В Windows обнаружена критическая уязвимость

дохтур · 13-11-11 04:46:36

petrun пишет:

покажите мне линуховую или фряшную дыру такого же масштаба

относительно чего? серъёзности ошибки как таковой или ощутимых последствий? так в линуксе и тех, и тех полным-полно, ещё на своей памяти линуксоида помню эпичный баг с порчей данных на ext3 - и это только по ядру

дохтур · 13-11-11 05:18:53

petrun пишет:

Но выполнение кода при постукивании на закрытый порт это леденящий душу пиздец.

Меньше знаешь - лучше спишь, поэтому включите автообновление и спите спокойно
А если не хочется, то можно вспомнить:

уязвимость была широко распространена в середине 1990-х годов на различных операционных системах и сетевых устройствах, включая Unix, Linux, Mac, Windows, сетевые принтеры и маршрутизаторы

Как вспомню, так сразу пипец начинает леденить, - и так каждый раз как вспомню, когда нечего делать и хочется чего-нибудь бояться big_smile

Редактировался дохтур (13-11-11 05:31:47)

TrollWINNT · 13-11-11 11:12:56

petrun пишет:

Потеря данных на фс при определенных условиях это печально.
Но выполнение кода при постукивании на закрытый порт это леденящий душу пиздец.
По последствиям, да.

Ну уж хрен там. Чтобы выполнить этот код меня надо еще целенаправлено ломать, а кому я нахрен нужен smile . А вот порча данных это серьезно. Часто притаскивают компы со словами "хоть че делай а фотки достань smile ". Так что ...

Гареев Станислав · 13-11-11 15:36:50

В таких случаях выручают две утилиты. Первая для поиска разделов, вторая для поиска останков удалённых файлов.

TrollWINNT · 13-11-11 15:56:38

Гареев Станислав пишет:

В таких случаях выручают две утилиты. Первая для поиска разделов, вторая для поиска останков удалённых файлов.

Ага, на ext3 то, да еще в то время smile .

kol4dan · 13-11-11 19:24:44

Гареев Станислав пишет:

В таких случаях выручают две утилиты. Первая для поиска разделов, вторая для поиска останков удалённых файлов

Далеко не всегда выручают. sad

Гареев Станислав · 13-11-11 19:44:10

kol4dan пишет:

Далеко не всегда выручают.

В таком случае надо уметь проигрывать. Был подобный случай у меня, смог вытащить с флешки лишь 12 файлов. Сказал клиенту "Это всё что возможно было сделать, это предел для подобного софта".

Дестер · 16-11-11 02:51:09

Оказывается, "специальным образом сформированный поток" - это ~4 миллиарда пакетов, или больше 197 гигабайтов трафика.

Итоговая схема «эксплуатации уязвимости» прекрасна. Надо найти, короче, непропатченый (патч-то неделю как вышел) Windows Server 2008 или 2008R2. Он должен глядеть в Интернет напрямую, на нём надо иметь UDP-сервис, и этот сервис должен быть явно закрыт правилом, и Вы должны знать номер этого порта.
Если собираетесь «наощупь перебором» – ха, нет ничего проще! Каждые 5 портов перебрать обойдётся Вам в терабайт трафика. Можете посчитать масштабы работы для перебора всех возможных UDP-портов на атакуемой системе.
Теперь можете приступать. Не забудьте, что если кто-то пошлёт хотя бы 1 лишний пакет – всё напрасно. Вы действуете из предположения, что знаете стартовое значение счётчика. Если целевой хост перезагрузится – тоже ничего не выйдет. Рестартанёт сетевой сервис (например, тот же Windows Advanced Firewall) – тоже.
Как понятно, не-лабораторная эксплуатация данной уязвимости – на грани фантастики. Фирма Microsoft подстраховывается, назначая этой уязвимости Critical. А допустим по критериям RedHat это вообще не уязвимость, если что. ... То, что выложено как PoC, даже в лабораторных условиях требует примерно 52 суток (почти 2 месяца) непрерывной работы, и это при учёте того, что никаких других хостов нет.

https://karmanov.wordpress.com/2011/11/15/ms11-083/

Rector · 16-11-11 06:19:09

Карманов пишет:

Если собираетесь «наощупь перебором» – ха, нет ничего проще! Каждые 5 портов перебрать обойдётся Вам в терабайт трафика. Можете посчитать масштабы работы для перебора всех возможных UDP-портов на атакуемой системе.

