anonymous@RULINUX.NET~# Last login: 2024-12-25 10:14:29
Регистрация Вход Новости | Разметка | Пользователи | Галерея | Форум | Статьи | Неподтвержденное | Трекер | Правила форума | F.A.Q. | Ссылки | Поиск
[#] [Добавить метку] [Редактировать] Фильтры
  • торсионщина
  • порно
  • изображения
Скрыть

Атака на заблокированный ПК через USB

Сами Камкар (Samy Kamkar), исследователь безопасности, известный созданием различных замысловатых устройств для проведения атак, таких как кейлоггер в USB-зарядке телефона, представил свою новую разработку - PoisonTap. В рамках проекта PoisonTap подготовлена практическая реализация атаки BadUSB, позволяющая получить доступ к прокэшированным в браузере сессионным cookie и параметрам аутентификации через подключение к USB-порту компьютера специального устройства. Атака применима к заблокированным компьютерам, независимо от используемых ОС, и может быть совершена когда владелец на время отлучился от своего ПК, оставив его с заблокированным экраном без присмотра.

Для атаки используется самый дешёвый одноплатный компьютер Raspberry Pi Zero, продаваемый за $5. На устройство загружен дистрибутив Linux, настроенный для эмуляции сетевого адаптера по USB, по DHCP объявляющий себя в качестве шлюза для локальной подсети 128.0.0.0. При подключении такого устройства к USB-порту, компьютер жертвы воспринимает его как новую сетевую плату, через которую доступен шлюз для обращения к локальной сети, охватывающей половину адресного пространства (устройство представляется как 1.0.0.1 с сетевой маской 128.0.0.0). Новый сетевой интерфейс менее приоритетен на компьютере жертвы, но так как подсеть задана явно, то подпадающий под эту подсеть трафик уходит через новый сетевой интерфейс независимо от наличия шлюза по умолчанию на более приоритетном интерфейсе.


[путь к изображению некорректен]


На устройстве запускается подставной DNS-сервер, выдающий фиктивные ответы для запросов имён хостов, что позволяет переадресовать к PoisonTap все запросы и сохранить в кэше привязку доменов к сторонним адресам, в том числе организовать доступ к внутренним хостам локальной сети при помощи техники DNS rebinding.

Для сбора данных на устройстве PoisonTap запускается специальное приложение с реализацией простого http-сервера, который перехватывает все незашифрованные запросы по HTTP с компьютера жертвы. Если на компьютере пользователя остаётся открытым web-браузер, то с большой долей вероятности некоторые страницы периодически обращаются во вне, например, для обновления рекламных блоков, статистики, AJAX-вставок и т.п. Перехватив такое обращение программа атакущего обрабатывает его и генерирует ответ, в зависимости от запроса содержащий специально оформленный HTML или JavaScript.

Через подстановку скрытых блоков iframe организуется обращение к списку популярных сайтов из web-браузера жертвы (используется список из миллиона сайтов от рейтинга Alexa). Если пользователь ранее открывал участвующий в переборе сайт и у него прокэшированы параметры сеанса, то браузер вместе с запросом отправит имеющиеся cookie, а так как трафик контролируется на устройстве атакующего, незашифрованные cookie будут перехвачены. В том числе перехватываются cookie для сайтов, ранее открытых по HTTPS, если данные cookie были установлены без флага Secure, т.е. отправляются и для HTTPS и для HTTP.

Кроме того, в перехваченном трафике выявляются и подменяются популярные JavaScript-библиотеки, запрашиваемые через типовые сети доставки контента. Подменённые библиотеки, например JQuery, могут применяться для продолжения атаки после отсоединения USB-устройства. Так как подменённые JavaScript-библиотеки оседают в кэше, то в дальнейшем, при открытии пользователем страниц, запрашивающих данные JavaScript-библиотеки, будет выдан вариант из кэша, в который в процессе атаки был встроен код атакующего. Данным способом можно обеспечить перехват сессионных Cookie для будущих входов на сайты, к которым в данный момент не имеется активных сеансов.

В процессе атаки также может быть запущен JavaScript-код, выполняющий функции бэкдора. При помощи WebSocket скрипт устанавливает соединение с внешним сервером атакующего (не с PoisonTap, а с реальным внешним хостом) и поддерживает данное соединение в активном состоянии. Пока соединение активно, атакующий может со стороны внешнего сервера в любое время передать команду скрипту и выполнить подстановку iframe или запустить код на JavaScript в контексте текущего сайта.



