Семь с половиной лет потребовалось программистам Microsoft, чтобы выпустить патч, закрывающий дыру в протоколе SMB (Server Message Block). Впервые информация об этой уязвимости была обнародована на конференции Defcon аж 2000 года. Эксплойт официально появился в марте 2001 года. За прошедшие годы эксплойт приобрел широкое распространение и использовался очень активно. Например, он был встроен в популярную хакерскую программу Metasploit.

Данная уязвимость позволяет очень легко завладеть управлением на удалённом компьютере, если он не защищён файрволом. По классификации Microsoft уязвимость считается «важной» для Windows XP, 2000 и Server 2003, а также имеет статус «умеренной» для Vista и Server 2008. Однако независимые эксперты однозначно называют эту уязвимость критической.

Эксперты также отмечают, что семь с половиной лет — это очень долгий срок для создания патча, необычно долгий даже для Microsoft. Непонятно, чем объясняется такая задержка.

Хакеры со всей Европы соберутся в конце июня (27-30 числа) на второй Hacker Space Festival в Париже.

В четырёхдневном расписании — занятия по Metasploit, HostileWRT, FPGA для начинающих, обсуждение софтверных патентов в Европе, Hadopi и многих других тем.

Мероприятие будет проходить на первой во Франции рабочей хакерской площадке /tmp/lab, которая находится в промышленном районе на окраине Парижа.

via slashdot

Компания Microsoft поменяла своё первоначальное решение и объявила о выпуске внеочередного патча, закрывающего последнюю уязвимость в браузере IE. Патч появится в ближайшие дни.

Как известно, с помощью этой дыры была проведена недавняя атака на Google и сайты 33 других коммерческих компаний (операция «Аврора»). В прошлый четверг вредоносный код был опубликован в открытом доступе, а эксплойты для IE6 были включены в различные хакерские инструменты, включая Metasploit. Эксперты предупреждали, что аналогичные эксплойты скоро появятся и для IE7, и для IE8, но представители Microsoft недооценили угрозу и планировали включить патч только в плановое обновление безопасности, назначенное на 9 февраля. По этой причине и Германия, и Франция сочли необходимым предупредить пользователей об опасности и призвали отказаться от использования браузера Internet Explorer.

Эксплойт для IE7 под Windows Vista (при отключенном DEP [data execution prevention]) действительно появился на этой неделе, а даже есть сообщения об эксплойте для IE8 с включенным DEP (код пока не выложен в открытый доступ), так что Microsoft была вынуждена признать реальность угрозы и поменять планы по выпуску патчей.

Многие уже написали об уязвимости, наденной в большинстве версий Internet Explorer (раз пост на хабре, два пост).

Буквально пару минут назад мне пришла коммуникация из корпорации, в которой коллеги анонсируют выпуск обновления завтра в 21-00 по Москве (10 часов утра в Редмонде). Кроме закрытия уязвимости(о ней можно больше прочитать тут), о которой все так много говорят, в него войдут и другие важные обновления, касающиеся Internet Explorer.

О появлении заплатки можно будет узнать на хабре, в блоге корповой команды или же у меня в блоге.

Не забудьте загрузить обновления завтра!

И не забывайте, что атаки не затронули пользователей Internet Explorer 8, так что обновляйте ваши браузеры:)

Как и обещал, читатели хабра первыми узнают о появлении обновления:)

Буквально пару минут назад мы опубликовали обновление, закрывающее уязвимость во всех версиях Internet Explorer. Скачать можно обновление можно через Центр обновления Microsoft (Microsoft Update) или загрузить его вручную через Центр загрузки

Напоминаем, чтобы для повышения безопасности компьютера мы рекомендуем обновить ваш браузер до Internet Explorer 8.

