Ang mapanganib na mundo ng PDF

En ang mahusay na post na ito na lumabas ngayon sa Follow-Info, ang isa sa huli at pinaka-mapanganib na kahinaan ng mga PDF ay naiulat, na kinukumpirma kung ano ang naitaas namin ang post namin kahapon. Isusulong ko ang moral ng kwento: mas mabuti gamitin ang libreng format na DJVU; mas ligtas ito at lumilikha ng mas maliit, mas mahusay na kalidad na mga file ... hindi lamang ito sinusuportahan ng isang "higanteng" kagaya ng Adobe.

Ang mga araw na ito ay nangyayari sa buong mundo ang gawaing nagawa ni Didier Stevens upang maipatupad ang mga binary mula sa isang PDF document. Ang pamamaraan, kung ginagamit ito Adobe Acrobat Reader, ay nagpapakita ng isang mensahe na maaaring, tulad ng sinabi niya mismo, na bahagyang nabago. Sa FoxItsa laban, walang mensahe ang ipinapakita at ang mga utos ay naisakatuparan nang walang anumang mga alerto.

Ang pamamaraan na ito ay simple, deretso, at samakatuwid ay lubhang mapanganib, kung isasaalang-alang natin na ang format na PDF ay ang paborito ng mga nagsasamantala noong nakaraang taon, na umaabot sa napakataas na antas ng pagsasamantala.

Nakita ito, naalala ko na sa maraming mga artikulo sa Internet, kapag pinag-uusapan nila kung paano pagsamantalahan ang mga kahinaan sa PDF sinasabi nila ang mga bagay tulad ng "Hanapin ang bersyon ng Acrobat na ginagamit nila, kasama ang FOCA, halimbawa" at pagkatapos ay itayo ang pagsasamantala. Ang mahirap na FOCA ay natigil sa mga eggplants na iyon ...

Isang bagay na katulad nito ay ang demo na inihanda namin para sa Araw ng Seguridad, kung saan pinagsamantalahan namin ang isang kahinaan sa Acrobat Reader (kasama ang bersyon 9) upang makakuha ng isang malayuang Shell sa mahina na computer. Ang pinagsamantalahan na kahinaan ay nailarawan bilang CVE-2009-0927 at ang operasyon nito ay nagbibigay-daan upang magpatupad ng anumang utos. Kung mahina ang software, makakakuha ka ng isang mensahe tulad ng nakikita sa sumusunod na imahe:

At ang pagsasamantala na ginagamit namin ay nagre-redirect sa Shell sa isang IP at isang port kung saan itinakda namin ang netcat upang makinig.

Siyempre, sa pinagsamantalahan na makina, tumatakbo ang proseso ng Acrobat Reader, na dumadalo sa mga utos ng Shell.

Nakikita ang panganib ng pagsasamantala sa PDF, nagpasya akong i-upload ito sa VirusTotal, upang makita kung paano kumilos ang mga antivirus engine sa mga pagsasamantalang ito sa mga dokumentong pdf. Lalo na mahalaga na isaalang-alang ang pag-uugali nito kung pinag-uusapan natin ang tungkol sa makina na ginamit sa email manager o sa imbakan ng dokumento, dahil nasa mga teritoryong iyon kung saan maraming mga dokumento sa pdf ang lumilipat. Ang resulta, sa partikular na pagsasamantala na ito, ay hindi masama, ngunit nakakagulat na mayroong pa rin isang mahusay na bilang ng mga engine na hindi nakita ito, ngunit ang porsyento ay hindi umabot sa 50% at, ang ilan sa mga ito, na kapansin-pansin bilang Kaspersky, McAffe o Fortinet.

Bilang isang pag-usisa, naisip ko na gumamit ng isang file packer upang makabuo ng maipapatupad, katulad ng aming mahal redbinder ng Thor, ngunit may mas kaunting mga pagpapaandar na tinawag Jiji at meron nakikita sa Cyberhades, upang makita kung ano ang ginawa ng mga antimalware engine nang inilagay namin ang pagsasamantala ng pdf sa loob ng isang pakete na may isang exe extension.

Ang bagong naisakatuparan na ito, kung tatakbo, ay naglulunsad ng dokumento gamit ang pagsasamantala sa pdf. Ang mga kahalili na pumasok sa aking isipan ay: A) tinatanggal nila ito at ang mga tao bago ito tuklasin at B) Dumiretso sila upang tuklasin kung ano ang nasa loob at nilagdaan ang packer. Gayunpaman, nakakagulat ang resulta.

2 lamang sa 42 ang nakakita dito, 1 bilang kahina-hinala at VirusBuster lang ang nakakaalam ng format, at kinuha ang problema, upang maibawas ang nilalaman upang i-scan ito.

Matapos makita ito, tila totoong tama sa akin na isinasaalang-alang ng Microsoft at Adobe ang pag-update ng software sa pamamagitan ng Windows Update at binuksan ng Microsoft ang platform ng Windows Update Services upang isama ang iba pang mga solusyon tulad ng Windows Update agent Secunia CSI, na gumagana sa System Center Configuration Manager at WSUS.

Makinig ka sa akin ng mas mabuti gamitin ang libreng format na DJVU- ay mas ligtas at lumilikha ng mas maliit, mas mahusay na mga file na kalidad.

Fuente: Follow-Info