تحليل ثغرات الفيض والتحكم عن بعد Remote Buffer بإستخدام Metasploit Framework *.pm

عام 0 geek4arab
Spread the love
الكاتب: JAAScois
تاريخ النشر: 20/02/2006 م
في هذا الموضوع سنأخذ فكرة عن حزمة Metasploit Framework وهي حزمة متطورة لإستغلال الثغرات الأمنية
هذة الحزمة متوافقة مع كل الأنظمة Linux , Windows , BSD , MacOS X وإستخدامها واحد في اي نظام
إضافة إلى انها بسيطة جداً ,, وسنقوم بدراسه أخرى لثغرات Remote او التحكم عن بعد كيف تحدث وكيف
تستغل.

نبدأ في الموضوع :
مثالنا اليوم عن برنامج TFTP Server 2000 وهو عبارة عن سيرفر Trivial File Transfer Protocol لنقل الملفات
تستطيع الحصول على البرنامج من موقع الشركة المنتجة
http://www.futuresoft.com/products/lit-tftp2000.htm
بعد تثبيت السيرفر في جهازك شغله عن طريق Control Panel ثم Administrative Tools وإختر Services
ستظهر لك كل السيرفرات التي في جهازك ابحث عن TFTP Server 2000 إضغط بالزر الأيمن للماوس ثم start
بهذا نكون شغلنا السيرفر بنجاح. اول مايشتغل السيرفر يبدأ بفتح منفذ 69 لبروتوكول UDP للتأكد من الموضوع
تحتاج اي برنامج يعرض لك المنافذ إما عن طريق الدوس netstat -a -n او عن طريق اي اداة خارجية ,بهذا الشكل

يفتح السيرفر البورت 69 ليكون جاهز لإستقبال الملفات ,, في هذا السيرفر خطأ ادى لحدوث ثغرة لاحظ
من خلال olly من قائمة file إختر Attach ستظهر لك البرامج التي تعمل في الذاكرة إختر tftpd
C:\WINDOWS\system32\tftpd.exe

بعد إختيار البرنامج ضع نقاط توقف على أماكن معالجة إسم الملف عند الإستقبال والإرسال
يبدأ البرنامج بإستقبال إسم الملف عند التعليمة
004029AA
بعد اربعه اسطر تجد داله الخطر strcpy ,,, يحدث فيض في هذه الداله عند إستقبال إسم ملف طويل

ضع نقطة توقف عند العنوان ,,, وانزل نافذة برنامج olly الحين بنتوجه إلى Metasploit Framework
الثغرة ظهرت في مواقع الأمن بنوع pm
futuresoft_tftpd_pm.txt

إنسخ كامل كود الإستغلال إلى ملف نصي , ونسمي الملف futuresoft_tftpd.pm لأن كود الإستغلال يبدأ ب
Msf::Exploit::futuresoft_tftpd
إنسخ الملف futuresoft_tftpd.pm إلى المجلد C:\Program Files\Metasploit Framework\home\framework\exploits

والآن شغل Metasploit Framework , من قائمة start ثم Metasploit Framework وشغل MSFConsole
ستبدأ نافذة الدوس في الظهور بشعار Metasploit ,, نبدأ بتنفيذ الأوامر

1- الأمر الأول use وهو لتحديد إسم الثغرة التي سنستخدمها وهي futuresoft_tftpd لاحظ بدون pm
بمعنى اول امر نستخدمه هو : use futuresoft_tftpd وستلاحظ تغير سطر الاوامر إلى msf futuresoft_tftpd >
لاحظ الصورة:

ثانياً: امر show او العرض ينقسم إلى 3 أنواع
الأول show options وهو لإظهار وتحديد إختيارات الثغرة مثل رقم المنفذ وعنوان ip
الثاني show payloads لإظهار وتحديد الشيل كود shellcode الذي ستقوم بتنفيذة
الثالث show targets لإظهار الهدف المحدد مثل نظام تشغيل او تطبيق ويب مع تحديد الإصدار

نبدأ بأول نقطة : نفذ show options وستلاحظ ظهور 3 خصائص
1 SSL وهذا الإختيار لا نستخدمه إلى إذا كان الموقع يستخدم شهادة التحقق https
2 رقم ip و 3 البورت وتلاحظ ان البورت محدد 69 ,, لاحظ كيف سنقوم بإعادة التحديد

لتحديد ip سنستخدم امر جديد وهو set , لاحظ سنحدد ip و port
بهذا الشكل set RHOST 127.0.0.1 و set RPORT 69 لاحظ الصورة

بعد ذلك تحديد payloads او shellcode ويوفر Metasploit أنواع كثيرة وإحترافية للshellcode
لرؤيتها وتحديدها نفذ الامر show payloads
لاحظ سنقوم بإختيار الشل كود المعروف لفتح منفذ جديد او باب خلفي للدخول للجهاز وهو win32_bind
نفذ الامر set PAYLOAD win32_bind لاحظ الصورة التوضيحية:

بعد ذلك تحديد الهدف targets , نفذ الامر show targets لعرض انواع الهدف وفي مثالنا
الأهداف المتوفرة :
0 Windows 2000 Pro English ALL
1 Windows XP Pro SP0/SP1 Englis
2 Windows NT SP5/SP6a English
3 Windows 2003 Server English
ونستطيع تحديد الهدف , لاحظ سنقوم بإختيار WinXP sp0/sp1 بمعنى الإختيار 1
بهذا الشكل set TARGET 1

وبعد الإنتهاء من إعدادات الثغره , نفذ امر show options , للتأكد من كل الخصائص
بهذا الشكل



وبهذا نكون انتهينا وللتطبيق تأكد ان النظام winxp sp0 او sp1 وأن البرنامج TFTP Server 2000 Evaluation Version 1.0.0.1
ولآن نفذ الثغره بإستخدام الامر exploit ,, ولاحظ برنامج olly الذي نسيناه سيعطيك إشارة.. تم تنفيذ الثغرة
تتبع الكود بإستخدام مفتاح F8 ولاحظ تشغيل ال shellcode

وبهذا نكون أخذنا فكرة عن أداة أثبتت جدارتها في عالم الأمن وهي Metasploit Framework

وبالتوفيق للجميع .

الكاتب geek4arab

geek4arab

مواضيع متعلقة

التعليقات مغلقة