Классную мантру поёт карманов - "Все будет хорошо, вас не больно зарежут" smile ) С чего этот чудило взял что для перебора 5 портов UDP 'требуется ажно ТЕРАБАЙТ трафика? В шары долбится? Или в тухлую вену? -))
--

Карманов пишет:

Он должен глядеть в Интернет напрямую, на нём надо иметь UDP-сервис, и этот сервис должен быть явно закрыт правилом, и Вы должны знать номер этого порта.

Он что реально всех за идиотов держит? Хотя для виндузни...Вот например на вскидку -
1. Служба времени Windows - 123 port UDP
2. Сервер контры 27015 UDP
3. Прочая игровая хрень.

Tiphon · 16-11-11 06:39:56

Rector пишет:

С чего этот чудило взял что для перебора 5 портов UDP 'требуется ажно ТЕРАБАЙТ трафика? В шары долбится? Или в тухлую вену? -))

Ну, как бы если ты мозг включишь и сделаешь сложнейшее вычисление 197000 х 5...

Doppelganger · 16-11-11 07:41:21

Rector пишет:

. Служба времени Windows - 123 port UDP
2. Сервер контры 27015 UDP
3. Прочая игровая хрень.

Внимательней читай: сервис должен быть явно закрыт правилом. Кто тебе службу времени закрывать будет?

Rector · 16-11-11 07:50:30

Tiphon, докажешь что для сканирования 5 UDP портов удаленной машины требуется излить на неё ТЕРАБАЙТ трафика?

Doppelganger пишет:

Кто тебе службу времени закрывать будет?

А ты свой NTP-сервер который предназначен для синхронизации времени локальных машин в глобал выставляешь? Если так, то тебе помочь нечем -)
---
Аналогично, крутится контра только для локалки, порт UDP 27015 в глобал явно закрыт правилом.

Tiphon · 16-11-11 08:37:05

Rector пишет:

Tiphon, докажешь что для сканирования 5 UDP портов удаленной машины требуется излить на неё ТЕРАБАЙТ трафика?

Ну, ежли попытки включить мозг не увенчиваются успехом, значит мозга нет. Давай я тебе объясню, но если если я объясню - я тебя забаню? Идёт такой "договор с дъяволом"?

Rector · 16-11-11 08:56:33

Tiphon пишет:

Идёт такой "договор с дъяволом"?

Нет конечно.
Сейчас ты просто берешь и сканируешь, ну например в локалке, 5 СЛУЧАЙНЫХ ПОРТОВ udp и показываешь что на это у тебя ушло хренова туча времени и терабайт трафика. ОК?
---
Вот например, я сканирую некую машину в локалке, все 65535 портов.

 nmap -sU -p 1-65535 192.168.33.9

Starting Nmap 5.21 ( https://nmap.org ) at 2011-11-16 12:47 IRKT
Nmap scan report for sdcserver-sam.samarta.buryatzoloto.com (192.168.33.9)
Host is up (0.00017s latency).
Not shown: 63019 closed ports, 2513 open|filtered ports
PORT    STATE SERVICE
53/udp  open  domain
123/udp open  ntp
137/udp open  netbios-ns
MAC Address: 00:1E:4F:10:D8:DB (Dell)

Nmap done: 1 IP address (1 host up) scanned in 7.63 seconds

Совсем недолго, правда? -))
И трафика совсем чуть-чуть -))

Каких то несчастных 2.7 мегабайта -))
336 бит х 65535=22019760 бит.

Tiphon · 16-11-11 09:06:59

Rector пишет:

Вот например, я сканирую некую машину в локалке, все 65535 портов.

Поздравляю! И что ты насканировал?

Rector · 16-11-11 09:09:54

Tiphon пишет:

Поздравляю! И что ты насканировал?

В смысле? Смотри блок кода.
===
Открытые порты UDP конечно. Как задано в параметрах сканирования.

Tiphon · 16-11-11 09:12:37

Rector пишет:

Открытые порты UDP конечно. Как задано в параметрах сканирования.

Поздравляю! А при чем тут открытые порты?)))

Rector · 16-11-11 09:30:01

Tiphon пишет:

А при чем тут открытые порты?)))

Карманов пишет:

Надо найти, короче, непропатченый (патч-то неделю как вышел) Windows Server 2008 или 2008R2. Он должен глядеть в Интернет напрямую, на нём надо иметь UDP-сервис, и этот сервис должен быть явно закрыт правилом, и Вы должны знать номер этого порта.
Если собираетесь «наощупь перебором» – ха, нет ничего проще! Каждые 5 портов перебрать обойдётся Вам в терабайт трафика. Можете посчитать масштабы работы для перебора всех возможных UDP-портов на атакуемой системе.

