搜索

[9464] 2015-10-23_新痛点：APT组织PawnStorm0Day如何绕过Java点击播放保护

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-10-23_新痛点：APT组织PawnStorm0Day如何绕过Java点击播放保护 新 痛 点 ： A P T 组 织 P a w n S t o r m   0 D a y 如 何 绕 过 J a v a 点 击 播 放 保 护 F r e e B u f   2 0 1 5 - 1 0 - 2 3 几 个 月 以 前 ， 趋 势 科 技 发 现 了 几 个 月 以 前 ， 趋 势 科 技 发 现 了 A P T 组 织 组 织 P a w n   S t o r m 利 用 之 前 未 经 披 露 的 利 用 之 前 未 经 披 露 的 J a v a 漏 洞 （ 漏 洞 （ C V E - 2 0 1 5 - 2 5 9 0 ） 进 行 攻 击 。 在 那 ） 进 行 攻 击 。 在 那 之 后 ， 我 们 注 意 到 一 个 被 用 于 染 过 之 后 ， 我 们 注 意 到 一 个 被 用 于 染 过 J a v a 点 击 播 放 （ 点 击 播 放 （ c l i c k - t o - p l a y ） 保 护 的 独 立 漏 洞 。 ） 保 护 的 独 立 漏 洞 。 第 二 个 漏 洞 （ C V E - 2 0 1 5 - 4 9 0 2 ） 现 在 已 经 在 O r a c l e 定 期 的 季 度 更 新 中 被 修 复 ， 并 将 此 归 功 于 趋 势 科 技 的 发 现 。 F r e e B u f 百 科 百 科 : C l i c k - t o - p l a y C l i c k - t o - p l a y 要 求 用 户 在 J a v a 应 用 程 序 执 行 之 前 ， 在 空 白 处 单 击 一 下 。 实 际 上 ， 它 要 求 用 户 只 有 在 十 分 确 定 需 要 运 行 J a v a 代 码 的 情 况 下 才 会 运 行 。 绕 过 c l i c k - t o - p l a y 保 护 技 术 允 许 恶 意 J a v a 代 码 在 没 有 显 示 任 何 警 告 窗 口 的 情 况 下 运 行 。 P a w n   S t o r m 对 于 这 一 手 段 运 用 得 炉 火 纯 青 ， 因 为 它 在 今 年 年 初 针 对 北 约 成 员 以 及 白 宫 进 行 的 攻 击 中 利 用 了 这 些 漏 洞 的 e x p 。 P a w n   S t o r m 本 身 就 以 超 高 频 率 运 用 着 0 d a y 漏 洞 ： 上 个 星 期 ， 就 被 发 现 使 用 了 未 补 丁 的 A d o b e   F l a s h 漏 洞 实 施 攻 击 （ 这 个 漏 洞 已 被 A d o b e 修 复 ） 。 O r a c l e 在 我 们 报 告 这 个 漏 洞 时 就 承 认 了 漏 洞 的 存 在 。 用 于 绕 过 这 种 保 护 的 方 式 很 巧 妙 ， 在 我 们 讨 论 漏 洞 之 前 ， 有 必 要 先 对 背 景 信 息 进 行 一 下 梳 理 。 相 关 背 景 介 绍 相 关 背 景 介 绍 O r a c l e 为 应 用 程 序 在 用 户 桌 面 启 动 提 供 了 J a v a 网 络 启 动 协 议 J a v a   N e t w o r k   L a u n c h   P r o t o c o l （ J N L P ） 技 术 ， 允 许 调 用 远 程 W e b 服 务 器 托 管 的 资 源 。 它 可 以 用 于 部 署 一 个 应 用 程 序 或 者 W e b   S t a r t 应 用 程 序 。 在 攻 击 场 景 中 ， 使 用 J N L P 部 署 应 用 程 序 。 J a v a 提 供 了 一 个 目 录 服 务 ， 允 许 J a v a 软 件 用 户 通 过 一 个 名 字 来 发 现 与 查 找 目 标 。 这 就 是 所 谓 的 J a v a 命 名 与 目 录 接 口 （ J N D I ） ， J a v a 命 名 与 目 录 接 口 。 这 个 机 制 是 J a v a 远 程 过 程 调 用 的 基 础 ， 又 名 远 程 方 法 调 用 （ R M I ） 。 J N D I 与 这 个 e x p 相 关 的 一 些 基 础 概 念 ， 如 下 所 示 ： ·   C o n t e x t — — 一 组 n a m e - t o - o b j e c t 绑 定 。 换 句 话 说 ， C o n t e x t 对 象 能 够 解 决 名 字 与 对 象 间 一 一 对 应 。 对 象 包 含 几 种 类 型 ； 其 中 R e g i s t r y C o n t e x t 便 是 这 些 类 型 之 一 。 ·   C o n t e x t F a c t o r y — — 这 可 以 创 建 一 个 用 于 调 用 的 C o n t e x t 对 象 。 R e g i s t e r C o n t e x t F a c t o r y 则 是 用 来 创 建 C o n t e x t F a c t o r y 对 象 的 。 E X P 的 工 作 原 理 的 工 作 原 理
