tamadon

سلام

باز هم مایکروسافت اما این بار توسط خودش!

متاسفانه تا الان که دارم این مطلب رو می نویسم -با وجود تلاش های شبانه روزیم!- هنوز نتونستم این آسیب پذیری رو به صورت عملی پیاده سازی کنم  اما امیدوارم به زودی بتونم به نتیجه برسم و این مطلب رو هم آپدیت کنم... بنابراین فعلا این مطلب یک خبر است و مثل همیشه سعی می کنم که اخبار رو به صورت خلاصه بگم.

معرفی آسیب پذیری

این آسیب پذیری با نام های CVE-2014-6321 و MS14-066 هم شناخته می شود و حمله ی آن به وسیله ی کانال امن ویندوز یا SChannel  صورت می پذیرد. کشف این آسیب پذیری توسط خود مایکروسافت صورت گرفته و وصله ی این آسیب پذیری در تاریخ ۲۰ آبان ۱۳۹۳ (یا ۱۱ نوامبر ۲۰۱۴) منتشر شد. دوستان هکر و مهندسی معکوس بعد از پیدا کردن تغییرات موجود در بسته های بروزرسانی، روی آن کار کردند و کاشف به عمل اومد که این آسیب پذیری یکی از بی نظیرترین باگ های مایکروسافته که به شدت می تونه امنیت سرورهای ویندوزی رو به چالش بکشه. اما چرا؟ چون:

۱) به وسیله ی این آسیب پذیری می توان از راه دور و بدون هیچ اعتبارسنجی اولیه ای روی سرور کدهای مخرب را اجرا کرد.
۲) این آسیب پذیری روی تمام نسخه های زیر از ویندوز قابل اکسپلوییت است:

Microsoft Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1

تمام برنامه هایی که در ساخت آن ها SSL/TLS وجود داره از SChannel استفاده می کنند. مثل IIS، Active Directory، OWA، Exchange، Internet Explorer و Windows Update. پس در یک صورت امکان داره که سرور وصله نشده ی شما هک نشه و اون هم اینه که هیچ کدوم از این سرویس ها رو نداشته باشید و یا از لینوکس استفاده کنید

مقایسه با خونریزی قلبی (Heartbleed)

در بعضی از وبلاگ ها نوشتند که این آسیب پذیری نسخه ی بعدی خونریزی قلبی است و به نوعی همزاده اونه اما تا به صورت عملی پیاده سازی نکنم نمی تونم در این مورد حرفی بزنم. در حال حاضر حداقل اینو می شه گفت که پیاده سازی اون به آسانی خونریزی قلبی نیست. البته فعلا!

نمایش آسیب پذیری

فقط همین دوتا رو پیدا کردم

فیلم شماره ۱ (با استفاده از RDP) و فیلم شماره ۲ (با استفاده از IIS) از کانال Code And Security در یوتویوب که با استفاده از این آسیب پذیری باعث کرش و فروپاشی میشه.
فایل PoC این آسیب پذیری از شرکت Immunity Inc که البته برای کاربران خودشونه و عمومی نیست. + دموی اول با استفاده از RDP و دموی دوم با استفاده از IIS

منابع استفاده شده و وابسته: