Обзор высоких технологий в области  защиты и взлома
/ новости / обзор рынка и комментарии к нему / 25.01.00 /
http://www.inroad.kiev.ua
ac@istrada.net.ua

DOS НА TCP-СТЕК BSD-КЛОНОВ

Уже неcколько дней идe:т бурное обсуждение нового denial-of-service средства для BSD-систем. Данная история носит полудетективный характер, и всe: началось с письма некоевого The Tree of Life в список рассылки BugTRAQ. Данный человек заявил, что стал свидетелем успешной denail-of-service атаки на несколько хостов под FreeBSD, которые поддерживали одни из главных irc-серверов EFNET.

Администратор якобы отказался комментировать данную атаку, указав лишь, что эксплоит назывался stream.c. Резульатом его действия являлась всего одна аккуратная строчка в логах - syslog:Jan 19 01:12:05 x kernel: Kernel panic: Free list empty.

Это выглядело больше похожим на утку или же попытку нарушить порядок и организовать беспочвенную панику, тем более официальных сообщений от BSD так и не поступило.
Но далее Brett Glass подтвердил, что имеет на руках рабочий эксплоит и успешно протестировал его на TCP-стеках Linux, Solaris, и всех системах семейства BSD. Так же было сказано о временном фиксе : для этого следовало прописать правила IPFilter, поставляющегося со всеми BSD, следующим образом:

pass in all
block in proto tcp all head 100
pass in proto tcp from any to any flags S keep state group 100

Вскоре после этого вышел и "неофицальный фикс" для TCP-стека и от самой BSD: его можно скачать с {http://www.freebsd.org/~alfred/tcp_fix.diff}

Теперь стоит вкратце пояснить принцип действия данного denal-of-service средства.

Происходит флуд хоста ACK-пакетами, приходящими со случайных IP-адресов и имеющими случайные номера последовательностей. Вообще-то это не должно причинять серьe:зные проблемы, но в данном случае ограничение (!) траффика, генерируемого эксплоиом, имеет смысл.

Атакующий указывает порт, на который будут посылаться пакеты с флагом ACK, если порт является открытым, то ядру атакуемой системы придe:тся проработать несколько дольше перед падением.. впрочем, как показывает практика, "удар" по открытому порту принесe:т более интересные результаты.

Теперь рассмотрим, каким образом freeBSD обращается с полученными пакетами. Обработчик, в котором-то и кроется суть "падения" системы, вызывается из /sys/netinet/tcp_input.c

Далее, условие
if ((tiflags & (TH_RST|TH_ACK|TH_SYN)) != TH_SYN) { приводит к тому, что все наши ACK-пакеты будут сброшены после некой обработки отсылкой обратного пакета с флагом RST (так как делается попытка послать ACK, когда соединение не установлено).

В принципе, обработка одного пакета отнимает мало процессорного времени, но, имея на своe:м конце хотя бы 10-Мбитный shell, вы вскоре добъe:тесь того, что атакованная машина исчерпает ресурсы и свалится с kernel panic.

Эксплоит был выпущен в публичное обращение, так как известны правила ipfilter, временно защищающие от атаки, а так же доступен патч.

Сам эксплоит, а так же более подробную информацию можно получить на:
ftp://ftp.technotronic.com/newfiles/stream-DoS.txt

 -duke

Copyright (C) Team Void


Чрезвычайно серьезная локальная проблема в procfs BSD-систем

Процесс A порождает дочерний процесс B, которые выполняет любое suid-приложение волучая привелегии root. При этом процесс A может полностью регулировать ход выполнения процесса B.

Проблема была обнаруждена в 1997 году, но исправлена недостаточно надежно.
Эксплоит: procfs.c

Copyright (C) Infection


Qmail-pop3d не проверяет длинну пароля при передаче его внешней программе авторизации

В сочетании с vpopmail это проблема позволяет удаленному пользователю получить привелегии root.
Эксплоит: http://www.ktwo.ca/security.html

Copyright (C) Infection


Дело о взломе DVD: хакеры проигрывают, но не сдаются

В конце прошлой недели в двух из трех проходящих в США крупных судебных разбирательствах о взломе защиты DVD хакеры и адвокаты свободы слова потерпели первое серьезное поражение. Вечером в четверг нью-йоркский судья Льюис Каплан постановил временно запретить публикацию на трех сайтах кода, взламывающего защиту цифровых дисков.

Запрет касается сайтов www.dvd-copy.com, www.2600.org, www.krackdown.com. Владельцам именно этих сайтов предъявлено обвинение в краже и распространении коммерческих секретов - так обвинение трактует распространение кода, который позволяет делать "пиратские" копии DVD-фильмов.

Код для взлома DVD написал более трех месяцев назад 15-летний хакер из Норвегии. В США это привело сразу к нескольким судебным процессам над теми, кто публикует этот код в Сети. В Нью-Йорке иск против владельцев web-сайтов выдвинули крупные голливудские студии в лице ассоциации MPAA (Motion Picture Association of America).

В пятницу, на следующий день после запретительного предписания нью-йоркского суда, аналогичное постановление принял суд Санта-Клары (Калифорния), где тоже рассматривается дело о распространении кода для взлома DVD. В данном случае представители студий подали в суд на группу хакеров из 99 человек (настоящие имена 72 из них неизвестны).

Хотя судебные процессы еще не завершились, некоторые наблюдатели считают, что решение судей запретить (хоть и временно) публикацию кода на сайтах говорит о том, что суды настроены не в пользу хакеров.

Однако адвокаты из правозащитной организации Electronic Frontier Foundation из Сан-Франциско обещают бороться до конца и обжаловать даже эти предварительные решения судей. При этом представители защиты продолжают настаивать, что в данном случае имеет место вовсе не воровство, а законное распространение информации, призванное улучшить возможности продукта. В частности, по словам адвокатов, распространение кода позволяет смотреть DVD-фильмы тем, кто пользуется операционной системой Linux. Адвокаты ссылаются на то, что в законе об электронном копирайте (Digital Millennium Copyright Act) предусмотрено именно такое исключение - распространение кода возможно, если целью является достижение совместимости с другими системами, кроме Windows.

Кроме того, представители EFF и сторонники идеологии open-source отмечают, что суды принимают решения, не учитывая нюансов элекронных медиа. Так, например, публикация кода запрещена на конкретных сайтах - но на других сайтах код все равно может быть опубликован, а владельцы сайтов, фигурирующих на процессе, могут вместо публикации кода опубликовать ссылку на другой сайт (публикация ссылки тоже не запрещена).

Таким образом, считают защитники, решение кажется бессмысленным. И похоже, смехотворность желания "запретить Интернет" начали понимать даже судьи: верховный судья Санта-Клары, издавший распоряжение о запрете на публикацию кода в Сети, в то же время отказался рассматривать как вещественное доказательство футболки с кодом взлома DVD на спине, которые сторонники идеологии open-source раздают на процессе.

Copyright (C) Lenta.ru

http://www.citycat.ru/ ═══════ E-mail: citycat@citycat.ru

---

В избранное