图 1 .   如 何 绕 过 c l i c k - t o - p l a y 攻 击 者 在 攻 击 前 需 要 完 成 三 个 任 务 ： 攻 击 者 在 攻 击 前 需 要 完 成 三 个 任 务 ： 1 、 将 图 2 中 的 H T M L 代 码 添 加 到 一 个 恶 意 网 站 ； 2 、 创 建 一 个 具 备 公 共 I P 地 址 的 R M I 注 册 服 务 器 ； 3 、 创 建 另 一 个 同 样 具 有 公 共 I P 地 址 的 w e b 服 务 器 ， 用 来 保 存 恶 意 J a v a 代 码 。 图 2 .   插 入 恶 意 网 站 的 H T M L 代 码 攻 击 究 竟 是 如 何 进 行 的 ？ 攻 击 究 竟 是 如 何 进 行 的 ？ 1 、 在 受 害 者 机 器 上 ， j p 2 l a u n c h e r . e x e 进 程 是 由 w e b 浏 览 器 进 程 f o r k e 而 来 ， 并 且 从 恶 意 网 络 服 务 器 上 请 求 i n i t . j n l p 。 以 上 操 作 都 是 使 用 图 片 二 中 的 H T M L 代 码 完 成 的 （ . j n l p 是 使 用 J N L P 技 术 启 动 J a v a 代 码 的 后 缀 ） 。 2 、 恶 意 网 站 发 送 回 i n i t . j n l p ， 现 在 再 来 看 一 下 文 件 的 内 容 ： 图 3 .   I n i t . j n l p 内 容 红 色 圈 中 的 内 容 并 不 寻 常 。 进 程 级 的 标 签 含 义 可 从 J a v a 开 发 人 员 指 南 中 找 到 。 这 类 应 该 可 以 实 现 J a v a 接 口 D o w n l o a d S e r v i c e L i s t e n e r 。 但 是 ， 攻 击 者 使 用 j a v a x . n a m i n g . I n i t i a l C o n t e x t 。 然 而 ， J R E 并 不 能 用 于 检 测 并 让 代 码 执 行 。 3 、 J a v a 类 J a v a x . n a m i n g . I n i t i a l C o n t e x t 的 构 造 函 数 要 从 恶 意 网 站 请 求 应 用 程 序 的 J N D I . p r o p e r t i e s （ 即 J N D I 配 置 文 件 ） 。 4 、 恶 意 网 站 服 务 器 发 送 J N D I . p r o p e r t i e s 到 客 户 端 。 下 面 让 我 们 来 看 看 这 个 文 件 的 内 容 ： 图 4 .   J N D I . p r o p e r t i e s 内 容 J a v a . n a m i n g . f a c t o r y . i n t i a l   指 定 了 初 始 c o n t e x t   f a c t o r y 类 。   j a v a . n a m i n g . p r o v i d e r . u r l 指 定 目 录 服 务 器 提 供 者 的 地 址 为 . j a v a x . n a m i n g 。 I n i t i a l C o n t e x t 的 构 造 函 数 会 创 建 c o m . s u n . j n d i . r m i . r e g i s t r y . R e g i s t r y C o n t e x t F a c t o r y 对 象 ， 并 使 用 它 来 创 建 初 始 上 下 文 。 5 、 在 创 建 初 始 上 下 文 期 间 ， 它 会 与 R M I 注 册 服 务 器 沟 通 来 获 取 上 下 文 信 息 。 在 图 4 中 ， 这 个 j a v a . n a m i n g . p r o v i d e r . u r l = r m i : / / { 恶 意 服 务 器 } / G o 。 这 个 U R L 使 用 了 以 下 格 式 ： / / [ 主 机 ] / [ 对 象 ] 。 因 此 ， [ 对 象 ] 是 G o 。 这 便 会 允 许 客 户 端 找 到 E M I 服 务 器 上 的 对 象 信 息 。 6 、 R M I 服 务 器 送 还 它 的 回 复 并 允 许 客 户 端 通 过 H T T P 服 务 器 从 恶 意 J a v a 类 请 求 G o . c l a s s 。 7 、 服 务 器 发 送 G o . c l a s s 内 容 给 客 户 端 。 J a v a 类 中 的 代 码 在 目 标 机 器 上 运 行 的 。
步 骤 3 - 7 将 在 j a v a x . n a m i n g . I n i t i a l C o n t e x t 的 构 造 函 数 内 进 行 ， 这 不 失 为 一 个 相 当 聪 明 的 绕 过 c l i c k - t o - p l a y 保 护 方 式 。 这 里 我 们 强 调 了 用 于 复 杂 系 统 例 如 J a v a 中 安 全 保 护 特 性 （ 例 如 c l i c k - t o - p l a y ） 的 重 要 性 ， 对 于 已 存 在 新 特 点 进 行 审 计 是 个 必 要 过 程 。 这 确 保 了 “ 优 秀 ” 功 能 和 安 全 性 都 不 会 丧 失 。 如 果 J a v a 仍 能 继 续 被 广 泛 使 用 ， 绕 过 c l i c k - t o - p l a y 保 护 的 意 义 将 是 深 远 的 。 任 何 偶 然 发 现 的 0 d a y 漏 洞 都 将 会 利 用 。 这 个 特 殊 漏 洞 已 经 在 最 新 的 J a v a 版 本 中 获 得 了 修 复 。 用 户 应 该 尽 快 下 载 最 新 版 本 J a v a ， 尽 管 在 一 些 情 况 下 J a v a 已 经 被 慢 慢 淘 汰 。 依 赖 J a v a 的 机 构 应 该 考 虑 是 否 。 威 胁 指 标 威 胁 指 标 I O C J N L P 文 件 用 于 启 动 这 一 e x p 链 的 S H A 1 值 为 ： 3 8 F 6 4 3 B 4 8 B 3 5 B 7 6 5 3 2 6 C E E 6 A 1 D 1 6 E 1 C 3 5 D C A 9 3 F D 。 * 参 考 来 源 ： 趋 势 科 技 ， 作 者 / J a c k   T a n g ， 编 译 / 哆 啦 A 梦 ， 转 载 请 注 明 来 自 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理