CVE-2010-0249

MS IE Aurora Attack

Chapter 1

INFORMATION- IE 가 제대로 초기화가 되지 않았거나 삭제된 개체에 액세스하는 방식에

원격 코드 실행 취약점

- 공격자는 특수하게 조작된 웹 페이지를 구성하여 이러한 취약점을 악용할 수 있습니다 .

- 사용자가 해당 웹 페이지를 볼 경우 취약점으로 인해 원격 코드 실행이 허용됩니다 .

- 취약점 악용에 성공한 공격자는 로그온한 사용자와 동일한 권한을 획득하며 즉 , 관리자로 로그온한 경우 시스템을 완전히 제어할 수 있습니다 .

Penetration TestSystem

- Victim : XP Professional XP IP : 192.168.0.8- Attack : Kali Linux 2.0 IP :

192.168.0.13

Chapter 2

Chapter 2

Penetration Test

먼저 Attack 인 Kali Linux 에서 MSFconsole(Metasploit) 을 실행 후에Module 값을 exploit/windows/browser/ie_aurora 로 설정해줍니다 .

그 후 LHOST 를 공격자의 IP 로 설정해줍니다 .

LPORT 로 Port Number 도 설정해주고 ~

Chapter 2

Penetration Test

대상 피해자가 Windows 이므로 PAYLOAD 값은 Windows 의 Reverse Shell 로 설정합니다 .

PATH 도 설정해주시면 설정은 끝이 납니다 .

Chapter 2

Penetration Test

지금까지의 설정 값을 show options 로 확인이 가능합니다 .8080 포트가 열렸군요

Chapter 2

Penetration Test

대망의 Exploit 을 실행해주시고

Victim 인 XP 에서 Attack 의 IP 주소에 8080 포트로 접속을 하게 되면…

Session 열렸다는 메시지와 함께 접속된 IP 를 확인할 수 있습니다 .

Chapter 2

Penetration Test

Session 을 확인하게 되면 Victim 과 Attack 이 서로 연결된 것을 확인할 수 있습니다 .

Session –i 1 명령어를 사용하여 session 을 실행 (?) 하고…

Chapter 2

Penetration Test

Shell 을 구동시키면 Victim 컴퓨터 시스템을 본격적으로 Remote 할 수 있게 됩니다 .

Chapter 3Source Code 분석

해당 파일은 Metasploit 의 Module 값을 설정하기위해 .rb 즉 루비파일로 작성되었습니다 .

해당 파일은 Exploit-db 에서 다운로드 가능합니다 .

Chapter 3Source Code 분석

Chapter 3Source Code 분석

Chapter 3Source Code 분석

대부분 주석 처리가 되있더군요…

Chapter 3Source Code 분석

마지막으로 소스코드 맨 마지막에 HTML 로 클라이언트에게 payload 값을 response 받습니다 . 또한 Attack 과 Victim 간의 통신을 모두 암호화 하더군요… .

환경구축하고 침투 테스트하는데 약간 시간이 조금 걸렸습니다 . 이유는 Kali 2.0 에 metasploit 에서 aurora 모듈이 없어서 설치하고 VM 에 XP 다시 설치하고 하느라 조금 시간이 소모되었고 분석부분이 많이 미흡한 이유는 제가 분석을 잘 못합니다 ... 양해 부탁 드립니다 . 발표 마치며 질문 받겠습니다 .

Q&A

AuroraCVE-2010-0249

Thank you