مقال يتحدث عن ثغرات البرامج وبصفة خاصة عن ثغرة في أداة Microsoft HTML Help Workshop سنتتبع خطوات استغلالها من خلل برمجي صغير الى استغلال يهدد الأجهزة. الأداة من برمجة Microsoft وهي قوية في تعديل صفحات HTML ولها عدة مزايا أخرى كما أنها تستعمل حاليا في العديد من الجامعات وتستخدم كأداة رسمية.

الأدوات:

• Windbg: أداة قوية جدا وشخصيا افضلها على كافة المنقحات , والغرض منها في هذا المقال هو مدى قوة التنقيح debugging ودقة الحسابات.
• Metasploit Generator: سيستخدم لتوليد shellcode مناسب للإستغلال.
• Alpha2.c: لتوليد shellcode بالأرقام والحروف فقط Alphanumirical shellcode.
• ‏‏‏لغة برمجية: أنا سأستخدم Python وفضلتها على لغة C لسهولة كتابة الكود عن طريقها وسهولة فهمه من طرف المتابعين للموضوع.

هذا الموضوع لا يتكلم عن الإختراق بل يهدف للتعريف بالطريقة التي يتمكن بها الهكر من إستغلال الثغرة وأيجاد حلول مناسبة لها. لن أتحدث عن كيفية تحديد كيمية البيانات التي أحدتث الخلل ولا على كيفية البحث عن العناوين من الذاكرة فهذه أمور قد يتم التطرق لها لاحقاً. وكما قلت سابقا غرضنا هو أن نيّن تفكير الهكر ونضع أنفسنا مكانه حين يحلل البرامج.

واجهة البرنامج:
‏

لنر كيف يحدث الخلل:

شغّل الكود السابق بإستخدام مفسّر Python وسيعطيك ملف 1.hhp إفتح الملف عن طريق البرنامج باستعمال windobg ولاحظ التغييرات:

كما لاحظنا حدوث overflow بالذاكرة وتم تغيير مسار عمل البرنامج والمؤشر EIP يدل الى موضع مجهول ‘XXXX’ بالذاكرة.

نستخدم الأمر d esi لرؤية ماذا يخزن هذا المسجل حاليا, وجدنا أنه يحتوي على البيانات التي قمنا بأدخالها والتي أدت لحدوث طفح بالذاكرة أي بمعنى أخر مكان وضع الـ shellcode (الإطار الأحمر)
هده الثغرة تظهر كأنها basic exploitation, يعني ان نقوم بعمل الشلكود في مكان A*280 ونستدعي المسجل esi عن طريق هذه التعليمة call esi or jmp esi ليتم تنفيذ الشيل كود بسرعة لكننا للأسف نجد ان هذه الطريقة لا تناسب والسبب هو أن حجم المساحة غير كافي لوضع shellcode خصوصا إن كان reverse shell or alphanum shellcode. الآن يجب أن نفكر في طريقة تجعله يزيد من مساحة الذاكرة لوضع الـ shellcode أو البحث عن مكان في الذاكرة نضع فيه الشيل كود ونقوم باستدعائه عن طريقة مجموعة من التعليمات.
سأتطرق لطريقتين لاستغلال هذه الثغرة, الأولى سهلة نوعا ما وهي طريقة إستدعاء egghunter أو shellhunter  ليبحث لنا عن مكان الشيل كود.
أما الطريقة الثانية فهي وضع الشيل كود في مكان ما بالذاكرة ثم نقوم باستدعائه وهذه الطريقة يستعملها الخبراء في هذا المجال. وساشرح الإثنتين بالتفصيل.

