KHAI THÁC lỗ HỔNG THỰC THI từ XA TRONG WINRAR

An toàn hệ điều hành Đề tài KHAI THÁC LỖ HỔNG THỰC THI TỪ XA TRONG WINRAR Sinh viên thực hiện: Trần Quốc Hoàng Phạm Nguyễn Tiến Anh Trần Bảo Hội Nguyễn Thanh Tú Giáo viên hướng dẫn: Ths.Đặng Thế Hùng Contents Giới thiệu I Chi tiết lỗ hổng II Cách hạn chế/phòng tránh Demo III IV I Giới thiệu 1.WinRAR gì? Một tiện ích lưu Lỗ hổng WinRAR hacker trữ tệbpị ph ần mềtích m cực khai thác, sao? cho Windows Vì WinRAR cơng cụ nén phổ biến giớCó i vớth i tểậptạkhách hàng o xem lớn cộng thêm việctệWinRAR p lưu trkhơng ữ có tính tự động cập nhật ịnh dạđng WinRAR trởđthành ối tRAR ượng để hacker nhắm ho tới.ặcCóZIP nhiều lỗ hổng 0-day liên quan tới Giải nén nhiều định WinRAR WinRAR GUI dạng tệp lưu trữ I Giới thiệu 2.Lỗ hổng WinRAR CVE-2018-20250 Ta cù ng tìm hiểu lỗ hổ ng WinRAR CVE-2018-20250 ◉ Theo mộ t bá o cá o củ a Check Point Research phá t lỗ hổ ng thự c thi lệnh 19 nă m tuổ i cô ng cụ nén WinRAR cự c kỳ phổ biến, bằ ng cá ch sử dụ ng m mờ WinAFL khai thá c WinRAR để già nh tồ n quyền kiểm số t máy tính củ a nạ n nhâ n ◉ Lỗ hổng nghiêm trọng (CVE-2018-20250) tá c độ ng đến tấ t cá c phiên bả n trướ c củ a WinRAR đượ c phá t hà nh 19 nă m qua Lỗ hổ ng đượ c nhữ ng kẻ tấ n cô ng lợ i dụ ng để già nh quyền kiểm soá t hệ thố ng củ a ngườ i dù ng bằ ng việc "lừ a" họ mở mộ t file nén độ c hạ i bằ ng WinRAR III Chi tiết lỗ hổng 1.Nguyên nhân gây lỗ hổng ◉ Theo cá c nhà nghiên u, họ tìm thấy lỗ hổ ng bả o mậ t nằ m thư viện bên thứ ba cũ UNACEV2.DLL củ a WinRAR đượ c sử dụ ng bở i phầ n mềm xử lý việc trích xuấ t cá c tệp đượ c nén định ng tệp lưu trữ nén liệu ACE ◉ Tuy nhiên, WinRAR phá t định ng theo nộ i dung củ a tệp khô ng phả i bở i tiện ích mở rộ ng, kẻ tấ n ng thay đổ i phầ n mở rộ ng ace nh phầ n mở rộ ng rar để m cho trơ ng bình thườ ng III Chi tiết lỗ hổng 1.Nguyên nhân gây lỗ hổng ◉ Lỗ i “Absolute Path Traversal” thư viện đượ c sử dụ ng để thự c thi mã tù y ý mộ t hệ thố ng đượ c nhắ m tớ i , mụ c tiêu cố gắ ng giả i nén mộ t tệp đượ c tạ o độ c hạ i bằ ng cá c phiên bả n phầ n mềm dễ bị tấ n cô ng ◉ Lỗ hổ ng cho phép kẻ tấ n ng trích xuấ t cá c tệp nén o thư mụ c mà ng chọ n thay thư mụ c ngườ i dù ng chọ n Nếu kiểm soá t truy cậ p ngườ i dù ng (User Access Control - UAC) bị tắ t ,thì, hồ n tồ n khơ ng có bấ t nh bá o nà o đượ c hiển thị cho ngườ i dung, để lạ i hộ i thả mã độ c o thư mụ c Windows Startup, nơi tự độ ng chạy lầ n khở i độ ng lạ i III Chi tiết lỗ hổng 3.Sự ảnh hưởng lỗ hổng tới cộng đồng Lỗ hổ ng ả nh hưở ng tớ i tấ t cá c phiên bả n WinRAR 5.70 Beta trở trướ c Và o thờ i điểm nă m 2019, rấ t nhiều tổ c tin tặ c lợ i dụ ng lỗ hổ ng để phá t tá n mã độ c Trong thá ng 