Tesekk8r bunu sen mi yazdın Aslında hepimiz eksiğiz biraz Leylası olmayan mecnunlarız Ne sıcacık bir ismail abimiz var. Nede ktü zamanda Yanımızda olan İskender babamız Ne mahellemizi mahalle yapan Erdal bakkalımız ne her kapıyı açan yavuz abimiz nede bize doğru yolu gsteren dedemiz.

1. Açıklığın yapısıAçıklık, Interner Explorer yazılımının IE veri kaynaklarına bağlanma fonksiyonunda bulunmaktadır. Databinding fonksiyonu IE nin çeşitli veri kaynaklarına bağlanarak bu verileri dinamik olarak web sayfalarında gstermesini sağlamaktadır. Bu fonksiyonda uzaktan kod çalıştırılmasına izin veren geçersiz işaretçi referansı açıklığı vardır. IE'nin kullandığı bir nesne serbest bırakıldıktan sonra hafızada kullanmış olduğu alan temizlenmemektedir. Bu da IE nin zaafiyet oluşturacak şekilde kapanmasına sebep olmaktadır. Hataya sebep olan fonksiyonlar oledb32. dll ve mshtml. dll kütüphanelerinde bulunmaktadırlar. Yaygın olarak kullanılan saldırı metodlarında bir web sayfası içindeki XML etikerleri ile databinding fonksiyonu çağırılmakta ve bu etiketlerin IE tarafından işlenmesi sırasında yukarıda bahsedilen geçersiz işaretçi referansı açıklığı ortaya çıkmaktadır. Saldırganlar zel hazırlanmış web sayfaları içinde açıklığa sebep olan XML etiketlerini kullanarak uzak sistemlere sızabilir ve oturum açmış kullanıcı hakları ile kurbanların bilgisayarlarında istedikleri programı çalıştırabilirler. Şekil-1 Açıklığa sebep olan kod parçacığı Yukarıdaki kodda iç içe iki SPAN etiketinin kullanılması açıklığın tetiklenmesine sebep olmaktadır. Birinci SPAN etiketi, IE'nin XML dokümanındaki veri kaynağından alınan verinin HTML olarak şekillendirmesini sağlamaktadır. İkinci SPAN etiketi de aynı işlemi birinci SPAN etiketinin içinde gerçekleştirmektedir. Bunun sonucunda, ilk <image > SRC etiketinin adres kısmının, ilk 4 byte lik kısmının üzerine yazılmasına sebep olan yığın bozulması oluşmaktadır. Yukarıdaki şekilde de grüldüğü gibi adres kısmının ilk 4 byte'lık kısmında &#2570; &#2570; karakterleri bulunmaktadır. Bu karakterler on altılık düzende 0x0a0a0a0a adresine karşılık gelmektedir. Bu adres IE tarafından kullanıldığı ve kolay ulaşılabildiği için heap spraying denilen saldırılarda sıkça kullanılmaktadır. Bu noktadan sonra saldırganlar heap spraying tekniği ile saldırı kodlarını , IE nin kullanmış olduğu hafıza blgesine yükleyerek, saldırı kodlarının çalıştırılmasını sağlamaktadırlar. Bu kodlar o an sistemde oturum açmış kullanıcı hakları ile çalışmaktadırlar. Bundan dolayı günlük işlemlerde ynetici yetkisinde bir kullanıcı ile sisteme oturum açmak yerine, sistemde değişiklik yapma hakkı olmayan, daha az yetkiye sahip normal bir kullanıcı ile sisteme oturum açarak işlem yapılması tavsiye edilmektedir. Bu saldırının çalışması için iki gereksinim vardır: Hafızada istenen bir yeri istenen içerikle doldurabilmek. Bizim rneğimizde IE nin kullanmış olduğu hafıza blgesine saldırı kodlarını yazabilmek. Hafızaya yüklenen saldırı kodunu çalıştırabilmek. İkinci madde ile ilgili nlem olarak akla Microsoft