| Sitemap | Archive | Tag Could | |
|
 |  |  |
     | ||
مناقشة موضوع تحذير وتنبيه من استخدام Norton AntiVirus في برامج عامة; ثغرة أمنية خطيرة في برنامج مقاومة الفايروسات Norton AntiVirus بمختلف اصداراته السلام عليكم و رحمة الله و بركاتة سنبدأ اليوم بدراسة نوع جديد من الثغرات الأمنية التي يقع بها مبرمجي الانظمة والبرامج ثغره ...
| |||||||
 |
| LinkBack | أدوات الموضوع | طرق مشاهدة الموضوع |
 05-10-2006, 04:35 مساءً | #1 (permalink) |
| .::+: Gulf Son :+::.   تاريخ التسجيل: May 2005 الدولة: بلاد الخليج المشاركات: 44,726 معدل تقييم المستوى: 53     | تحذير وتنبيه من استخدام Norton AntiVirus ثغرة أمنية خطيرة في برنامج مقاومة الفايروسات Norton AntiVirus بمختلف اصداراته السلام عليكم و رحمة الله و بركاتة سنبدأ اليوم بدراسة نوع جديد من الثغرات الأمنية التي يقع بها مبرمجي الانظمة والبرامج ثغره لا تعتمد على الفيض Overflow ولاعلى المعالجة المنظمة SEH ولا على المتغيرات اصلا إنما تعتمد على الحيله ,,, وهي ماتسمى ثغرات معالجة الملفات او Files Handling نبدأ في الموضوع,,, من أكثر الأوامر إستخدام في لغة السي هو المايكرو strcpyهذا المايكرو يقوم بنقل سلسلة نصية إلى اخرى مثل strcpy(str1,str2)عندما تقوم بتنفيذ هذا الامر يقوم المعالج بنقل كامل محتوى النص 2وهو str2 إلى محتوى النص1 وهو str1 دون مراعاه أحجام المتغيرات ومخازن البيانات فمثلا لو كان حجم str2 أكبر من حجم str1 سيقوم المعالج بتنفيذ الامر وبشكل مباشر ستحدث ثغرة فيض بلانقاش ولذلك تجد ان مايكرو strcpy مخيف لدى مبرمجي الأنظمة ويتم إختباره أكثر من مرة وغالبا مايتم تجنب أستخدامه وفي هذه الحاله يستبدل بالأمر memcpy وهو مشابه لل strcpy إلى في نقطة واحده وهي تحديد الحجم ,, مثال لإستخدام memcpy بهذا الشكل نقل str2 إلى str1 تساوي memcpy(str1,str2,10) تلاحظ انه تم إضافه بارمتر جديد ويمثل حجم النص الذي سيتم نقله بالبايت وفي مثالنا يتم نقل 10 أحرف فقط. قد تعتقد انه في هذه الحاله تم حصر الثغرات بشكل نهائي ولن تحدث ثغرة فيض أبداً ؟ بالفعل لن تحدث ثغرة فيض ولكن قد تحدث ثغرة معالجه ,, لأن عقدة المايكرو memcpy في تحديد الأحجام - بعطيك مثال لنفرض انك تريد قرائة ملف نصي يحتوي على بيانات موظف مثلاً بكل بساطة ستنفذ الامر strcpy وستقرأ كامل الملف النصي, ولكن لو طلب منك قرائة إسم الموظف في السطر 4فقط وإظهارة في هذه الحال لن تستطيع معرفة حجم الإسم ولا مكان وجودة في الملف ,,, ولذلك ستحتاج إلى قانون تكتبة في بداية الملف تستطيع عن طريقة الوصول إلى أي مكان في الملف , وهذا مايعرف بترويسة الملف وهذا القانون مستخدم في كل ملفات أنظمة التشغيل والآن بدينا ندخل في الموضوع , ملف ani او ملفات المؤشرات والصور والفيديو كلها تحتوي على ترويسه تستطيع من خلالها الوصول الى اي مكان في الملف نبدأ ونتعرف على طريقة تقسيم ترويسه ملفات ani : إذا فتحت ملف ani بأي