Сурс новости на опеннете

Презентация на ютубе

Dr.uid(*) (2016-11-17 16:05:03)

Mozilla/5.0 (X11; Linux i686; rv:45.0) Gecko/20100101 Firefox/48.0

[Ответить на это сообщение]
[#] [Добавить метку] [Редактировать] Ответ на: Атака на заблокированный ПК через USB от Dr.uid 2016-11-17 16:05:03
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

очередное забавное поделие. несколько моментов (для *nix):

1) необходимость рутовых привилегий для добавления/конфига интерфейса в систему;
2) необходимость (частный случай, ога ..) как-то обойти некий "доверенный список" из "$ arptables -L". да, детишки, да, arptables придумали не зря.. ;
3) стоит как-то подробнее на нюансах проксирования/переадресации/редиректа и учесть кэш уже сформированных маршрутов ядра, в который новый интерфейс не влазит вообще никак. вопрос форварда (при грамотной настройке == fail) и/или запуска прокси (тут интереснее, но вангую необходимость рута) на usb, чтобы таки достучаться до адреса в инете. т.е. пока не вижу никаких причин разрешать/пропускать в сеть вопли абсолютно левого интерфейса.


лирическое отступление: в этих ваших люниксах при разработке таблиц фильтрации на уровень приложений "забили болт" не просто так. здесь вам не там: "It is very important to understand that iptables was and is specifically built to work on the headers of the Internet and the Transport layers. It is possible to do some very basic filtering with iptables in the Application and Network access layers as well, but it was not designed for this, nor is it very suitable for those purposes."(c). любое дополнение в систему стороннего интерфейса с последующим разрешением ему болтать с кем попадя - анальная кара быдлоадмину. поправьте, если ошибаюсь..

anonymous(*)(2016-11-17 17:54:55)

мой ласковый и нежный w3m, ня!
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-17 17:54:55
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

насчет быдлоадминов хз, да и нет под рукой USB Ethernet.

Но те что использовал, на нетбуках, подхватывались NetworkManager ом при втыкании автоматом.

Про iptables фильтрацию трафика на ноуте вообще сомнительно, максимум все не нужные входящие зарезать иначе тяжело же.

Dr.uid(*)(2016-11-17 19:14:39)

Mozilla/5.0 (X11; Linux i686; rv:45.0) Gecko/20100101 Firefox/48.0
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от Dr.uid 2016-11-17 19:14:39
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

те что использовал, на нетбуках, подхватывались NetworkManager ом при втыкании автоматом

?!? даже при использовании этого поделия у тебя есть опции "Available to all users" checkbox + "Connect automatically" checkbox. не помню как именно он работает: если не по Vendor ID/Device ID - то это очередной баг софтины. помню, что NM без "полкана" (polkit) стартовать не стоит. особенно в буках. нужен какой-то сервис контроля, чтобы граничить права на "наше" железо/периферию и "не наше", что могут тыкать в нашу няшу всяко-разные проходящие мимо.

anonymous(*)(2016-11-17 20:38:13)
Отредактировано anonymous по причине : купил очки и мужественно исправил опечатки
мой ласковый и нежный w3m, ня!
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-17 20:38:13
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

"Available to all users" тебя не спасает, "Connect automatically" вроде по умолчанию произойдёт для нового устройства. Как он должен работать тем более не ясно: по Vendor ID/Device ID ты идендифицируешь железку (кто бы ей мешал их фальсифицировать, кстати), а коннекшены там более высокоуровневая вещь - один и тот же вайвай-адаптер со своим Vendor ID/Device ID может коннектиться к разным точкам и это будут разные подключения.

P.S.
Короче, сценарий правильный и ещё раз утверждает нас в мысли, что всё, что из компьютера вылезает - должно покидать его пределы в зашифрованном виде.
Кроме того, сама информация о том, какие хосты ты посещаешь - это тоже приватная информация.. Вдруг там, куда ты ходишь, подвергают сомнению духовные скрепы нашего общества, например.

anonymous(*)(2016-11-17 21:12:27)

[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-17 21:12:27
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

> "Available to all users" тебя не спасает
хз. не пользую NM

> "Connect automatically" вроде по умолчанию произойдёт для нового устройства
вот именно. если сам разрешаешь тыкать всяко-разное, то кто ж тебе виноват?!

