|
*停權中*
|
網上取得的另一篇資料 :
引用:
如何用綠壩養肉雞(一)[代碼ABC 於:2009-06-12 06:11:21
作為週末消遣，我準備認真玩玩這個熱點軟體。老實說之前的所有回帖我都是道聼塗説再加自己想像，所以可能比較主觀。現在我們來點客觀的東西。
環境準備：
虛擬機一個，作業系統Windows 2003
網路抓包軟體一個——就用Windows 2003自帶的Network Monitor。
下載，安裝，重新啟動。
由於軟體版權中不允許我做逆向工程，不過我也不準備這麼幹。
這次是消遣，不想做違法的事情，也不想做太多費腦子的事情。
所以我戴上網路管理員的帽子，打開網路抓包工具看看這個LB有沒有在網路上夾帶私貨。
由於我用的是虛擬機所以也可以在外邊抓包，因此可以監視在系統啟動過程中LB有沒有發送或接收一些可疑的資料。
看上去還不錯，在系統啟動的整個過程LB沒發什麼資料。然後我打開它的系統設置，進入軟體更新，
發現這個軟體的自動更新並不是默認打開的(很奇怪的默認設置)。更新週期默認則設為10天。
所以呢如果誰準備上這條船記得要打開自動更新，否則這個軟體有什麼補丁就會錯過，搞不好就要出狀態。
(或者他們認為這個軟體不會出什麼狀態，但是有關部門讓他們更新關鍵字表怎麼辦呢？
就算打開了10天也夠互聯網的人士們幹出不少事情了。)
既然如此，我就主動點立即更新。第一次點擊顯示伺服器繁忙。(生意這麼好？)
再點一次，好了(看來生意也不是很好嘛)。
軟體報告下載了200K+的資料，然後打開一個紅色的對話方塊顯示檔更新過程，
從名字上判斷更新的是關鍵字庫。(估計這將會是更新最多的內容了)。
有更新就行了，本網管一聲奸笑切換到抓包程式，
LB和伺服器的通信就一絲不掛地展現在本網管面前。(就是不夠月宮上的東西誘惑啊)。
前兩行資料就看得我直皺眉頭，這兩行資料顯示LB使用DNS查詢伺服器www.zzjinhui.com的IP地址。
有人說這不是廢話嗎，誰在通信前不要用DNS查一下地址的。
對！但是LB使用的DNS是本機設置的DNS，這就是一個不起眼但是很有意思的漏洞。
如果我是駭客，我可以先用一個木馬或者一個頁面腳本程式修改用戶的DNS配置，
將他們的DNS指向我自己的DNS，然後讓用戶在查詢這個功能變數名稱的時候將其指向我自己的伺服器，
這樣當LB更新軟體的時候就會到我這裏來下載，於是我就會高高興興地將準備好的大餐送過去。
Bingo!一台肉雞就這樣誕生了!這比偽裝銀行網站還簡單，因為連頁面也不需要做。
一切都是在後臺進行的，再仔細的用戶也不會發現什麼。
再聯想到LB和360之類的反流氓軟體的衝突，就算我送上的大餐有什麼問題讓360發現了，
用戶也會認為是LB的事情，老老實實地點擊“允許”。
我相信LB的客服，如果有的話，肯定會說這是360的誤報警。(多好的客服啊)
本網管去消遣點別的，回頭繼續
如何用綠壩養肉雞(二)[代碼ABC 於:2009-06-12 06:53:20
消遣過程中我不斷被大正和金惠的開發人員雷到，搞得渾身發癢。
通過抓包分析很容易就看出其軟體更新過程。
首先訪問一個countuser.asp獲取一個動態檔，
這個檔很簡單只包含一個數字標題(當前是1515)，內容只有一句errorcode=5369，
估計是他們用來判斷更新什麼的依據吧。在這裏我被雷了好幾下(後來也習慣了)。
被雷第一下，asp？天，這是什麼時代的技術啊。
按互聯網日新月異的更新速度，這種技術不說是史前文明，至少也是滿清民國的事情了。
那麼他們的開發工具基本可以確定只有一個Visual Studio 6.0
(經典的版本，現在作為收藏正在我書架上的一個角落吸引灰塵)。
接著我在這個伺服器返回的檔中確定了他們就是用這個軟體發展的
(其實他們也只能用這個工具，後面還要提及)，因為在返回的文件中赫然有一句！很雷吧。
