Oddaljeni BSOD @ Slo-Tech

Novice » Varnost »
Oddaljeni BSOD

Oddaljeni BSOD

Primož Resman :: 8. sep 2009 ob 19:53
Varnost

CNet - CNET poroča o varnostni napaki, ki lahko napadalcu omogoči sesutje računalnika, na katerem teče Windows Vista oz. Windows 7, ter morda tudi na Windows Server 2008. Ker se napaka nahaja v Server Message Block 2 gonilniku, ki je v uporabo stopil šele z Windows Vista, starejši sistemi (npr. Windows XP, 2000) z napadom nimajo težav.

Gonilnik SMB2.SYS se sesuje in povzroči ponoven zagon sistema (oz. moder zaslon smrti, BSOD), če dobi popravljen header, ki zahteva vzpostavitev protokola. Napako je našel Lauernt Gaffié, ki je tudi že kontaktiral Microsoft. Uradnega popravka za varnostno luknjo, za katero komentarji na Gaffiéjevem blogu pravijo, da bi lahko omogočala tudi izvajanje zle kode, zaenkrat še ni, torej je rešitev onesposabljanje SMB2 protokola in z njim povezanih vrat.

35 komentarjev

bluefish :: 8. sep 2009, 19:59

Malo več bi bilo lahko napisano o tem, kaj to pomeni za običajnega uporabnika. Verjetno nič?

c00L3r :: 8. sep 2009, 20:10

Computer security publication "The H" wrote on Tuesday that its German sister publication had tested the proof-of-concept code, and that while the exploit had caused a reboot on Vista, the exploit had not worked on Windows 7.

Dejansko deluje samo na Visti. Na Windows 7 ne. Neve, sicer zakaj niso še na 2008 server preizkusili.

Matevžk :: 8. sep 2009, 20:15

Ker je testiranje drago: najprej je treba kupiti OS ...

lp, Matevžk

Xion :: 8. sep 2009, 20:35

2008 server umre, Win 7 obe verziji (32 in 64 bit) preživi

Zgodovina sprememb…

spremenilo: Xion (8. sep 2009 ob 20:40)

MrStein :: 8. sep 2009, 20:47

Win 2008 lahko dobiš zastonj pri MS. Vsaj nazadnje ko sem gledal je bilo tako.

torej je rešitev onesposabljanje SMB2 protokola in z njim povezanih vrat.

So kaki detajli glede tega?
Razen če se misli, da pustiš da dalje laufa, gor pa en firewall pokneš.

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

ABX :: 8. sep 2009, 20:52

Zadeva lahko dela samo v LAN-u. Koliko pa ima smisla firewall znotraj LAN-a pa je druga debata.

No, za zmagat na kakšnem LAN party zna pridet prav. :)

Vaša inštalacija je uspešno spodletela!

Zgodovina sprememb…

spremenilo: ABX (8. sep 2009 ob 20:53)

denial :: 8. sep 2009, 21:11

SMB of Death :) Zadeva izgleda precej hudo. RCE je sicer mogoč vendar nič kaj enostaven. Metasploit trenutno ponuja le DoS/PoC.

Kaj to pomeni za navadne uporabnike? Ni panike če imaš firewall, ki blokira SMB na WAN segmentu (default). Mimogrede, tudi mnogi slovenski ISP-ji blokirajo TCP/UDP 445 promet na svojih routerjih.

Večja težava je pri LAN-ih, kjer je v Windows okolju SMB temeljni protokol. Vendar je tudi v tem primeru za uspešen DoS/BSoD potrebno omogočiti File sharing (default = off).

BSoD je potrjen na Visti/Server 2008. Zadeva naj bi delovala tudi na Server 2003 in Win7. Testiral sem Server 2003 R2 SP2 vendar je bilo "no go". Res pa gre za DC.

Lahko kdo poskusi (na lastno odgovornost) na Win7 ali Server 2003? Tukaj je PoC (python) + win binaries (4MB):
KLIK

PS:
MSFT trdi da zadeva ne deluje na Win7 RTM temveč le na Win7 Beta. Lahko kdo potrdi?

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

spremenil: denial (8. sep 2009 ob 21:26)

Spc :: 8. sep 2009, 22:09

In po takšni napaki si ms še vedno upa povedat, da je vista bolj varna od XPjev. :)

darkolord :: 8. sep 2009, 22:24

Lahko kdo poskusi (na lastno odgovornost) na Win7 ali Server 2003?

Na 7 (RTM x86) mi ne uspe. Reče "It's done.", na drugi strani pa se nič ne zgodi.

