भरा हुआ है, जिसे पढ़ना मुश्किल नहीं है। हो गया!

निकट भविष्य में, शेष कई कार्यों के विश्लेषण के साथ लेख प्रकाशित किए जाएंगे। और जल्द ही NeoQUEST 2019 का आयोजन होगा! सभी समाचार - घटना की वेबसाइट पर , याद मत करो!