Windows все еще содержит 18-летнюю SMB-уязвимость dl // 14.04.15 00:47
Исследователи из Cylance обнаружили уязвимость по всех версиях Windows вплоть до десятой, являющуюся развитием атаки Redirect to SMB , обнародованной еще в 1997 году. [Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2015/04/03.html] Идея заключается в том, чтобы принудительно соединиться с вредоносным SMB-сервером, используя логин/пароль текущего пользователя. Выяснилось, что по крайней мере четыре функции Windows API (URLDownloadToFile, URLDownloadToCacheFile, URLOpenStream, URLOpenBlockingStream) способны переключаться с http/https-соединения на smb при использовании url вида "file://1.1.1.1".
Потенциальную угрозу представляют все приложения, использующие эти функции. В их число входят как минимум AVG Free, Internet Explorer, Windows Media Player, BitDefender Free, TeamViewer, и Github for Windows.
А-а-а, потом злонамеренный SMB сервак, получив креденциалы, стучится с ними обратно на комп жертвы, так же по SMB?14.04.15 13:48 Автор: HandleX <Александр М.> Статус: The Elderman Отредактировано 14.04.15 13:49 Количество правок: 1
Совсем не обязательно.
Злобнуй SMB "сервак", с помощью креденциалов пользователя, может стучаться к целевому серваку и прозрачно возвращать с него пользователю информацию по запросу, модифицируя (инфицируя) содержимое файлов. Некое подобие MITM атаки.
«Модифицируя содержимое файлов» — по вендовозному протоколу SMB?14.04.15 18:20 Автор: HandleX <Александр М.> Статус: The Elderman
Тебя смущает, что злобнуй SMB "сервер" может кэшировать информацию с сервера-источника и предоставлять эту информацию по запросу пользователя, но в измененном виде?
Меня смущает, что ты не слышишь моего вопроса. Ты и сейчас на него не ответил. Я прямо спросил — лезет обратно по SMB, да/нет? ;)15.04.15 13:59 Автор: HandleX <Александр М.> Статус: The Elderman Отредактировано 15.04.15 14:00 Количество правок: 1
Мы же про SMB говорим? Значит да - по SMB!
Только в это раз я не понял, к чему именно относится слово "обратно".
Если злонамеренный хост получает креденциалы откуда-то, какое направление будет для атаки? Не к себе же он полезет ))21.04.15 21:49 Автор: HandleX <Александр М.> Статус: The Elderman
Это смотря как организована атака. Если MITM - одно, если ARP spoofing - немного иначе. В обоих случаях, при использовании RAW сокетов это вполне реально.