ЗЫ И не отключайте автообновление в Windows, это позволит вам регулярно получать последние обновления безопасности

Узнать техническую информацию об узвимости можно здесь: www.microsoft.com/rus/technet/security/advisory/979352.mspx + информация на английском здесь: www.microsoft.com/technet/security/bulletin/ms10-002.mspx

На хабре уже писали о Win32/Stuxnet и раскрывшейся вместе с ним уязвимостью. Но самой уязвимости уделяется почему то мало внимания, в основном весь шум вокруг Win32/Stuxnet и использованных валидных сертификатов для подписи компонентов этого зловреда. А тем временем эта уязвимость уже появилась в публичном доступе. Сначала в виде PoC, а потом и в виде модуля для Metasploit. MS, как в прочем и обычно, пофиг на критичность этой уязвимости и она вероятнее всего выпустит патч не раньше 10 августа. А для WinXP SP2 патча вообще не будет, хотя как не странно на ней еще есть пользователи и их не так мало, как хотелось бы. Подтверждение тому распределение угрозы по оконным версиям от Symantec, где именно WinXP SP2 имеет большую долю зафиксированных инцидентов.



В качеcтве векторов использования этой уязвимости могут быть не только USB-накопитили, но и сетевые ресурсы. Например, в Metasploit эксплуатация происходит через WebDAV.

На прошлой неделе на Хабре уже писали о заявлении HD Moore и найденной им уязвимости, которая содержится в достаточно большом количестве приложений и работает на всех версиях MS Windows. Но все оказалось куда серьезнее, так как речь идет не просто о найденной уязвимости, а о концептуальной ошибке в дизайне механизма загрузки динамических библиотек. По этому поводу вчера Microsoft официально выпустила Security Advisory (2269637), что означает официальное признание серьезности данной уязвимости. Но давайте попробуем разобраться в сути этой проблемы, так как она ничуть не менее серьезная, нежели недавно найденная уязвимость в загрузке LNK-файлов.

Уязвимость заключается в том, что многие программы при вызове функции LoadLibrary() не проверяют корректность пути, по которому эта библиотека может быть загружена. Таким образом, они позволяют произвести подмену выполняемой библиотеки. Это связано с тем, что поиск загружаемой библиотеки осуществляется в первую очередь в директории, содержащей образ исполняемого файла, который породил процесс (подмененная библиотека выполняется с привилегиями пользователя, запустившего процесс). К примеру, Georgi Guninski предложил следующую демонстрацию (PoC) данной уязвимости:

По числу эксплуатируемых уязвимостей программа Adobe Acrobat Reader является одной из самых «дырявых» и, в тоже время, наиболее популярной у злоумышленников. Атаки с использованием уязвимостей в приложениях Adobe для проведения client-side атак уже давно стали трендом. В прошлый раз о громкой 0-day уязвимости мы писали летом. Недавно у злоумышленников появился новый повод для творчества.

Известная платформа для создания и тестирования эксплоитов Metasploit от HD Moore обновилась до версии 3.7.0. Новый релиз примечателен тем, что в него впервые включён пост-эксплоит для получения информации с Apple iOS (модуль Apple iOS Backup File Extraction собирает историю звонков, SMS, картинки, координаты GPS и т.д.).

Пост-эксплоит — это инструмент для действия после проникновения в систему. Например, в нашем случае с iOS достаточно проникнуть в клиентскую систему, на которой есть доступ к iTunes, с помощью одного из других модулей, после чего уже запускать этот инструмент. То есть непосредственно Apple iOS не взламывается.

Вопрос безопасности всегда будет актуальным, особенно в Сети. По этому, чтобы в один прекрасный день не получить на своем ресурсе такую картинку нужно уметь проверять на предмет уязвимостей себя самого.

Под катом — краткий обзор и типовые примеры использования бесплатных утилит, которые помогут (а точнее уже во всю помогают) хакерам, администраторам, разработчикам, тестировщикам проверить свои ресурсы конкурентов в автоматизированном режиме.

У статьи довольно низкий порог вхождения для понимания и использования, по этому, надеюсь, придется по душе многим. Раскрывается лишь базовый функционал программ.

Как-то давно я уже писал об этом, но немного скудно и сумбурно. После я решил расширить список инструментов в обзоре, добавить статье структуры, учесть критику (большое спасибо Lefty за советы) и отправил ее на конкурс на СекЛаб (и опубликовал ссылку, но по всем понятным причинам ее никто не увидел). Конкурс закончен, результаты объявили и я с чистой совестью могу ее (статью) опубликовать на Хабре.