محرر هكس ستلاحظ التالي أول 4 بايت = RIFF وتدل على تنسيق الملف ثاني4 بايت = حجم بيانات الملف كامل بالهكس (بعد تنفيذ قانون العكس للمعالج) ثالث4 بايت = ACON وتمثل معرف الملف للمؤشر بعد ذلك يأتي قانون جديد للتقسيم ويسمى القوائم او list وهو بسيط جدا يبدأ بإسم القائمة من 4 بايت ثم حجم بيانات القائمة من 4 بايت ثم محتوى بيانات القائمة بمعنى [4 بايت إسم القائمة - 4بايت حجم القائمة -....بيانات القائمة] وهذا مثال يوضح قانون تقسيم القوائم شغل برنامج olly او اي محرر هكس , من قائمة view إختر file توجه لمجلد المؤشرات وهو C:\WINDOWS\Cursors وإختر اي مؤشر وهذه صوره توضح طريقه التقسيم بالتفصيل  هل رأيت التقسيم ؟إستطاع احد مكتشفي ثغرات الأنظمة من التحايل على النظام في قانون list وذلك بتوجيه التحكم لتحميل قائمة تحتوي في الأحساس على كود تنفيذي او ما يعرف ب shellcode و تمكن بالتغيير في أحجام القوائم لينقل التنفيذ إلى shellcode وبهذه الطريقه إنتشرت فايروسات كثيرة تدخل الجهاز عن طريق هذه الثغره أكيد نحتاج تفصيل أكثر عن الموضوع ولذلك نحتاج مثال تطبيقي . سنضع المثال نفسه الذي ظهر به اول فايروس استغل هذه الثغره , ولذلك إذا اردت تكملت المثال أغلق برامج الحماية لأنها تعتبر كل الملفات التي سنتخدمها في المثال فايروسات ؟!! وثاني شيء هذا المثال مطبق في نظام وندوز xp بدون اي تحديثات أمنية لاsp1 و sp2 يعني sp0 بعد ان تستوفي الشروط حمل الملف من هنا: http://www.jaascois.com/research/36601020/ANI.zip بعد تحميل الملف ستجد صفحه إنترنت html و ملف مؤشر ani , ضعهم في مجلد جديد شغل متصفح الإنترنت , وبعد ذلك شغل برنامج olly ومن قائمة file ثم Attach وإختر برنامج المتصفح في الذاكرة الآن اول خطوة ضع نقطة توقف عند التعليمة الخاصه بقرائه ملفات ani في المتصفح بإختصار عند العنون 77D540DF ثم شغل البرنامج المراقب F9 بعد ذلك توجه لبرنامج المتصفح ومن قائمة file ثم open وإختر ملف html بعد ان يقوم برنامج المتصفح بقرائه الصفحه سيجد في الكود ان الصفحه تتطلب تحميل مؤشر سيتوجه مباشره برنامج المتصفح لتحميل المؤشر وسيقف التنفيذ به عند التعليمه كود: 77D540DF MOV EDI,EAX  اكيد لاحظت محتوى ملف المؤشر الملغوم بكود تنفيذي وهو shellcode يقوم بفتح منفذ خلفي backdoor ,, إلى الآن لم يحدث شيء ؟ نكمل الموضوع حط نقطة توقف ثانيه عند التعليمه كود: 77D74472 MOV EAX,DWORD PTR SS:[ESP+4] مع ملاحظة ان هذا البلوك ينفذ اول مره لقرائه إسم list1 ينفذ كامل البلوك مره اخرى لتنفيذ محتوى الlist1 وفي المره الثانيه للقرائه يحدث الإستغلال وتنفذ الثغره كود PHP: كود: 77D74472 MOV EAX,DWORD PTR SS:[ESP+4] 77D74476 MOV EDX,DWORD PTR SS:[ESP+C] كود: 77D7447B MOV ESI,DWORD PTR DS:[EAX+4] 77D7447E LEA ECX,DWORD PTR DS:[ESI+EDX] سيكمل الكود التنفيذ إلى ان يصل إلى الامر المصيري memcpy كود: 77D74497 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS> لاحظ ستنفذ داله memcpy اول مره وسيتم قرائه إسم list1 وفي المره الثانيه ستنفذ لقرائه محتوى list1 الآن نفذ بإستخدام F8 إلى ان تصل إلى اول تعليمه قرائه وبعد تنفيذها إضغط F9 ليدور التنفيذ ويرجع مره أخرى إلى بدايه البلوك الذي وضعناه مسبقاً ولكن هذه المره لقرائه محتوى list1 تتبع الكود بإستخدام امر F8 في أولي إلى ان تصل إلى نفس تعليمه memcpy في المره الثانيه ولكن لاحظ ماذا يحدث في هذه المره ,, قرائه shellcode  لاحظ في بدايه الموضوع قلنا ان الداله memcpy تحتاج إلى3 بارمترات لتحديد حجم البيانات التي ستقرأ وفي مثالنا لاحظ المسجل EDX كيف إستطاع إدخال قيمه كبيره لقرائه كامل الشيل كود ؟؟ إحفظ الرقم37C وتوجه لأول صوره في موضعنا ستجد عليها دائره وتمثل حجم list1 وبعد تنفيذ تعليمه القرائه ضع نقطة توقف جديده عند التعليمه كود: 77D74451 RETN 18  الشيل كود يؤثر في التنفيذ ,, لاحظ نقل التنفيذ إلى عنوان داخل قسم البيانات في المتصفح ؟؟؟؟؟ لماذا لو توجهت للعنوان بتعرف السبب  تعلمية JMP ESP وأكيد esp يساوي بدايه الكود التنفيذي في المكدس حاول متابعه التنفيذ وستدخل في بدايه ال shellcode وستلاحظ طريقة تجميع الدوال وبدايه فتح منفذ للإنصات ,, وسيبقى المنفذ مفتوح إلى ان يجد إتصال من اداة netcat ليسلم للمهاجم مهمه التحكم في النظام. وإلى هنا نكون اخذنا فكره عن نوع آخر من الثغرات الامنيه اللهم انى بلغت تحياتى الشرح للأخ المبدع serag777 لتحميل نسخة كاسبر اسكاى كامل http://www.4shared.com/file/1031364/...___online.html __________________ دليل مواقع ابن الخليج خدمة google page rank مقدمه من ابن الخليج خدمه اختصار الروابط الآن تستطيع جلب كل ستايلات المنتدى للمجلة ومن غير اي تدخل شخصي منك فقط بـ 120 ريال اطلب منتج بالضغط هنا "من هارون أمير المؤمنين إلى نقفور كلب الروم، قد قرأت كتابك يا ابن الكافرة، والجواب ما تراه دون أن تسمعه، والسلام" اين نحن من هذه الرساله؟ |
 |  |
|
| العبارات الدلالية |
| antivirus, تحذير |
| الذين يشاهدون محتوى الموضوع الآن : 1 ( الأعضاء 0 والزوار 1) | |
| أدوات الموضوع | |
| طرق مشاهدة الموضوع | |
|
 المواضيع المتشابهه | ||||
| الموضوع | كاتب الموضوع | المنتدى | مشاركات | آخر مشاركة |
| صيانة المذر بورد بالنسبه للمبتدئين | ولد السلطنة | دروس انظمة تشغيل و هاردوير و شبكات | 8 | 05-08-2008 07:09 مساءً |
| آدم عليه السلام | ADMIN | شخصية و تاريخ | 7 | 06-28-2007 01:27 مساءً |
| قبس من أنوار سيدنا محمد صلى الله عليه وآله وسلم | الصعيدي المشاغب | حوارات ثقافية عامة | 7 | 12-11-2006 04:45 صباحاً |
| سورة النساء : رقم 4 ( مدنية ) | رنين | حوارات ثقافية عامة | 3 | 05-19-2006 12:37 صباحاً |
| السحر و أنواعه | ADMIN | حوارات ثقافية عامة | 1 | 05-09-2006 08:59 مساءً |
  | Powered by vBulletin® Version 3.7.1, Copyright ©2000 - 2008, Jelsoft Enterprises Ltd |
العرض العادي
