| |
 |
| служба
Компьютерная помощь |
Запуск произвольного кода с помощью электронной почты |
 Антивирусная защита компьютера. Вызов мастера на дом в Кириши: (8911) 239-8212 |
|
|
||||
|
|
Запуск произвольного кода с помощью электронной почты При описании следующих атак будут продемонстрированы различные механизмы запуска команд на целевом компьютере. Многие из них приводятся в действие при открытии коварных сообщений или их предварительном просмотре в соответствующей части окна программ Outlook и Outlook Express. |
||||
Атаки с использованием элементов ActiveX, помеченных как "safe for scripting" Взломщики не могли выдумать ничего более убийственного:
все, что нужно сделать жертве, — это просто прочитать сообщение (или
просмотреть его в окне предварительного просмотра программ Outlook
и Outlook Express, если такая возможность имеется). При этом со стороны
пользователя не требуется никакого вмешательства. Эта чудовищная "простота"
снова появилась благодаря элементу управления Scriptlet. typelib,
помеченному как "safe for scripting" (более подробно этот
вопрос обсуждается в разделе, посвященном элементам ActiveX). С такой
же легкостью можно использовать Eyegod.ocx, но метод, рассматриваемый
в данном разделе, основан на применении проверочного кода Георгия
Гунински, в котором используется элемент управления Scriptlet. typelib.
Напомним, что Георгий поместил этот код на своем Web-узле. Ниже приведена
слегка модифицированная версия этого кода, вставленного в капсулу
для взлома почты. helo somedomain.com
Следующий этап произойдет, когда пользователь перезагрузит компьютер. Рано или поздно это неизбежно случится. Конечно же, можно написать такой сценарий, который сам выполнял бы перезагрузку. При этом запустится файл .НТА (данные файлы автоматически интерпретируются командной оболочкой Windows). В нашем случае пользователь получит следующее "приветственное" сообщение.
Эти безобидные действия — одна из многих реализаций
в безбрежном море возможностей. В подобной ситуации жертва полностью
находится в руках взломщика. Контрмеры Примените модули обновления для компонентов ActiveX
Scriptlet и Eyedog, которые можно получить по адресу http://www.microsoft.com/technet/security/
bulletin/ms99-032.asp. "Запуск" документов MS Office с помощью элементов ActiveX Георгий Гунински не ограничил свои изыскания использованием
дескрипторов HTML в электронном сообщении для загрузки потенциально
опасных элементов управления ActiveX. В последующих информационных
сообщениях, опубликованных на его узле, сообщается, что с помощью
этого же метода могут быть "запущены" и потенци-ачьно опасные
документы Microsoft Office ("поведение" этих документов
очень похоже на поведение элементов управления ActiveX). С результатами
исследований можно ознакомиться по адресу http://www.nat.bg/-joro/sheetex-desc.html
(для документов Excel и PowerPoint) и http://www.nat.bg/~joro/access-desc.html
(здесь описывается процедура запуска кода VBA, содержащегося в базах
данных Access). OBJECT data="db3.mdb" id="dl"></OBJECT> Как только программа Internet Explorer встречает дескриптор объекта, загружается база данных Access, имя которой задано в параметре data=, а затем для ее открытия вызывается программа Access. Это происходит перед тем, как пользователь получит предупреждение о потенциальной опасности, которая при этом может возникнуть. Таким образом, база данных будет запущена независимо от того, настроен IE/Outlook/ОЕ для запуска элементов управления ActiveX или нет. Ну и дела!Пример Георгия основан на применении удаленного файла с именем db3.mdb, который он разместил на своем Web-узле. Этот файл представляет собой базу данных Access. где находится одна форма, запускающая текстовый редактор Wordpad. Вот еще одна капсула для взлома электронной почты, демонстрирующая, как можно реализовать эту атаку. helo some domain, corn Основной особенностью атак этого типа является то, что обработка этих простых дескрипторов программами IE/Outlook/ОЕ приводит к запуску файлов, в которых содержится мощный макрос VBA. При этом не требуется какого-либо вмешательства пользователя. Неужели такая перспектива еще никого не встревожила? Контрмеры: задание пароля администратора Ассеss Запрещение использования элементов управления ActiveX
не предотвратит возможности реализации описанных атак. Поэтому нужно
применить модуль обновления в соответствии с инструкциями, приведенными
по адресу http://www.microsoft.com/-technet/security/bulletin/MS00-049.asp.
Особое внимание следует обратить на модуль обновления, предназначенный
специально для устранения проблемы, связанной с Access (компания Microsoft
назвала ее изъяном "сценария IE" ("IE Script")).