3/2019, McAfee phá t 100 mẫ u phầ n mềm độ c hạ i c tậ n dụ ng lỗ hổ ng WinRAR Rarlab bá o cá o rằ ng có 500 triệu ngườ i dù ng chương trình này, việc khai thá c hoạ t độ ng bằ ng cá ch trích xuấ t mộ t kho lưu trữ khiến 500 triệu ngườ i dù ng gặ p rủ i ro III Cách hạn chế/phòng tránh WinRAR sử dụ ng thư viện bên thứ ba để giả i nén tà i liệu lưu trữ củ a ACE. UNACEV2.DLL khô ng đượ c cậ p nhậ t từ nă m 2005 họ khô ng có quyền truy cậ p o mã nguồ n củ a  Vì vậy, họ định bỏ hỗ trợ định ng lưu trữ ACE từ phiên bả n 5.70 beta để bả o vệ an ninh củ a ngườ i dù ng WinRAR III Cách hạn chế/phòng tránh Đối với cá nhân Đối với doanh nghiệp • Cậ p nhậ t lên phiên bả n WinRAR mớ i nhấ t • Khơ ng mở bấ t kỳ file nén định ng ACE nà o nhậ n đượ c qua • Cá c nhà n trị hệ thố ng tạ i cá c doanh nghiệp lớ n cũ ng cầ n lưu ý email, cho tớ i cậ p nhậ t lên nhâ n viên khô ng mở cá c tậ p tin phiên bả n WinRAR mớ i nhấ t định ng chưa cậ p nhậ t • Khô ng sử dụ ng phầ n mềm khô ng WinRAR rõ nguồ n gố c • Sử dụ ng phầ n mềm diệt virus IV Demo Sơ lược qua trình xảy • :Attacker dự a o lỗ hổ ng có Winrar, qua nạ n nhâ n tả i mộ t file rar có a mã độ c o thư mụ c Downloads IV Demo Sơ lược qua trình xảy • :Trướ c giả i nén thư mụ c Startup rỗ ng IV Demo Sơ lược qua trình xảy • : Sau nạ n nhâ n nhậ n đượ c file rar, bằ ng social engineering attacker thuyết phụ c cho nạ n nhâ n extract file rar ra, chạy vớ i đặ c quyền củ a n trị viên hoặ c mộ t hệ thố ng đượ c nhắ m tớ i vớ i UAC bị tắ t IV Demo Sơ lược qua trình xảy • : Ngay sau giả i nén , Malware sau đượ c tạ o folder Startup, nơi tự độ ng chạy lầ n khở i độ ng lạ i Attacker chiếm quyền kiểm số t máy tính nạ n nhâ n bằ ng cá ch thự c thi mã lệnh từ xa (Remote Code Execution) IV Demo 2.Chuẩn bị cho thực a Máy tính công:     a    Dù ng máy ả o kalilinux máy tính windows để hỗ trợ ( dù ng máy thậ t) Metasploit Python Máy tính nạn nhân: Máy ả o Windows Dù ng WinRAR 5.7 beta hoặ c cũ Máy nạ n nhâ n khô ng cà i phầ n mềm chố ng virus, tắ t firewall Demo Chi tiết thực giải thích Cảm ơn thầy bạn theo dõi Any questions ? ... thi? ??u I Chi tiết lỗ hổng II Cách hạn chế/phòng tránh Demo III IV I Giới thi? ??u 1 .WinRAR gì? Một tiện ích lưu Lỗ hổng WinRAR hacker trữ tệbpị ph ần mềtích m cực khai thác, sao? cho Windows Vì WinRAR. .. tệp lưu trữ I Giới thi? ??u 2 .Lỗ hổng WinRAR CVE-2018-20250 Ta cù ng tìm hiểu lỗ hổ ng WinRAR CVE-2018-20250 ◉ Theo mộ t bá o cá o củ a Check Point Research phá t lỗ hổ ng thự c thi lệnh 19 nă m tuổ... nén độ c hạ i bằ ng WinRAR III Chi tiết lỗ hổng 1.Nguyên nhân gây lỗ hổng ◉ Theo cá c nhà nghiên u, họ tìm thấy lỗ hổ ng bả o mậ t nằ m thư viện bên thứ ba cũ UNACEV2.DLL củ a WinRAR đượ c sử dụ