utok pres ssh

[Pavol Luptak]

Pavel Kankovsky wrote:

> On Wed, 16 Jan 2002, Ing. Pavel PaJaSoft Janousek wrote:
> 
> 
>>odhalit verzi SSH daemona na strane serveru... - je zajimave, ze
>>diskutovany problem s CRC32 se tyka ssh az do verze 1.2.31 (vcetne), ja
>>jsem behal 1.2.30 a vyhli se mi obloukem... - zrejme se jedna jeste o
>>dalsi chybu, kterou vyuzivaji nastroje, ale chyba neni oficialne
>>popsana, jinak si nedovedu predstavit, proc by se zrovna na 1.2.27 meli
>>zastavit... Vi nekdo vice? (stravil jsem nad problematikou 3 dny,
>>nacerpal spoustu informaci, ale tohle jsem nenasel)
>>
> 
> Skutecne zneuziti te chyby vyzaduje znalosti asi 4 az 5 konstant, ktere
> zavisi na pouzite verzi sshd, zpusobu, jakym je zkompilovana, dost mozna
> i na verzi (g)libc, na fazi Mesice a dalsich podobnych parametrech.
> Viz http://www.securityfocus.com/archive/1/164133.
> 
> Bohuzel jsem jeste zadny z pouzitych exploitu do ruky nedostal (krome
> toho vyse odkazovaneho generickeho), ale z toho, co jsem slysel, je to
> v podstate genericky exploit + vetsi ci mensi mnozina znamych konstant
> pro konkretni verze a platformy + udaje v chytrejsich verzich i neco, co
> umoznuje presne hodnoty dohledat hrubou silou.
> 
> Cili pokud ma nekdo deravou verzi (ktera je utocnikum pristupna) a presto
> unikne napadeni, pak je to nejspis z toho duvodu, ze utocnik nevedel, jak
> na to.


Treba si uvedomit, ze utocnikovi vobec nemusi ist o kompromitovanie akurat

"vasho" servera, skriptoidny brute force scan ma jednu vyhodu - moze sa 
aplikovat na relativne velke mnozstvo serverov aj napriek nizkej 
uspesnosti zbehnutia exploitu (mesiac nebude v splne ;-) utocnikovi 
stale umoznuje na divom internete ziskat dost velke mnozstvo 
heterogennych IP adries v roznych krajinach, provideroch..co sa nikedy 
moze celkom hodit :)


-- 
_____________________________________________________________________
[Pavol Luptak, ICZ a.s.] [Pavol.Luptak na i.cz] [mobil: +420 724 429787]