Windows sistemleriyle birlikte gelen DEP zelliği gelmektedir. DEP, programların kullandığı hafızanın veri olarak işaretlenen kısımlarındaki saldırı kodlarının çalıştırılmasını engelleyerek saldırıları nleyebilmektedir. Bizim rneğimizde saldırgan, sisteme saldırı kodlarını yükleyebilse bile DEP, çalıştırılmasını engelleyeceği için saldırı gerçekleşmemiş olur. DEP zelliği, Windows işletim sisteminde varsayılan olarak açık gelmemektedir. Yukarıda anlatılan tipteki saldırılardan korunabilmek veya bu saldırıların etkisini azaltabilmek için DEP, IE için devreye alınmalıdır. Yukarda bahsedilen saldırı çeşidi databinding fonksiyonunun XML etiketleri kullanılarak sistemlere saldırılmasını ele almaktadır. Ama açıklık sadece XML kodları ile yayılmamaktadır. XML etiketleri kullanmadan da databinding fonksiyonu smürülerek sistemlere saldırılabilir. Bir başka saldırı yntemi de Microsoft Ofis yazılımları içinde yerleştirilen ActiveX kodlarının kullanılmasıdır. Bu yntemde kurbanın zararlı web sitesini ziyaret etmesi gerekmez. E-posta veya anında mesajlaşma yazılımları ile gnderilen MS Word veya Excel belgesinin açılması, sistemin ele geçirilmesi için yeterli olmaktadır. Bu saldırıdan korunabilmek için MS Ofis yazılımlarının güncellenmesi, bilinmeyen kişiler tarafından gnderilen eklentilerin açılmaması ve alınan her belgenin antivirus yazılımları ile taranması tavsiye edilmektedir. Antivirüs firmaları bu açıklığı kullanan virus/wormların hızla yayıldığını bildirmektedirler. McAfee firması antivirus imzalarında bu saldırı Exploit-XMLhttp. d, JS/Exploit-BO. gen, Downloader-AZN ve türevleri olarak grünmektedir. 2. Etkilenen sistemlerWindows 2000 SP4 üzerinde çalışan Internet Explorer 5.0, 5.01, 5.5, 6.0 ve 6.0 SP1. Windows XP SP2 ve SP3, Windows XP Pro (32/64 bit ), Windows XP Pro (32/64 bit ) SP2, Windows 2003 Server SP1 ve SP2 (32/64 bit) üzerinde çalışan Internet Explorer 6. Windows XP SP2 ve SP3, Windows XP Pro (32/64 bit ), Windows XP Pro (32/64 bit ) SP2, Windows 2003 Server SP1 ve SP2 (32/64 bit) , Windows Vista ve Windows Vista SP1 (32/64 bit), Windows Server 2008 (32/64 bit) üzerinde çalışan Internet Explorer 7. Windows XP SP2 ve SP3, Windows XP Pro (32/64 bit ), Windows XP Pro (32/64 bit ) SP2, Windows 2003 Server SP1 ve SP2 (32/64 bit) , Windows Vista ve Windows Vista SP1 (32/64 bit), Windows Server 2008 (32/64 bit) üzerinde çalışan Internet Explorer 8 beta 2. 3. rnek bir saldırı Açıklığın ne kadar ciddi olduğunu gstermek için rnek bir saldırı gerçekleştireceğiz. Saldırı adımları şunlardır: Bu saldırıda nce http://10.8.2.4/ie7.html adresinde saldırgan web sitesini hazırlayacağız. Bu sayfada açıklığa sebep olan XML etiketleri bulunacaktır. Daha sonra kurban bilgisayardan (IP adresi 10.8.99.13 ) hazırlamış olduğumuz web sitesini IE ile ziyaret edeceğiz. Sadece web sayfasının açılması ile saldırgan kurban bilgisayara uzaktan erişim sağlayacaktır. Daha sonra kurbanın masaüstüne saldırının kanıtı olarak benioku. txt dosyası oluşturacağız. Saldırı videosuna buradan ulaşabilirsiniz. rnek