Nightmare的胡言亂語

以往在查找特定系統平台或軟體版本之弱點時，最討厭的就是找到一堆不想要的弱點，今天看到一個網站(http://www.cvedetails.com/)將CVE弱點資料庫整理得相當完整，並且提供了很多彈性的搜集方式，呈現方式也相當的直觀，可以很輕易地幫助我們找到想找的弱點，而且除了弱點描述外，連CVSS的弱點風險指數也都詳細記載，讓我們更容易地根據弱點風險進行處理。
例如我想找手邊Windows 2008 server目前有哪些已知弱點，便可以根據Vendor進行搜尋，找到Microsoft之後選擇Windows Server 2008，系統便會將Window Server 2008的弱點根據年份與種類全部列出來(http://www.cvedetails.com/product/11366/Microsoft-Windows-Server-2008.html?vendor_id=26)，如下
 

最近發現伺服器HTTP Service上面老是有404的Log，仔細看一下都是掃描PHPMyAdmin目錄，上網查詢了一下發現原來是八月份被公佈的PHPMyAdmin漏洞，這個漏洞可以讓駭客透過PHPMyAdmin資料夾下面script/setup.php遠端執行php程式碼，從網路上的行為看起來，這支bot應該是修改去年被公佈的同一隻程式漏洞的exploit code修改而來，這支exploit code已經可以利用google關鍵字搜尋結果進行PHPMyAdmin的目錄猜測以及攻擊，攻擊過後會在/tmp植入dd_ssh這支bot，這支bot會對SSH登入密碼進行暴力破解，同時會將Server加入C&C的Control中，下面這篇文章對這次的攻擊有滿詳細的說明，有興趣的人可以參考看看。
IRC-based Botnet (phpmyadmin injection)

JavaScript和VB Script一直以來都是很著名的Client端程式語言，在以往Javascript都被應用於網頁程式寫作上來完成一些特效以及控制項，Javascript由Client端(瀏覽器)執行特性可以降低Web Server部分的負擔，但是由於Javascript在用戶瀏覽器上面可以被停用，所以大部分的檢查作業還是要依賴ServerSide Script Language，如：PHP、JSP、ASP以及PERL等等來完成，直到重視使用者瀏覽經驗的Web 2.0以及AJAX這個名詞被廣泛應用後，Javascript才逐漸的被網頁程式開發者重視，不過，Javascript與VB Script事實上也可以作為Windows系統上面的Script Language使用。
事實上，早在Windows 2000 Server時代，Windows就可以透過Windows Script Host(WSH)來執行VB Script或者Javascript，這些輕量化的Script語言可以取代批次檔(Batch,Bat)作用來幫助Server管理者做更多的事情，下面就是一個VB script的範例trick.vbs：
Set shell = Wscript.createobject("wscript.shell")
a = shell.run ("calc",1)
Wscript.Sleep 5000
a = shell.run ("shutdown -r",0)
Wscript.Sleep 10000
a = shell.run ("shutdown -a",0)

昨天睡了一天終於等到OWASP第二天的重頭戲了，主辦單位一開場就來個下馬威，第一場就讓Robert的Clickjacking來幫大家提提神。
Clickjacking的基本原理就和我上篇談Clickjacking時提到別人的模擬code是一樣的，主要就是將一張偽裝的網頁疊在你真正希望被害者去點的網頁，這樣一來即使該網站沒有XSS漏洞你也可以強迫被害人去做一些他原本不會做的擊點動作，不過這樣的攻擊其實是有他的限制性的，因為即使用戶去擊點網頁也沒什麼了不起，但是如果被害者擊點了下面的勾勾，那我們就有新的自拍流出可以看囉。

暨Syscan之後，又凹了主管讓我參加了OWASP，參加的目的當然是為了明天的Clickjacking囉，不然Web漏洞還能有什麼搞頭呢?講來講去不就是SQL Injection、XSS(SCRF)、File upload/download那些，不過能夠了解同業到底在做些什麼，類似的工作該怎麼包裝成產品，其實還滿有趣的，不過變成工作就不有趣了，非常的annoying。
今天令我印象較深刻的大概就是P.K.跟Birdman的Topic，很佩服Birdman可以把掛馬這玩意兒玩得這麼透徹，Sandbox分析跟Javascript Interpreter的結合，在很久以前自己就想搞了(聽說Birdman更早以前就在搞了)，但是怎麼弄就是沒辦法把spidermonkey/rhino搭配Sandbox弄起來，一方面是自己程式能力還沒到哪個等級，另一方面是因為自己半調子的個性，每次看到有趣的新東西就情不自禁想去摸一下，結果到後來還是一個東西都生不出來

