Дисней, порно и XSS

Межсайтовый скриптинг (cross-site scripting, XSS) продолжает оставаться первейшей угрозой для сайтов и сегодня. Уязвимости XSS проявляются в тот момент, когда сайт разрешает посторонним размещать, просматривать и выполнять команды собственных сценариев.

Зачастую такие уязвимости остаются разработчиками незамеченными. Иногда достаточно даже предоставления пользователям возможности оставлять свои комментарии (если сайт позволяет размещать, просматривать и выполнять в этих комментариях команды скриптов). Злоумышленник пишет вредоносный сценарий, который затем выполняется другими посетителями сайта.
Когда меня спрашивают, почему следует опасаться атак межсайтового скриптинга, я обычно рассказываю примечательную историю о чудесной неделе хакерских упражнений, одним из эпизодов которой и стало выявление XSS-уязвимости.
В то время я работал в довольно известной компании, занимавшейся вопросами компьютерной безопасности. И вот как-то раз от одного крупного оператора кабельного телевидения поступил заказ на изучение возможности взлома устройства IP TV. Наша задача заключалась в поиске уязвимостей телевизионной приставки, и особенно тех из них, которые могли привести к получению бесплатного доступа к эротическим каналам, размещению порно, скажем, на канале Disney, а также к утечке конфиденциальной информации клиента или компании.
Мне и двум моим коллегам выделили специальное помещение в одном из удаленных филиалов кабельного оператора. Атака наша была направлена на два телевизора, два кабельных модема и две телевизионных приставки. Мы подключились к широкополосному кабельному каналу таким образом, чтобы никакой разницы между нами и обычными клиентами заметно не было. После этого на одном телевизоре включили порноканал, а на другом канал Disney.

Изображение - yaokino

Трое парней сидели в комнате, занимались всякими хакерскими штучками, смотрели порно и получали за это деньги – жизнь была прекрасна. Единственное, чего нам не хватало – это пива. Уже вскоре с помощью сканера портов я обнаружил веб-сервер, работавший на одном из верхних портов TCP, где-то в районе порта 5390. Запустив программу Nikto, которая ищет уязвимости в Web, я получил несколько ложных срабатываний. Выяснилось также, что работал веб-сервер, о котором я никогда даже не слышал. Небольшое исследование показало, что речь идет о веб-сервере с открытым кодом, поддержка которого прекратилась почти десять лет назад.
Меня заинтересовало, ликвидированы ли на этом сервере уязвимости, которые широко эксплуатировались лет десять тому назад. Предположение оказалось верным. Мне удалось получить доступ к телевизионной приставке путем простой атаки. Получив права суперпользователя root, я одновременно получил полный контроль над устройством. Приставка работала под управлением какой-то старой версии BSD, которая просто кишела уязвимостями. Прошло еще немного времени, и мы подключились к порноканалу, заполучили номера кредитных карт и переключили канал Disney на канал, по которому демонстрировалось порно. Буквально за несколько часов все поставленные задачи были решены.
Через несколько дней я узнал, что сведения о моей успешной атаке путем обхода каталога дошли до директора компании по безопасности и других представителей высшего руководства. Меня пригласили на беседу, затребовав предварительно официальный письменный отчет. На эту встречу прилетели многие важные шишки. Поинтересовавшись, с чем связан такой переполох, я узнал, что тот же самый веб-сервер и прочее программное обеспечение установлены на миллионах телевизионных приставок по всему миру. Просканировав выявленный TCP-порт в Интернете, я нашел десятки тысяч устройств, которые только и ждали, пока кто-нибудь подключится к ним и предпримет попытку взлома.
И это было еще не все – по крайней мере, для нашей хакерской команды. В ходе атаки на приставку мы обнаружили HTML-журнал межсетевого экрана, свидетельствующий о наличии уязвимости XSS. После перехода на отладочный уровень стало ясно, что в журнал записывалось содержимое всех веб-пакетов. Отправив туда пакет с вредоносным кодом JavaScript, мы с чистой совестью набрали номер службы технической поддержки оператора кабельного телевидения.
Представившись обычным клиентом, мы пожаловались на то, что кто-то атаковал нашу телевизионную приставку и попросили технических специалистов взглянуть на журнал межсетевого экрана устройства. Через несколько минут специалист службы технической поддержки открыл файл под своим паролем. В процессе исполнения наш вредоносный пакет JavaScript инициировал поиск всех конфигурационных файлов и паролей, после чего отправил найденную информацию нам. В момент просмотра техническим специалистом журнала был запущен сценарий XSS, и мы узнали пароль пользователя root. Вся процедура взлома заняла не более шести часов. Менее чем за день мы получили полный контроль над приставкой и выставили в весьма неприглядном свете целую компанию.
О вмешательстве ?6?