saldırımızda sadece kurbanın masaüstüne benioku. txt dosyası oluşturduk, fakat ktü niyetli bir saldırganın byle bir saldırı sonucunda uzaktaki bir bilgisayarda yapabileceklerine birkaç rnek: Her türlü bankacılık, msn/yahoo/skype, kurumsal e-posta, kablosuz ağ... şifrelerinin çalınması Kişisel e-postalar, adres defteri, fotoğraflar, zel dosyalar gibi hassas bilgilerin ele geçirilmesi Sisteme virüs, trojan, keylogger gibi zararlı programların yüklenmesi. Sisteme ynetici yetkisinde yeni kullanıcıların eklenmesi veya mevcut kullanıcıların silinmesi. Uzak Masaüstü bağlantısı , VNC gibi herhangi bir uzaktan ynetim programınınyüklenerek uzaktan erişim sağlanması. Bylece sistemlere daha sonra yama uygulansa bile saldırganların sisteme hala erişimi olacaktır. Tüm hard disklerin silinmesi formatlanması veya bilgileri kullanılamaz hale getirilmesi 4. nlemler 4.1 Sistemlerin yamanmasıMicrosoft firması açıklık duyudulduktan 8 gün sonra 17.12.2008 tarihinde ms08-78 numaraları yamayı yayınladı. Konu ile ilgili firmanın duyurusuna http://www.microsoft.com/technet/security/bulletin/ms08-078. mspx adresinden ulaşılabilir. Internete bağlı sistemlerin http://windowsupdate.microsoft.com adresinden bu yamayı yüklenmesi tavsiye edilmektedir. Internete doğrudan bağlı olmayan sistemler için http://support.microsoft.com/kb/960714 adresinden yamaların indirilerek sistemlere uygulanması tavsiye edilmektedir. 4.2 Başka web tarayıcılarının kullanılmasıBu açıklığın olmadığı bir tarayıcının kullanılması bu saldırıyı nleyecektir. Kullanılabilecek alternatif web tarayıcılardan bazıları Firefox, Opera, Google Chrome, Safari olarak sayılabilir. Bu zellik ve nasıl devreye alınacağı ile ilgili ayrıntılı bilgi http://blogs.msdn.com/michael_howard/archive/2006/12/12/update-on-internet-explorer-7-dep-and-adobe-software.aspx adresinden edinilebilir. 4.4 Saldırı tespit/nleme sistemlerinin güncellenmesiSaldırı Tespit/nleme Sistemlerinin imza veritabanlarını güncelleyerek saldırı ile ilgili imzaların eklenmesi ve saldırıların kurum bünyesine girmeden saldırı nleme sistemleri tarafından engellenmesi. Yayınlanan saldırı kodları için Snort imzaları http://www.emergingthreats.net/cgi-bin/cvsweb. cgi/sigs/CURRENT_EVENTS/CURRENT_IE_0Day adresinden elde edilebilir. Diğer saldırı tespit sistemlerinin yamaları da üretici firmaların sayfalarından edinilebilir. 4.5 Zaafiyeti smüren sitelere erişimin kısıtlanmasıYaygın kullanılan saldırılarda saldırının ikinci aşamasında ele geçirilen sistemin saldırganların web sitelerine bağlanarak zararlı kodların indirilmesi sağlanmaktadır. Güvenlik duvarları gibi sınır koruma bileşenleri üzerinde bu sitelere erişimin engellenmesi Sitelerin listesi http://www.shadowserver.org/wiki/pmwiki. php?n=Calendar.20081210 adresindedir. 4.6 IE8 için databinding zelliğinin devre dışı bırakılması4.7 Internet Explorer için XML island zelliğinin devre dışı bırakılması4.8 OLEDB32. DLL dosyasının unregister edilmesi ya da ACL uygulanmasınot: Araştırma buluntularımdır tahribat ailesinin faydalanması dileğiyle..