2010년에 Zero Day였던 CVE-2010-0249 ruby 모듈로 익스플로잇 Penetration Test와 소스코드 분석을 했던 자료입니다.

1. CVE-2010-0249

2. INFORMATION
- IE가 제대로 초기화가 되지 않았거나 삭제된 개체에 액세스하는 방식
에 원격 코드 실행 취약점
- 공격자는 특수하게 조작된 웹 페이지를 구성하여 이러한 취약점을 악
용할 수 있습니다.
- 사용자가 해당 웹 페이지를 볼 경우 취약점으로 인해 원격 코드 실행
이 허용됩니다.
- 취약점 악용에 성공한 공격자는 로그온한 사용자와 동일한 권한을 획
득하며 즉 , 관리자로 로그온한 경우 시스템을 완전히 제어할 수 있습
니다.

3. Penetration Test
System
- Victim : XP Professional XP IP : 192.168.0.8
- Attack : Kali Linux 2.0 IP : 192.168.0.13

4. Penetration Test
먼저 Attack인 Kali Linux에서 MSFconsole(Metasploit)을 실행 후에
Module값을 exploit/windows/browser/ie_aurora로 설정해줍니다.
그 후 LHOST를 공격자의 IP로 설정해줍니다.
LPORT로 Port Number도 설정해주고~

5. Penetration Test
대상 피해자가 Windows이므로 PAYLOAD 값은 Windows의 Reverse Shell
로 설정합니다.
PATH도 설정해주시면 설정은 끝이 납니다.

6. Penetration Test
지금까지의 설정 값을 show options로 확인이 가능합니다.
8080 포트가 열렸군요

7. Penetration Test
대망의 Exploit을 실행해주시고
Victim인 XP에서 Attack의 IP주소에 8080포트로 접속을 하게 되면…
Session 열렸다는 메시지와 함께 접속된 IP를 확인할 수 있습니다.

8. Penetration Test
Session을 확인하게 되면 Victim과 Attack이 서로 연결된 것을 확인할 수 있
습니다.
Session –i 1 명령어를 사용하여 session을 실행(?) 하고…

9. Penetration Test
Shell을 구동시키면 Victim 컴퓨터 시스템을 본격적으로 Remote 할 수
있게 됩니다.

10. Source Code 분석
해당 파일은 Metasploit의 Module 값을 설정
하기위해 .rb 즉 루비파일로 작성되었습니다.
해당 파일은 Exploit-db에서 다운로드 가능합
니다.

11. Source Code 분석

12. Source Code 분석

13. Source Code 분석
대부분 주석 처리가 되있더
군요…

14. Source Code 분석
마지막으로 소스코드 맨 마지막에 HTML로 클라이언트에게 payload 값을
response 받습니다. 또한 Attack과 Victim간의 통신을 모두 암호화 하더군
요….

15. 환경구축하고 침투 테스트하는데 약간 시간이 조금 걸렸습니다.
이유는 Kali 2.0에 metasploit에서 aurora 모듈이 없어서 설치하
고 VM에 XP 다시 설치하고 하느라 조금 시간이 소모되었고 분석
부분이 많이 미흡한 이유는 제가 분석을 잘 못합니다... 양해 부
탁 드립니다. 발표 마치며 질문 받겠습니다.

16. Aurora
CVE-2010-0249