Запуск файлов с помощью ненулевого параметра CLSID элементов ActiveX Причиной выявления данного изъяна послужило вскользь
сделанное замечание в дискуссии, которая велась в бюллетене Bugtraq
по поводу уязвимости, обусловленной "навязыванием" файла
вложения (см. ниже), которую предложили реализовать на узле malware.
com. Велд Понд (Weld Pond), высококлассный хакер из группы LOpht,
прославившийся благодаря утилите netcat для NT (см. главу 5), завел
со своим коллегой Oil Dog из группы "Cult of Dead Cow",
знаменитым автором программы Back Orifice 2000 (см. главы 4 и 14),
разговор о механизме запуска файлов, навязанных пользователям по методике
malware.com. Оказывается, можно запустить любой файл, поместив в тело
электронного сообщения дескриптор OBJECT и сконфигурировав его с помощью
ненулевого параметра CLSID. При этом в мишень превращается каждый
исполняемый файл, находящийся на диске пользователя. Ниже приведен
пример соответствующей капсулы для взлома электронной почты. helo somedomain.com Однако в процессе тестирования выяснилось, что для того, чтобы этот способ успешно сработал, требуется удачное расположение планет. Первое необходимое условие заключается в том, что нужно, чтобы в программе Outlook Express 5.00.2615.200 для зоны был установлен уровень безопасности Low. Кроме того, при попытке запуска файла calc.exe из папки System появлялось диалоговое окно с предупреждением о неподписанном элементе управления. Для такого стечения обстоятельств пользователи должны быть достаточно безграмотны. Но если проделать это все же удастся, то появляются заманчивые перспективы, особенно при использовании этого способа совместно с возможностью записи файлов на диск, предложенной на Web-yxie malware. com. Контрмеры против использования ненулевого параметра CLSID Основываясь на результатах тестирования, авторы утверждают,
что установка соответствующего уровня безопасности зоны позволит устранить
эту проблему (см. в предыдущих разделах описание зон безопасности).
Переполнение буфера поля даты в программах Outlook и Outlook Express Возможно, кому-то из читателей показалось, что стержнем
большинства типов атак являются элементы управления ActiveX. 18 июля
2000 года в бюллетене Bugtraq появилось сообщение об изъяне
программ Outlook и Outlook Express совсем другого типа, не имеющем
ничего общего с элементами ActiveX. Date: Tue, 18 July 2000 14:16:06 +<около 1000 байтхкод для запуска> В этой книге уже неоднократно упоминалось, что возможность запуска в системе произвольного кода открывает неограниченные возможности. Коварное сообщение позволяет незаметно установить программу типа "троянский конь". Через него могут распространяться "черви", а, кроме того, оно может дискредитировать целевую систему, запускать вложения — одним словом, делать практически все, что заблагорассудится.Пользователям Outlook Express достаточно лишь открыть папку с представляющим опасность сообщением, и они сразу же становятся уязвимыми. Простая загрузка такого сообщения в процессе проверки почты может привести к переполнению буфера и возникновению исключительной ситуации. Таким образом, пользователи ОЕ попадают в замкнутый круг: сообщение не может нормально загрузиться, а его содержимое приводит к аварии программы при каждой последующей попытке восстановить почтовую программу. Одним из способов устранения описанной проблемы является просмотр почты и удаление вызвавшего аварию сообщения (при условии, что мы можем его "вычислить") с помощью почтового клиента, отличного от Outlook/OE. Это легко сделать, используя программу Netscape Messenger, в окне предварительного просмотра которой отображается дата сообщения, по которой можно понять, какое из сообщений привело к сбою. Пользователи Outlook уязвимы во время предварительного просмотра, чтения и пересылки сообщения, вызывающего неполадки, а также тогда, когда они на него отвечают. Первоначально код, основанный на данном изъяне, был опубликован в бюллетене Bugtraq. Однако позже выяснилось, что данный подход можно применять лишь против сервера, входящего в состав частной локальной сети. Поэтому он неприменим, если его использовать портив пользователя, подсоединенного к Internet через модем. Как представляется, эта публикация стала результатом ошибки Аарона Дрю (Aaron Drew), который, по-видимому, пытался применить подход, подобный описанному в этой главе методу капсулы для взлома электронной почты, но вместо этого ошибочно отправил свое сообщение в бюллетень Bugtraq. Подготовленное для официального оглашения, это сообщение выглядело бы следующим образом (обратите внимание на строку Date, в которой для краткости опущены данные, вызывающие переполнение; в примере они заключены в квадратные скобки, которые не являются необходимыми). helo somedomain.com Контрмеры против переполнения поля даты Согласно информационному сообщению компании Microsoft,
которое можно найти на ее Web-узле по адресу http://www.microsoft.com/technet/
При установке на компьютер с операционной системой Windows 2000 IE 5.5 не устанавливает обновленные компоненты Outlook Express, поэтому этот изъян не устраняется. Следует также заметить, что по утверждению компании Microsoft пользователи Outlook, у которых эта программа настроена только для использования служб MAPI, не подвержены негативному влиянию, независимо от установленной у них версии Internet Explorer. Если службы электронной почты Internet не установлены (Tools>Services), то библиотека INETCOMM.DLL не используется. |
|||||
|
|||||
|
|
|||
| |
||||