Или это чудило под "перебором" имело ввиду не поиск портов UDP? Ах да, оно имело ввиду закрытые порты -)) Так будет известно карманову, вывод nmap может принимать несколько значений;
1. open - порт открыт
2. filtered - порт закрыт фаерволом
3. closed - закрыт (нет там ничего (демон, сервис))
Смотри ниже...

 nmap -sU -p 123-345 192.168.33.9

Starting Nmap 5.21 ( https://nmap.org ) at 2011-11-16 13:21 IRKT
Nmap scan report for sdcserver-sam.samarta.buryatzoloto.com (192.168.33.9)
Host is up (0.00017s latency).
Not shown: 220 closed ports
PORT    STATE         SERVICE
123/udp open          ntp
137/udp open          netbios-ns
138/udp open|filtered netbios-dgm
MAC Address: 00:1E:4F:10:D8:DB (Dell)

Nmap done: 1 IP address (1 host up) scanned in 2.23 seconds]

---
smile Итак, на данной машине порт 138 скорее всего закрыт брандмауером и в принципе его можно атаковать -)
===
И где там терабайт? -)

Tiphon · 16-11-11 09:53:31

Rector пишет:

Итак, на данной машине порт 138 скорее всего закрыт брандмауером и в принципе его можно атаковать -)

Оу...
All 223 scanned ports on 192.168.1.52 are open|filtered
Значит на любой можно атаковать?

Rector · 16-11-11 10:21:29

Tiphon пишет:

Оу...
All 223 scanned ports on 192.168.1.52 are open|filtered
Значит на любой можно атаковать?

Не всегда, udp порты могут открываться/закрываться динамически. Это связанно с работой некоторых приложений или протоколов. Например, если на этой машине работает NAT, то UDP порты ему жизненно необходимы, пусть не все, но значительное количество. Просто таков механизм работы NAT. А вот известные сервисы как правило, занимают статические порты. И их в принципе не так много.
Т.е. поиск "фильтрованных" портов надо начинать с хорошо известных протоколов - DNS, PortMapping, NTP, NetBios, игрушки там разные.

Tiphon · 16-11-11 11:14:57

Rector пишет:

Т.е. поиск "фильтрованных" портов надо начинать с хорошо известных протоколов - DNS, PortMapping, NTP, NetBios, игрушки там разные.

Ты, как сказал бы Паша, жопой то не виляй. Вот картинка с 7-ки без каких-либо специально сделанных настроек фаервола:
All 223 scanned ports on 192.168.1.52 are open|filtered
На этих портах доухя сидит, включая, как ты сам заметил, NTP
Дальше что делать? Ломать их?

Форум StopLinux

Объявление

#26 13-11-11 04:46:36

Re: В Windows обнаружена критическая уязвимость

#27 13-11-11 05:18:53

Re: В Windows обнаружена критическая уязвимость

#28 13-11-11 11:12:56

Re: В Windows обнаружена критическая уязвимость

#29 13-11-11 15:36:50

Re: В Windows обнаружена критическая уязвимость

#30 13-11-11 15:56:38

Re: В Windows обнаружена критическая уязвимость

#31 13-11-11 19:24:44

Re: В Windows обнаружена критическая уязвимость

#32 13-11-11 19:44:10

Re: В Windows обнаружена критическая уязвимость

#33 16-11-11 02:51:09

Re: В Windows обнаружена критическая уязвимость

#34 16-11-11 06:19:09

Re: В Windows обнаружена критическая уязвимость

#35 16-11-11 06:39:56

Re: В Windows обнаружена критическая уязвимость

#36 16-11-11 07:41:21

Re: В Windows обнаружена критическая уязвимость

#37 16-11-11 07:50:30

Re: В Windows обнаружена критическая уязвимость

#38 16-11-11 08:37:05

Re: В Windows обнаружена критическая уязвимость

#39 16-11-11 08:56:33

Re: В Windows обнаружена критическая уязвимость

#40 16-11-11 09:06:59

Re: В Windows обнаружена критическая уязвимость

#41 16-11-11 09:09:54

Re: В Windows обнаружена критическая уязвимость

#42 16-11-11 09:12:37

Re: В Windows обнаружена критическая уязвимость

#43 16-11-11 09:30:01

Re: В Windows обнаружена критическая уязвимость

#44 16-11-11 09:53:31

Re: В Windows обнаружена критическая уязвимость

#45 16-11-11 10:21:29

Re: В Windows обнаружена критическая уязвимость

#46 16-11-11 11:14:57

Re: В Windows обнаружена критическая уязвимость

Подвал форума