כיצד מזהים EXPLOITS באי-מייל?

[b i n a r y]

כיצד מזהים EXPLOITS באי-מייל?

האם קיימת דרך לבדוק אם קיימים אקספלוטים באי-מייל? אני משתמש בWEB MAIL של וואלה. לפני כחודש קיבלתי אי-מייל אנונימי תחת הSUBJECT Japanese lass' sexy pictures עדכנתי כבר את כל עדכוני האבטחה של מיקורוסופט וכאשר אני מנסה לפתוח את האי-מייל אני רואה לשבריר שניה את העמוד ואז פתאום מופיעה לי הודעת שגיאה של האינטרנט אקספלורר: לא ניתן להציג את הדף ייתכן שהדף שאתה מחפש הוסר או ששמו השתנה. -------------------------------------------------------------------------------- נא נסה את הצעדים הבאים: פתח את דף הבית של s:, וחפש קישורים למידע הדרוש לך. אם הקלדת את כתובת הדף בשורת הכתובת, ודא שהיא מאויתת נכון. אם עדיין אינך מצליח לפתוח את הדף, לחץ על לחצן חיפוש של Internet Explorer כדי לחפש אתרים דומים. ובחלון הכתובת רשום: cid:Oonff6pA35ST9r7JN94 האם יתכן שזה EXPLOIT?? או איזה וירוס תולעת? זה לא התבצע דרך OUTLOOK

 

[b i n a r y]

אה וגם

בכותרת של האינטרנט אקספלורר בהודעה שגיאה רשום "שגיאה של תחביר לא חוקי"

 

[לינק]

יש בלינקים אתר שבודק אקספלוייטים

במייל. הקש כאן

 

[b i n a r y]

לא טוב בשבילי

האתר הזה בודק את החסינות של תוכנת האי-מייל שלי ולא של אי-מייל ספיציפי. מעניין אותי האי-מייל הזה ספיציפית אם הוא מכיל EXPLOIT

 

[uzi2]

תסתכל על ה- source של המכתב

מכיוון שכבר נכנסת למכתב, תוכל פשוט לראות את ה- source של הקובץ (מתוך הדפדפן), או אם אתה יכול להעביר את המכתב כולל כל הכותרים שלו, אז שלח לכתובת אחרת ואז דרך תוכנת הדואר תראה את ה- source (או שלח אלי לכתובת הדוא:ל שלי, ואנסה להבין את זה, אבל זה אפשרי רק אם אםפשר לעשות forward כולל הכל. אם לא אז רק התבוננות במקור של ה- HTML מהדפדפן.

 

[mop666]

אוי אני מקבל אלפים כאלה

ואני פשוט מוחק אותם אוטומתית למרות שיש מצב שזה באמת הודעה אלוואי שהיתי מקבל רק אחד כמוך חחחחחח

 

[mop666]

אגב

פייר וואל ואנטי וירוס יכולים למנוע הידבקות באקספלוייטים מהמייל? אה ושכחתי להוסיף שאני מעודכן בכל העידכונים של ווינדוס גם מה שעוזי אמר וגם מה שמצאתי

 

[uzi2]

לפעמים

לחלק מהאנטיוירוסים יש יכולת לגלות ולחסום אקספלויטים מהדואר, ומ- WWW. לפיירוול של נורטון יש יכולת מסויימת בזה גם כן. יש לוודא שמוגדר בדואר (גירסאות מאוחרות יותר של התוכנות של מייקרוסופט) להריץ HTML באזור אבטחה restricted. ב- SpybotSD האחרון הם הוסיפו תיקון שחוסם הורדה והרצה של ActiveXים בעייתיים.

 

[b i n a r y]

הנה

כעקרון אי אפשר היה למצוא את כתובת המקור או לעשות FORWARD כי זה WEB MAIL של וואלה ואי אפשר להכנס בכלל למכתב אבל איכשהו הצלחתי לעשות איזה קומבינה עם PRINT SCREEN ובסוף עליתי על הכתובת: [email protected] גודל ההודעה 154K אי אפשר לראות שום הודעה. זה ישר קופץ ל"תחביר לא חוקי"

 

[uzi2]

אלא אם מישהו קיבל דבר דומה,

אז את האינפורמציה שצריך אין כאן. קשה לדעת מה הם ניסו לעשות למחשב שלך, ככה.

 

[b i n a r y]

איזה אינפורמציה עוד אתה צריך?

האם זהה נראה לך כמו EXPLOIT או וירוס?

 

[uzi2]

זה גם יכול להיות סתם קובץ HTML

שמכיל איזשהו רכיב שהוא embedded מאתר מסויים. קשה מאוד לדעת מה זה, מבלי להסתכל בקוד עצמו (שאני מבין משום מה שיש לך בעיה למשוך אותו).

 

[b i n a r y]

עשיתי SNIFFING

למשוך את קוד הHTML אני לא מצליח, כי איך שהעמוד עולה תוך פחות משנייה העמוד משתנה לעמוד של הודעת שגיאה על תחביר לא חוקי. אבל מה כן, עשיתי משהו יותר מתוחכם. יש לי מין תוכנת SNIFFER כזאת שיכולה ללכוד TCP SESSIONS הפעלתי את התוכנה וניסיתי להיכנס לאי-מייל התבוננתי בתוכן של הTCP SESSION וראיתי שבכלל לא מופיע שם קוד HTML. אחרי הפקודה GET וכל הכותרות יש מין קוד בינארי ארוך כזה במקום קוד HTML. לא קוד ASCII. אולי בגלל זה האקספלורר מוציא את ההודעת שגיאה. באחת הHEADERS של הHTTP היה רשום ENCODING = ZIP כאילו שזה הקידוד.

 

[b i n a r y]

ליתר דיוק הנה הHEADERS שדיברתי עליה

Content-Type: text/html; charset=windows-1255 Content-Encoding: gzip

 

[uzi2]

gzip זה פורמט דחיסה

שנפוץ ביחוד בעולם היוניקס. כמו שאתה רואה, זה קוד HTML שרשום באופן שדחוס כ- gzip (תוכנות אמורות לדעת לפתוח את הקובץ הדחוס בפורמט הזה). אז אנחנו יודעים שזה מכתב שכתוב כ- HTML (כלומר כקוד של WWW), אבל צריך לזכור שבד"כ אקספלויטים משתמשים בכל מיני הרחבות של HTML (למשל vbscript ששתול בקובץ HTML או ActiveX ששתול שם. אני לא אומר שזה המצב כאן. צריך לבחון את הקוד הזה (קוד ה- HTML שדחוס כ- GZIP) כדי לדעת האם יש שם אקספלויט.

 

[b i n a r y]

אתה מכיר דרך לפענח את GZIP?

 

[uzi2]

כמעט כל תוכנה. למשל

Winzip, WinRAR, וכדומה יודעות לפתוח gzip, אבל תריך לקחת את הקובץ ולאתר באיזו שורה בדיוק מתחיל הקוד של ה- gzip (בשורה שאחרי ה- MIME headers שמגדירים את ה- encoding ואולי גם seperator (שורת קוד שאינה בינארית ושקל לראות שמדובר במשהו שנראה שונה מגוף קוד ה- GZIP. להוריד את כל השורות שלפני ולשמור כקובץ עם סיומת gz, ואז לנסות לפתוח.