Zitat:Ich meinte einen Server wie z.B. den Webserver von Asus, wo man letztendlich seinen Schadcode "nur" zum Beispiel in die Treiber einbauen muß, die der Benutzer sowieso runterladen und installieren will.
Das ist natuerlich der Supergau.
Gottseidank kommt das aber nicht so oft vor.
Ladbare Dateien werden in der Regel ja auf einem dedizierten Dantebank oder Fileserver abgelegt und im WEB Server nur verlinkt.
Will man diesen Dateien einen Trojaner unterschieben muss man zusaetzlich diese Server unter Kontrolle bringen was einiges an zusaetzlichen Aufwand benoetigt.
Ist aber schon passiert.
Soweit ich mich erinnere ist vor einiger Zeit aufgeflogen das sich in einer Linux / Unix Netzwerk Bibliothek ein Backdoor befand. Und das ueber Jahre.
Bei Asus war nur der WEB Server kompromitiert.
Den WEB Seiten wurde ActiveX Code untergeschoben der einige Sicherheitsluecken im IE ausnutzte.
Rein das oeffnen der Ausus WEB Seite brachte diesen Code zur Ausfuehrung. Die ladbaren Dateien waren meines Wissens nicht infiziert.
Nur zur Info wie so ein Hack funzt, und wie weit das gehen kann
#1 Fingerprint der anzugreifenden Domain erstellen
- OS + Patchlevel, WEB Server + Patchlevel + CGI Module etc. in auskunden.
(Geht bei unsauber konfigurierten WEB Servern mit diversen frei erhaeltlichen Tools).
#2 Anhand des Fingerprints nach geeigneten Schwachstellen in den diversen Module (PHP, SQL, Perl, JAVA, ASP) dem WEB Server selber (Apache, IIS, etc) oder dem Host OS (MS, Unix, ,Linux, NetBSD, etc.)
Da fast alles beliebig kombinierbar ist bleiben zig Moeglichkeiten.
Irgendwas findet sich immer.
#3 Anwenden eines Exploits was je nach nutzbarer Schwachstelle andere Moeglichkeiten eroeffnet.
A.
Vollzugriff (Root Rechte am Server) Hauptgewinn!
- installieren eines Rootkits (selbst programmiert) um dauerhaft weiteren Zugriff zu erhalten.
- auskunden der Userverwaltung und der ereichbaren Intranet rechner.
- Fingerprinting der erreichbaren Rechner innerhalb des Intranets.
-> zurueck zu #1 um andere Rechner zu uebernehmen.
Wenn sich Spuren eines Domain Admins in einem uebernommenen Rechner finden lassen dann ist das Intranet vollstaendig infiltriert und alle Dateien + Prozesse sind manipulierbar. (Nichts ist mehr sicher und falls in diesem Intranet Programme entwickelt werden ist es nicht sehr schwierig denen bereits in der Entwicklung Trojaner einzubauen.)
Ebenso kann diese Domain dann als anonymer Endpunkt fuer Botnetze und als Sammelstelle fuer gesniffte Account Daten dienen.
Gottseidank ist die vollstaendige Uebernahme einer Domain eine eher seltene Angelegenheit.
Meisstens faellt es den NetAdmins doch irgendwann auf und die Rechner werden gezielt gesaeubert.
B. Nur auf die Verzeichnisse am Server auf denen derHTML Code liegt kann zugegriffen werden.
- verusch aus diesem Kaefig auszubrechen in dem man versucht seine aktuellen Userrechte auszuweiten.
- Erfolg -> weiter bei A
- kein Erfolg-> Manipulation der gehosteten HTML Seiten um darueber Schadcode auf den aufrufenden Browsern auszufuehren.
-> Verteilt den Schadcode auf alle Rechner die angreifbar sind und auf diese WEB Seiten zugreifen.
Ermoeglicht die Einrichtung von Botnetzen, etc.
Mit etwas Glueck greift auch einer der User des Intranets darauf zu was wiederum die Uebernahme dieses Rechners ermoeglicht.
Von dem aus hat man dann eine zweite Moeglichkeit das Intranet vollstaendig zu infiltrieren was dann wieder zu A. zureuckfuehrt.
Hm.. wieder viel OT.
Aber event. interessierts ja den einen oder anderen.
Suche
Mitglieder
Kalender
Hilfe
)