今天鋒哥傳給我一篇鬼仔's blog上面轉貼的文章，裡面提到了本來在今年的OWASP上面RSnake 和 Jeremiah Grossman要發表Clickjacking的漏洞相關細節，但是由於Adobe的請求所以他們就不發表這個漏洞實作的詳細細節，大概是因為這漏洞一出來目前市面上除了lynx這種Command line base的瀏覽器之外，大概都會被打暴吧。
根據現有的微薄資料稍微研究了一下Clickhijacking的原理，大概就是基於hidden iframe的CSRF(今年下半年是CSRF年嗎?怎麼大家都在打這個東西XD)，稍稍看了一下別人模擬的code，突然覺得我之前監聽鍵盤動作的方式好像也可以拿來這樣玩(靠事件監聽來控制iframe)，但是聽說這攻擊不一定要靠Javascript，所以這方式可能離真的Clickjacking還有一段距離，有空再來研究看看不靠javascript要怎麼完成囉。

最近剛好處理了幾件網站被入侵的事件，剛好強者我同事峰哥也開發出一套分析IIS Log的程式，我想IIS洞這麼多再加上ASP先天不良的結果應該也有不少苦主也會開發一些關於IIS Log的分析程式吧，上網找了一下發現微軟自己就出了一套Log Parser。
更在SecurityFocus上面找到一篇非常精闢的文章，可以告訴你如何用Log Parser找出有問題的點，如果懷疑網頁被入侵了卻苦無頭緒，不妨參考這篇試試。

早上看到一個IE7未修補漏洞的攻擊PoC，攻擊者可以透過這個攻擊在使用者電腦上任意執行任何指令，原作者在上週四已經通知微軟，目前尚未有任何修補程式釋出，不過也先不用擔心，因為這個攻擊要完成的條件比較複雜，所以在secunia的風險等級也只是低而已，受影響的軟體版本為ie7跟ie8b，我的肉雞上還沒更新至5/14的update，所以不知道今天的更新有沒有包含這個，不過看secunia的5/14的advisory上面寫是還沒有patch可以用，所以我先把這個漏洞當0 day來看，下面是這個0day的說明以及PoC Code，如果需要了解更詳細的資訊，請至漏洞揭露者的網站參觀這篇文章。
這個漏洞主要是針對列印網頁時，可勾選"Print Table of Links"(圖可以看這裡，中文版叫什麼我忘了，改天再從肉雞上面截圖貼過來)，此時若網頁上面有一個惡意的Link，像

這兩天聽說同事中毒，會發送一個網址請你去點他(等了昨天等了一天發現沒收到有點失望)，今天看到辦公室在討論客戶的case，有好幾個同事的朋友或者是我們的客戶也會傳送同樣的訊息，追查結果是....他們都被當魚釣了，怎麼這個之前爆過的東西又捲土重來?還是我們這裡Lag太大.....@@
釣魚網頁告訴你說可以只要輸入msn帳密就可以查出誰封鎖你，接著對方就會利用MSN Bot登入你的MSN帳號大量發送釣魚網站給所有聯絡人，wow真是太方便了，連寫病毒都不用...good job(社交工程學果然屌)
經過今天下午測試有幾個釣魚網站還是活著的，提醒大家要小心喔，如果發現自己可能是受害人趕快去改密碼，不要在那邊傻傻的掃毒重灌XD(今天有人恍然大悟的跟我說："難怪我都掃不到病毒。")
網址蒐集(4/3新增)
http://www.localpics.info/<-這個會把www換成msn帳號，eg.nsysumis94.localpics.info

Trend Micro falls to victim to web hack
看樣子好像是白色情人節附近的事情...最近有上去趨勢網頁過的要注意點