Edit: na 2008 deluje. Seveda le prek LANa

Zgodovina sprememb…

spremenilo: darkolord (8. sep 2009 ob 23:02)

SasoS :: 8. sep 2009, 22:36

Nuke...jeeee. Spomnim se kako so mašine padale pri računalništvu, zakaj pa mi zdaj ne pride več na irc...lol

Drugače pa super ja, zato imam DC jaz na sambi. Superduper novi win2008 ti neko znuka, 5 točk za M$...

jan01 :: 8. sep 2009, 22:36

Deluje tudi na win 2008 r2?

peachkovit :: 8. sep 2009, 22:45

Poskusil nukat Win7 v vmwareu in nena gre.

* Firewall in UAC onemogočena
* File And Printer sharing v lastnostih mrežne omogočen

Celo Homegroup sem naredu in joinu nanga obe mašini. Izgleda da Win7 niso ranljivi. Al pa jaz kaj narobe delam :)

denial :: 8. sep 2009, 22:59

Windows Server 2003 not vuln. Kdor testira na Win7 naj prosim navede različico/build ter arhitekturo (32/64).

Avanture željni uporabniki Win7 naj PidHigh v PoC kodi zamenjajo z vrednostjo \x00\x31 ali \x00\x01 ali \x00\x02 in poskusijo srečo :)

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

spremenil: denial (8. sep 2009 ob 23:17)

Spc :: 9. sep 2009, 03:00

Windows Server 2003 not vuln

That's why we love Server 2003 :)

Looooooka :: 9. sep 2009, 09:17

na Windows 7 kokr vidm NE deluje...dela pa na Windows 2008.In fact...ce posljes paket prek Wippiena xy klientu in mas jabber server na windows 2008...BSODA server...klient nekak ne.
Na lokalni mrezi nisem probal.

WhiteAngel :: 9. sep 2009, 09:32

Stvar je zoprna le za podjetja in ustanove, kjer je veliko LAN uporabnikov (npr. bolnišnice) in kje kakšen port za vštekat prost. No, v Slo taka okolja itak še vsa uporaljajo XP.

fm13 :: 9. sep 2009, 09:44

Microsoft Security Advisory 975497 Released

denial :: 9. sep 2009, 09:52

MSFT security advisory: KLIK

Check affected and non-affected software section: KLIK

HDMoore (Metasploit) pa takole odgovarja na vprašanje ali je RCE sploh izvedljiv:

"Da, je izvedljiv, vendar hudo zajeban. Recimo da obstaja 65,535 vrat in le ena izmed njih mogoče vodijo na pravo mesto."

Kaj bomo prej ugledali: RCE exploit ali patch :)

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

spremenil: denial (9. sep 2009 ob 09:56)

jype :: 9. sep 2009, 10:07

Če je rekel, da je izvedljiv, potem ga že drži v rokah.

denial :: 9. sep 2009, 10:14

@jype:
Nak. Če bi HDM exploit že imel bi ga tudi objavil. Vsekakor pa intenzivno dela na njemu :)

SELECT finger FROM hand WHERE id=3;

denial :: 9. sep 2009, 10:29

@Looooooka
Če prav razumem ti je Server 2008 uspelo sesuti preko WAN-a?! Lahko nekoliko bolj podrobno opišeš postopek, zadeva zveni nadvse zanimivo.

EDIT:
Ah, I see, Wippien... VPN. Praviš da ne BSoD-a tarčo kateri si poslal SMB of Death paketek temveč čist neko drugo mašino?

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

spremenil: denial (9. sep 2009 ob 10:40)

bluefish :: 9. sep 2009, 11:19

Pri Windows 7 so ogrožene le verzije pred RTM: http://www.neowin.net/news/software/09/...

denial :: 14. sep 2009, 21:17

Working code execution exploit released. Local only (for now).

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

spremenil: denial (14. sep 2009 ob 21:31)

denial :: 16. sep 2009, 00:33

R E M O T E

MSFT namerava ASAP objaviti OOB patch.

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

spremenil: denial (16. sep 2009 ob 00:33)

c00L3r :: 16. sep 2009, 08:15

denial, ne govorimo vsi špansko.

OmegaBlue :: 16. sep 2009, 08:42

Pomeni, da je luknja, ki je prej omogočala samo remote BSOD sedaj zmožna pognati kodo na oddaljeni mašini (virus, whatever). In MS hiti da bo čimprej izdal popravek.

Lahko si za silo pomagaš s google translate.

Never attribute to malice that which can be adequately explained by stupidity.

Zgodovina sprememb…

spremenil: OmegaBlue (16. sep 2009 ob 08:42)

pecorin :: 16. sep 2009, 10:33

denial, ne govorimo vsi špansko.

ni problema, ker je napisano v francoscini

c00L3r :: 16. sep 2009, 12:14

denial, ne govorimo vsi špansko.

ni problema, ker je napisano v francoscini

Odlično

Zdaj sem se izdal da ne znam ne špansko, ne francosko.

denial :: 29. sep 2009, 11:32

Metasploit released SMB2 module. Impact limited to LAN.

PATCH:
NONE

MITIGATION:
Disable SMB2

SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

zavarovalo slike: gzibret (29. sep 2009 ob 12:36)

ABX :: 29. sep 2009, 11:59

Nevarnost bo postala realna če bo ta exploit integriral kak virus.

P.S: Komaj čakam da bo windows v avtih. Te ne spusti mimo? Ni panike, BSOD. :)

Vaša inštalacija je uspešno spodletela!

Zgodovina sprememb…

spremenilo: ABX (29. sep 2009 ob 12:02)

OmegaBlue :: 29. sep 2009, 12:23

Windows je že v avtomobilih, na srečo nima veze z upravljanjem.

Never attribute to malice that which can be adequately explained by stupidity.

ABX :: 29. sep 2009, 14:14

Windows je že v avtomobilih, na srečo nima veze z upravljanjem.

Čaki da se razširi USB in Internet podpora, potem bo štala.

Vaša inštalacija je uspešno spodletela!

OmegaBlue :: 29. sep 2009, 14:18

Tudi to je že vse, samo stika z upravljanjem samega vozila nima veze.

Never attribute to malice that which can be adequately explained by stupidity.

ABX :: 29. sep 2009, 14:38

Tudi to je že vse, samo stika z upravljanjem samega vozila nima veze.

Ne še. Pa na ker je to prav, ampak vemo kako to konča.

Vaša inštalacija je uspešno spodletela!

PrimozR :: 29. sep 2009, 16:49

Windows je že v avtomobilih, na srečo nima veze z upravljanjem.

Dej raje razmišljaj kako pohekat to ;)

Vredno ogleda ...

	Tema	Sporočila	Ogledi	Zadnje sporočilo
	Tema	Sporočila	Ogledi	Zadnje sporočilo
»	SMB povezava Winows 10 s Synology NAS poweroff Oddelek: Operacijski sistemi	32	3349 (2615)	dukedl 30. maj 2018 19:25:32
»	Ali je Windows 7 zaščiten pred Wanna Cry virusom? Branimir Oddelek: Operacijski sistemi	7	2046 (1725)	MrStein 21. maj 2017 18:03:12
»	Ubuntu mreženje mujo123 Oddelek: Operacijski sistemi	11	1901 (1589)	b3D_950 17. avg 2013 18:57:58
»	Oddaljeni BSOD PrimozR Oddelek: Novice / Varnost	35	5055 (2942)	PrimozR 29. sep 2009 16:49:38
»	SMBus oziroma I2C bus konektorji na maticni..? celica Oddelek: Pomoč in nasveti	6	1017 (917)	TESKAn 11. mar 2002 11:12:20

Več podobnih tem

Novice » Varnost » Oddaljeni BSOD

Oddaljeni BSOD

bluefish :: 8. sep 2009, 19:59

c00L3r :: 8. sep 2009, 20:10

Matevžk :: 8. sep 2009, 20:15

Xion :: 8. sep 2009, 20:35

MrStein :: 8. sep 2009, 20:47

ABX :: 8. sep 2009, 20:52

denial :: 8. sep 2009, 21:11

Spc :: 8. sep 2009, 22:09

darkolord :: 8. sep 2009, 22:24

SasoS :: 8. sep 2009, 22:36

jan01 :: 8. sep 2009, 22:36

peachkovit :: 8. sep 2009, 22:45

denial :: 8. sep 2009, 22:59

Spc :: 9. sep 2009, 03:00

Looooooka :: 9. sep 2009, 09:17

WhiteAngel :: 9. sep 2009, 09:32

fm13 :: 9. sep 2009, 09:44

denial :: 9. sep 2009, 09:52

jype :: 9. sep 2009, 10:07

denial :: 9. sep 2009, 10:14

denial :: 9. sep 2009, 10:29

bluefish :: 9. sep 2009, 11:19

denial :: 14. sep 2009, 21:17

denial :: 16. sep 2009, 00:33

c00L3r :: 16. sep 2009, 08:15

OmegaBlue :: 16. sep 2009, 08:42

pecorin :: 16. sep 2009, 10:33

c00L3r :: 16. sep 2009, 12:14

denial :: 29. sep 2009, 11:32

ABX :: 29. sep 2009, 11:59

OmegaBlue :: 29. sep 2009, 12:23

ABX :: 29. sep 2009, 14:14

OmegaBlue :: 29. sep 2009, 14:18

ABX :: 29. sep 2009, 14:38

PrimozR :: 29. sep 2009, 16:49

Vredno ogleda ...

Novice » Varnost »
Oddaljeni BSOD