Бесплатные инструменты пентестера веб-приложений

В данной статье я расскажу о наиболее популярных инструментах для пентестинга (тестов на проникновение) веб-приложений по стратегии «черного ящика».
Для этого мы рассмотрим утилиты, которые помогут в данном виде тестирования. Рассмотрим следующие категории продуктов:

1. Сетевые сканеры
2. Сканеры брешей в веб-скриптах
3. Эксплойтинг
4. Автомазация инъекций
5. Дебаггеры (снифферы, локальные прокси и т.п.)

Что такое Meterpreter?

Meterpreter — расширенная многофункциональная начинка (Payload), которая может быть динамически расширена во время выполнения. В нормальных условиях, это означает, что это обеспечивает Вас основной оболочкой и позволяет Вам добавлять новые особенности к ней по мере необходимости.

Первым, наиболее частым действием является внедрение в процесс explorer'a. Эту возможность предоставляет команда migrate:

meterpreter > migrate 1888 #1888 — PID процесса, вывести список процессов - ps
[*] Migrating to 1888...
[*] Migration completed successfully.

Далее, как правило, выполняется повышение привилегий до системных. Для этого существует команда getsystem, использующая уязвимость, которая была обнаружена во всех версиях Windows, начиная с версии 3.1:

meterpreter > getsystem
...got system (via technique 1).

На этой неделе известный набор эксплойтов Blackhole обновился до версии 1.2.3 и в его составе появился новый эксплойт для Java на уязвимость CVE-2012-0507 (Java/Exploit.CVE-2012-0507). Первыми обратила внимание общественности на актуальность этой уязвимости компания Microsoft, которая опубликовала в своем блоге сообщение об интересном способе выполнения Java-кода за пределами песочницы JRE (Java Runtime Environment).

Первые упоминания о боевом эксплойте для этой уязвимости появились от компании Immunity, которая выпустила специальный модуль для своего продукта Immunity CANVAS еще в начале марта 7.03.2012. Эта уязвимость была закрыта 15 февраля в рамках критического обновления от Oracle. Буквально вчера поздним вечером, на момент подготовки этой публикации, появился публичный эксплойт для CVE-2012-0507 в составе Metasploit Framework. Отдельно стоит отметить его кроссплатформенность и возможность эксплуатации на системах Windows, Linux, Solaris и OSX (обновление безопасности от Apple появилось вчера). Последняя особенно интересна в свете увеличения количества вредоносных программ для нее, распространяющихся в том числе и посредством эксплуатации Java уязвимостей. Эксплойт из Metasploit Framework выглядит очень похожим на тот, что был обнаружен в обновленном Blackhole и складывается впечатление, что он был рипнут по большей части оттуда…

В последнее время я часто писал об эксплойтах для Java и они действительно в последний год самые пробивные в инцидентах массового распространения вредоносных программ. Разработчики наборов эксплойтов, таких как Blackhole, используют только так называемые 1-day уязвимости, т.е. уже содержащие официальное исправление от разработчиков. Потому что использование 0-day слишком дорого для их целей и совершенно себя не окупает, но бывают исключения, когда 0-day попадает на паблик вместе с PoC. Использование уязвимости нулевого дня на данный момент можно чаще всего увидеть в целенаправленных атаках. Кстати, довольно занимательный пост о ценах на 0-day и карме ресечеров можно почитать тут.

Вернемся к нашему эксплойту, на этой неделе снова было замечено распространение Win32/TrojanDownloader.Carberp через популярные веб-ресурсы, посредством внедрения iFrame конструкций для перенаправления на ресурс с набором эксплойтов.

Первым нам попался ресурс lifenews.ru, на котором содержался следующий iFrame:



Как видно из внедренного кода, сразу происходила атака именно CVE-2012-0507, а доменное имя, на котором был расположен Blackhole, очень схоже с именем атакованного веб-ресурса. Результат выполнения кода в iFrame можно увидеть даже визуально на модифицированной оригинальной странице.

Краткий пост об уязвимости, найденной примерно полгода назад.


Эксплойт позволяет злоумышленнику получить root доступ к системе без пароля из-за уязвимости в sudo. Работа проверена на Mac OS 10.7 — 10.8.4, возможно также уязвимы более ранние версии. Работа эксплойта возможна благодаря возможности без пароля перевести время в Mac OS на первое января 1970 года.