被雷第N下(沒數了)，從伺服器返回的頭部看到他們用的Web伺服器是Apache 2.2.11，
並且使用的是Windows服務(32位元的版本)。
我納悶，他們有架構師嗎？Windows伺服器裝Apache用php不好，居然用微軟已經拋棄的asp，
用ASP的話還不如直接用Windows自帶的IIS。
後來想想，有點明白了。他們用Visual Studio 6.0也是迫不得已，因為他們的程式必須用C++開發，
這樣如果使用微軟的開發工具的話就只能用這個老掉牙的東西了
(新版本的Visual Studio上開發非託管的C++不是他們能掌握的)。
而Visual Studio 6.0在網站開發上也就只能開發asp。所以一事不煩二主，就這麼決定了。
按本網管監資深程式師的猜想，這個開發團隊應該是一個技術非常保守的團隊。
基本上對新技術和新作業系統一竅不通，這點可以從LB在Vista和Win7上的拙劣表現看得出來。
看看訪問的URL，我又被小小的雷了一下，在LB提交的資料中赫然出現本機的當前登錄用戶名，
由於這些資料是明碼傳遞，所以用戶的登錄名是很容易洩露的。
不過這點比起後來發現的東西就小兒科了。
接下來LB還要訪問一個檔，其路徑是/softpatch/vNew.bmp，看起來是一個圖片檔。
但是裏面只有5個字——3.173。這是軟體的版本號。
這個手法有點熟悉，我手下曾經的一個二流程式師使用過這種方式。問他為什麼不返回一個正常頁面呢？
當時他告訴我，這樣在用戶端處理起來就比較方便，不用去分析一大堆Html標記。
同樣的那個手下也是用C++，他對處理字串的工作非常不熟練。
所以我判斷LB的開發人員在C++上的功力也不會太深。
果然，稍稍試驗一下就證實了我的想法。
待續(接下來是他們第一個Bug)
如何使用綠壩養肉雞(三)[代碼ABC 於:2009-06-12 08:23:05
使用C++編寫字串處理程式最常見的一種錯誤就是緩衝區溢出，
這個錯誤通常是因為程式師沒有檢查用戶輸入資料的長度引起的。
程式在分析用戶輸入的時候需要找個地方先將這些輸入存起來，
這個存放的地方就是所謂的緩衝區。
通常為了不浪費記憶體空間，分配緩衝區的長度都是有限的，如果用戶輸入的資料長度超過緩衝區長度，
而程式師又不進行檢查的話，那麼拷貝到緩衝區的用戶輸入就會覆蓋緩衝區以外的地方，
這就叫緩衝區溢出。大多數情況下，這種錯誤會造成程式崩潰，
在 Windows中有時會彈出一個對話方塊，說xxxx位址不能為寫，然後按OK，程式就直接退出了。
但是一個故意設計的輸入可以改變一些重要的內容，比如函數的返回位址，
這樣攻擊者就可以改變程式執行內容，比如添加一個用戶，植入一段木馬。
比較著名的一次緩衝區溢出安全是SQL Server 2000的蠕蟲攻擊，那次幾乎一半的互聯網都癱瘓了。
(本人管的伺服器在那次災難中不受影響，但是網路被塞滿了我也無可奈何)
跑了那麼大段題，大家應該知道我含沙射影的意思了。
沒錯，LB有緩衝區溢出的錯誤，而且是一種二流C++程式師犯的常見錯誤。
驗證方法很簡單，打開IE，在位址欄輸入一個超過1280字元的位址，不用管這個位址是否存在。
其結果就是IE被突然關閉。然後你可以Windows管理工具中事件查看器中，
應用程式事件裏發現一個IE的Dr Watson事件，這表示IE崩潰了。
同樣的事情不會發生在沒有LB護航的系統中，聯繫LB需要監控IE，必然就是其IE注入程式導致的。
這是一個很可怕的漏洞，駭客可以事先設計好一個特殊的URL，然後引誘你去點擊。
比如寫著“LB無法遮罩的圖片大全”之類的，您的小孩一點！
Bingo，又一個肉雞產生了。而且這個肉雞每三分鐘截一次屏。Oh My God。上帝也保佑不了你。
為了讓駭客們的工作更加方便，這個LB不得不把自己放在網路上供人下載。
