<< hack 4 fun

Počas posledných dvoch mesiacov Corelan Team vyvýjal a úspešne testoval FTP client fuzzer pre Metasploit Framework. Na základe objavených zraniteľností napísané Metasploit moduly a serióznu ranu utrpelo jedenásť FTP klientov. Bug bol nájdený aj v ďalších piatich klientoch, z hľadiska zneužitia spôsobuje „len“ pád aplikácie. Akoby to nestačilo, Corelan Team elegantne spísal postup ako z objavenej zraniteľnosti získať Metasploit modul (Ruby). K dispozícii je dokonca template, ktorý stačí upraviť. Len pre poriadok hrubá definícia – Fuzz, Fuzzer, Fuzzing je testovanie softvéru založené na metóde tzv. čiernej skrinky. Technika využíva náhodné, neočakávané, alebo neplatné dáta, ktoré smerujú na vstup sieťového protokolu, premenných, súborového formátu, udalosti, API volaní, knižnice, programu, alebo aplikácie za účelom vyvolania pádu, alebo neočakávanej udalosti. Fuzzer je následne program, kúsok kódu, alebo komplexná aplikácia pre automatizáciu testovania.

Vzniknutý Simple FTP Client Fuzzer je naozaj učinný, jednoduchý na „ovládanie“, takže dovoľuje zapojiť sa do lovu a testovania FTP klientov každému, kto má základné zručnosti s msfconsole, debuggerom a voliteľným programovacím jazykom.

H4f

– zatiaľ informačne, zopár doposiaľ neobjavených  zraniteľností -  screenov znázorňujúcich pád FTP klientov. Následne budeme analyzovať získané údaje pomocou Python skriptov a v prípade  zaujímavých výsledkov portovať na moduly. Ak si myslíte, že bolo nutné stráviť hodiny hľadaním tých správnych klientov tak nie, nebolo.  Vulcano vďaka za trojicu výborných tipov.  Hrubé nastavenie modulu – false cyclic, startsize 3800-70000, stepsize 500, default fuzzcmds a 3x Bang:

Porta+ FTP Client 4.1

//(set STARTSIZE 3500)

// set STARTSIZE 7500

SmartFTP Client 4.0

ALFTP FTP Client v. 5.2

Predchádzajúce screenshoty zatiaľ nedokazujú, že je možné využiť zraniteľnosť, resp. spustiť vzdialený kód, ale kde je crash tam je potenciál… Pravdepodobne sa čoskoro dočkáme ďalších a ďalších Python skriptov, Metasploit modulov, alebo DoS nepodarkov založených na FTP klientoch, ktorých developeri hromadne prehliadali rovnaký bezpečnostný problém. Je fakt, že v reálnom svete nebývajú názvy súborov & adresárov dlhšie ako 255 znakov, čo ale vo  svete virtulálnom? 0_o

Happy fuzzing