> один и тот же вайвай-адаптер со своим Vendor ID/Device ID может коннектиться к разным точкам и это будут разные подключения
ты не понел. речь про очевидную потребность/необходимость отделять мух от котлет: доверенное/"наше" железо от всяко-разного. для этого при NM обязателен тот же "полкан". сиречь тупые правила udev-а у кого сосать, а кого и няхуй слать. весь/любой беспредел возможен только в объёме прав доступа id, под которым стартует то или иное безобразие.

в очередной раз нам показывают очевидное: пользовать "автоматы/роботов" можно только из доверенных source/policy. не более. если эта поделка как-то сможет функционировать в твоём железе - виноват именно ты. nuff said.

по поводу шифрования - хз. кроме как шифровать систему на usb, что ты таскаешь с собой в кармане, особого смысла не вижу. даже прон шифровать стоит только при промышленных масштабах торрентов. в случае пати-вэна с маски-шоу безальтернативен вариант с "салазками"/mobile rack-ом. если успеешь добежать до стойки :))

anonymous(*)(2016-11-17 22:11:44)

мой ласковый и нежный w3m, ня!
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-17 22:11:44
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

сейчас основная настройка сети идет через системд не ?

Dr.uid(*)(2016-11-17 22:53:37)

Mozilla/5.0 (X11; Linux i686; rv:45.0) Gecko/20100101 Firefox/48.0
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от Dr.uid 2016-11-17 22:53:37
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

> сейчас основная настройка сети идет через системд не ?
по-разному: systemd-networkd, ifup, wicked, bsd ifconfig, NM.. кому что нра. зависит от потребностей/предпочтений. лучше сказать, что для Linux ip/iproute2 теснит ifconfig. плюс ip6 отжигает со своим мультикастом..

p.s.: только что зарелизили новую няшку, в январе потыкаем её, может попробуем в деле..

anonymous(*)(2016-11-17 23:31:39)

мой ласковый и нежный w3m, ня!
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-17 23:31:39
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

> только что зарелизили новую няшку

LOL:
"A large community effort and cooperation between openSUSE and KDE has brought a Long-Term Support version for Plasma 5.8, which improves multiple monitor support out-of-the-box."

Т.е. вот этот пиздец называется импрувд саппортом. Ну-ну.

anonymous(*)(2016-11-18 05:06:07)

Mozilla/5.0 (X11; Fedora; Linux x86_64; rv:49.0) Gecko/20100101 Firefox/49.0
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-18 05:06:07
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

Т.е. вот этот пиздец называется импрувд саппортом. Ну-ну.

а что ты хотел? нормальный десктоп, да? правда? ну-ну.. (ц)(тм)

цимес чуток в другом: в базе и серверных компонентах. оно канешна можно и SLE спокойно пользовать со всеми апдейтами (после регистрации доступна вся инфраструктура), но проще сидеть с версиями "open". cve и баги латают и релизят одновременно для всей платформы, остальное - не парит. эдакий консервативный подход для старпёров. оч нра :)

p.s.: на SLE кстати основная "морда" - гном :)))

anonymous(*)(2016-11-18 13:06:11)

мой ласковый и нежный w3m, ня!
[#] [Добавить метку] [Редактировать] Ответ на: Re:Атака на заблокированный ПК через USB от anonymous 2016-11-18 13:06:11
avatar
Скрыть

Re:Атака на заблокированный ПК через USB

Гном тоже говно. Мне, пожалуй, нравится в принципе только КДЕ. Но не нравится то, что они из неё сделали. Красношляп используется в этерпрайзе - это как минимум резон с него не слезать чтобы не заводить плохих привычек (хотя федоркин dnf уже меня испортил - постоянно путаюсь где его использовать, а где - yum )

anonymous(*)(2016-11-18 16:39:28)

Этот тред читают 1 пользователь:
Анонимных: 1
Зарегистрированных: 0




(c) 2010-2020 LOR-NG Developers Group
Powered by TimeMachine

Valid HTML 4.01 Transitional Правильный CSS!