在一般水準的駭客眼裏，這個東西和一個穿著睡意的美女一樣脆弱。
還有更可怕的東西是這幫二流程式師還抄了人家不少開源代碼，也就是說這件睡衣還是透明帶窟窿的。
如何用綠壩養肉雞(完)[代碼ABC 於:2009-06-12 09:04:07
玩到這裏其實已經幫駭客們做了很多事情了
(駭客說：屁話，就這些東西還用你說。我舉手投降)，
下麵純消遣。我們來看看另一個雷人的東西。
我們的故事是從LB去下載更新開始，下載更新一共有三個步驟，上面才講了兩個。
第三個步驟是下載一個更新檔。方法就是通過HTTP去金惠網站上下一個關鍵字更新檔，
在抓包程式裏面可以看到其位址是http://www.zzjinhui.com/softpatch/kwupdate.dat。
一切都很正常，只不過我覺得他們對這個檔進行加密簡直就是多此一舉。
解密程式就在用戶這邊放著，還怕人家解不出來。這件事情就和我寫的DVD加密故事一樣愚蠢。
不過這種蠢事還是可以原諒的。
不可原諒的是我抱著試試看的心態在流覽器上輸入http://www.zzjinhui.com/softpatch/的時候，
你猜我看到什麼？
* Parent Directory
* HLJsetup.rar
* Image0.jpg
* SoftchnEt.rar
* Thumbs.db
* datapth.exe
* datapth06.exe
* datapth07.exe
* datapth07123.exe
* datapth07HLJ.exe
* filterdam.cab
* filterdam.cab1
* filterdamnew.cab
* kwupdate.dat
* kwupdate.exe
* kwupdate1.dat
* kwupdate3.dat
* kwupdate4.dat
* kwupdate5.dat
* kwupdate6.dat
* kwupdate7.dat
* newSoftchn.rar
* newSoftchn1.exe
* newSoftchn1.rar
* updateAll.exe
* vdata.bmp
* vdata1.bmp
* vnew.bmp
* vsdata.bmp
* vdata.bmp
WA KAO！這是他們的軟體更新目錄列表！
第一帖小河流水問他們的文件有沒有校驗，從這種管理水準來看我的判斷是——沒有！
所以簡單的DNS劫持或直接修改Hosts檔就可以利用其自動更新的功能完成肉雞養殖。
不明白技術的人也許會奇怪我的反應如此激烈。
這麼說吧作為一個網站的管理員我們最忌諱的一件是就是讓駭客們獲得一些不必要的資訊。
網站的目錄結構以及裏面的檔內容就是其中之一，通常我們都會將網站目錄結構設置為不可流覽。
這樣當用戶輸入上述URL的時候會顯示檔找不到，而不會看到這個列表。
那麼這個列表告訴我們什麼呢？
第一：這個網站是由一群半桶水的管理員維護的。(好處是高手看不上他們，因為黑他們沒有成就感)
第二：我們知道了軟體更新的其他內容，並且可以先下載來進行分析。
要注意其打包內容和實際存放在用戶端的檔是有區別的，
分析他們可以找出打包方式到時候就可以用來欺騙客戶段。
(另外，我們還可以猜一下，那張圖片上的MM是誰呢？瞭解他們的XX取向)
第三：從這個目錄淩亂的內容來看，其內部管理機制也是一團糟，
也就是在攻擊他們的時候不需要太擔心他們的跟蹤能力。
消遣大致到這結束了，
結束前手癢搞了一下發現這個網站可以用SQL注入攻擊(無語，估計請的都是剛畢業的)。
不需要再對技術做什麼分析了。下面的事情完全可以交給專業駭客完成，
如果這個軟體大規模推廣的話，我認為這些預裝了的機器基本上都逃不出肉雞的下場。
5000萬的肉雞啊，即使買回來都卸了，總有些地方是不能卸的，
比如學校，搞不好某些政府機關。OMG。
|
|