Эксплойт уже пару дней доступен в Metasploit.
(via packetstormsecurity)

Перевод седьмой части книги «Metasploit Penetration Testing Cookbook»

Глава 7. Работа с модулями

В этой главе изучим следующее:

• Работа со вспомогательными скан-модулями
• Работа со вспомогательными админ-модулями
• SQL injection и DOS модули
• Пост-эксплуатационные модули
• Основы создания модулей
• Анализ модулей
• Создание пост-эксплуатационного модуля

Мы начинаем цикл обучающих статей, посвященных взаимодействию сканеров уязвимостей с Метасплоитом.

Требуемое программное обеспечение: Kali Linux.
Необходимые знания: опыт работы с консолью Linux-систем (в частности, дистрибутивом Kali Linux) и консолью Метасплойта.

Большинство атак основано на уязвимостях в программном обеспечении или ошибках конфигурации. В связи с этим рекомендуемыми мерами для обеспечения информационной безопасности организации являются регулярное сканирование системы на наличие уязвимостей и тестирование на проникновение.

Сканирование на наличие уязвимостей позволяет проверить диапазон указанных IP-адресов на возможные проблемы в системе безопасности, предоставляя пентестерам информацию о вероятных векторах атак. При работе со сканерами уязвимостей нужно помнить, что они могут ошибаться и выдавать ложную или неправильную информацию.

Как известно, Metasploit Framework – это инструмент для создания, тестирования и использования эксплойтов. Но, благодаря поддержки модулей и плагинов, он вполне может сгодиться и для поиска уязвимостей.

В первой части мы рассмотрим модули, встроенные в Metasploit, которые позволяют выявить наиболее распространенные бреши в системах безопасности.

Требуемое программное обеспечение: Kali Linux.
Необходимые знания: опыт работы с консолью Linux-систем (в частности, дистрибутивом Kali Linux) и консолью Метасплойта.

В первой части мы познакомились с модулями для обнаружения уязвимостей при аутентификации (SMB Login Check, VNC Authentication None Detection) и плагином для поиска уязвимостей в веб-приложениях (WMAP). Во второй части займемся установкой сканера уязвимостей Nessus на 32-битную версию системы Kali Linux для последующего его взаимодействия с Метасплойтом (установка на 64-битную версию происходит аналогичным образом).

Metasploit – излюбленный инструмент хакеров и специалистов по информационной безопасности, включающий в себя множество модулей для создания и использования эксплойтов. Но для эксплуатации уязвимостей, их необходимо сначала выявить. Функционала фреймворка для этих целей не достаточно, зато с этой задачей легко справляются сканеры уязвимостей. Взаимодействие сканеров уязвимостей с модулями Metasploit можно осуществить с помощью поддерживаемых плагинов. В результате такой интеграции мы сможем находить уязвимые места и тут же их эксплуатировать.

Установка Nessus Home

Nessus — один из самых популярных сканеров уязвимостей, разработанный компанией Tenable Network Security. До 2005 года это было свободное программное обеспечение с открытым исходным кодом, а в 2008 году вышла платная версия продукта. Также существует и бесплатная «домашняя» версия, ограничивается использованием в домашней сети. Её мы и будем использовать в наших целях.

Практически ни один серьезный пентест не обходится без проверки СУБД, ведь это одна из самых популярных у злоумышленников дверей к желаемой информации и машине. В крупных проектах в качестве СУБД очень часто используется MS SQL Server. И о проверке именно его безопасности мы сегодня и поговорим. Открывать Америку не будем — опытные камрады лишь освежат свои знания, а вот для тех, кто только начинает осваивать тему, я постарался максимально подробно разложить все по пунктам.

20 сентября состоялся очередной релиз популярного дистрибутива для проведения тестирования на проникновение Kali Linux 2017.2. Среди нововведений мы получили возможность установить из репозитория несколько новых инструментов. В данном тексте мы рассмотрим фреймворк apt2 или Automated Penetration Testing Toolkit.

Может ли обычная картинка нести угрозу и стоит ли обращать внимание на факт загрузки изображений при разборе инцидентов информационной безопасности? На этот и другие вопросы мы ответим в данном тексте на примере работы инструмента DKMC (Don't Kill My Cat).