الطريقة الأولى (egghunting):

نبذة صغيرة عن أداة skape egghunt: أداة قام ببرمجتها أحد مطوري مشروع Metasploit يدعى skape حيث جعل مشكلة حجم المساحات أمراً سهل التخطي ذلك لأنه يستخدم بشكل اعتباطي.
‏

هذا الشيل كود الصغير مكوّن من 32 bytes يبحث عن العنوان الذي ادخلناه 0x57303054 داخل الذاكرة وأينما يوجد يتم استدعاء التعليمات التي بعدها. أي من هذا الجانب يمكننا أن نضع الشيل كود وراء هذا العنوان وسينفذ الشيل كود لكن من سلبيات هذه الطريقة أنها تستغرق بضع ثواني وأحيانا بضع دقائق ذلك لانه يبحث عن مكان العنوان المطلوب منه. إذاً لنطبق هذه الخاصية على مثالنا هذا ونرى ماذا سيحدث:

بعد مدة وجيزة اشتغل shellcode وقد إستخدمنا شيل كود ينفد calc فقط. لو لاحظتم أين وضعنا الشلكود فقد وضعناه في مكان عشوائي ويمككنا وضعه في اي مكان وسيتم استدعائه بعد انتهاء مدة البحث, لاحظ أيضاً إضافة السطر الأول فوق الشيل كود وهو كلمة البحث التي قمنا بها.

الطريقة الثانية (jumping to shellcode):

الاستثمار المحترف يتطلب عدة معايير ليكون كذلك ومنها أن يكون الاستثمار Universal يشتغل في أي نظام, أن ينفد أي شيل كود مهما كان حجمه ومهما كانت وضعيته ومهما كان نوع  الـ filters وهذا ما سنحاول القيام به وهو البحث عن مكان نستطيع وضع الشيل كود فيه وتنفيده باستعمال أحدة المسجلات وسنأخد على سبيل المثال المسجل  ESI.

نفتح الملف 1.hhp ونرى التغيرات, كما رأينا سابقاً نقوم بعمل  d esi:

جيد جداً الآن, وجدنا مكان مناسب للشيل كود سنرى هل هو كافي أم لا؟

إذاً حسب ما سبق لدينا ما يلي: المسجل ESI الآن يحمل العنوان 003CB030 ولكن الشيل كود يتواجد في 003CB158. السؤال هو كيف نجعل المسجل ESI يؤشر الى العنوان 003CB158 أي مكان تواجد الشيل كود؟

بكل صراحة من الصعب ايضاح الفكرة ولكنني اقترحت ان تقرأ الكود الموجود في الأسفل وتمعن فيه جيداً وسترى أن هذه الطريقة متقدمة في استغلال الثغرة هي مجرد عمليات حسابية بالـ Hex:

الآن نحتاج فقط الى الـ opcodes:

أوشكت على الانتهاء, لم يبق إلا توليد shellcode من metasploit  project وتحويله الى alphanum shellcode باستعمال أداة Alpha2 . لتوليد shellcode من مشروع ميتاسبلويت نستعمل الأمر التالي:

الان نحول الـ shellcode الى alphanum بإستعمال الأداة Alpha2. هذه الأداة قام ببرمجتها Skylined أحد أعضاء Google Chrome Security وهو مكتشف تقنية Heap Spray لإستغلال ثغرات المتصفح في أقل من دقيقة وسأتطرّق لاحقا لتفسير دقيق لهذه التقنية إن شاء الله.

هذه الأداة أعتبرها خارقة لأنها حلت العديد من المشاكل فهي تمكن من توليد شيل كود خاص بثغرات الـ unicode يعني هذا ما يدل على قوة هذه الّأداة ,, وقد تم اصدار نسخة Alpha3 لكن لم أجربها حتى الآن.

لتوليد شيل كود alphanum نقوم بكتابة الامر التالي:

لمشاهدة الإستغلال النهائي: microsoft_html_help_workshop_overflow_exploit.py

وأخيرا وليس أخيرا أرفقت لكم فيديو يبيّن الفرق بين الطريقتين وإحكم بنفسك أي الطريقتين أفضل.

{flv}microsoft-html-help-workshop-overflow{/flv}

تم الانتهاء من الشرح وهذا ما لدي لحد الآن. أتمنى أن اكون قد وفقت في شرحي وفي حال وجود أي إستفسارات أو أخطاء في الشرح أتمنى تنبيهي له.

عن الكاتب:

محمد غنام, اختصاصي في استثمار ثغرات البرامج, مهتم بتحليل الأنظمة ومتابعة آخر الثغرات, مهتم كذلك ببرمجة أدوات الهاكينغ بلغة السي والبايثون