{"id":751,"date":"2018-05-10T01:20:01","date_gmt":"2018-05-10T04:20:01","guid":{"rendered":"https:\/\/www.xlabs.com.br\/blog\/?p=751"},"modified":"2021-08-25T18:26:15","modified_gmt":"2021-08-25T21:26:15","slug":"ataques-a-websites-surgem-para-exploracao-ilegal-de-cripto-mineracao","status":"publish","type":"post","link":"https:\/\/www.xlabs.com.br\/blog\/ataques-a-websites-surgem-para-exploracao-ilegal-de-cripto-mineracao\/","title":{"rendered":"Ataques a websites surgem para explora\u00e7\u00e3o ilegal de Cripto-Minera\u00e7\u00e3o"},"content":{"rendered":"\n

Serializa\u00e7\u00e3o \u00e9 o processo de transformar algum objeto em um formato de dados que pode ser restaurado mais tarde. As pessoas geralmente serializam objetos para salv\u00e1-los no armazenamento ou para enviar como parte das comunica\u00e7\u00f5es. A desserializa\u00e7\u00e3o \u00e9 o inverso desse processo – tomando dados estruturados a partir de algum formato e reconstruindo-o em um objeto. Hoje, o formato de dados mais popular para serializar dados \u00e9 JSON. Antes disso, era XML.<\/p>\n\n\n\n

No entanto, muitas linguagens de programa\u00e7\u00e3o oferecem uma capacidade nativa para serializar objetos. Esses formatos nativos geralmente oferecem mais recursos do que JSON ou XML, incluindo customizabilidade do processo de serializa\u00e7\u00e3o. Infelizmente, as caracter\u00edsticas desses mecanismos de desserializa\u00e7\u00e3o nativa podem ser reutilizadas por efeitos maliciosos quando operam em dados n\u00e3o confi\u00e1veis. Os ataques contra desserializadores foram encontrados para permitir a nega\u00e7\u00e3o de servi\u00e7o, controle de acesso e ataques remotos de execu\u00e7\u00e3o de c\u00f3digo.<\/p>\n\n\n\n

 <\/h3>\n\n\n\n

Tipos de Serializa\u00e7\u00e3o<\/strong><\/h4>\n\n\n\n

Existem v\u00e1rios tipos de serializa\u00e7\u00e3o dispon\u00edveis, dependendo do objeto que est\u00e1 sendo serializado e da finalidade. Quase todas as linguagens de programa\u00e7\u00e3o modernas suportam a serializa\u00e7\u00e3o. Em Java, por exemplo, um objeto \u00e9 convertido em uma representa\u00e7\u00e3o compacta usando o fluxo de bytes, e o fluxo de bytes pode ser revertido de volta para uma c\u00f3pia desse objeto.<\/p>\n\n\n\n

Outros tipos de serializa\u00e7\u00e3o incluem a convers\u00e3o de um objeto em um formato hier\u00e1rquico como JSON ou XML. A vantagem desta serializa\u00e7\u00e3o \u00e9 que os objetos serializados podem ser lidos como texto simples, em vez de um fluxo de bytes.<\/p>\n\n\n\n

 <\/h3>\n\n\n\n

Vulnerabilidades de desserializa\u00e7\u00e3o dos \u00faltimos tr\u00eas meses<\/strong><\/h4>\n\n\n\n

Nos\u00a0maiores riscos de seguran\u00e7a\u00a0da\u00a0OWASP de 2017, a\u00a0desserializa\u00e7\u00e3o insegura est\u00e1 posicionada no\u00a0oitavo lugar, sendo que em 2017, as principais novas vulnerabilidades relacionadas \u00e0 serializa\u00e7\u00e3o insegura, principalmente em Java, foram publicadas, como pode ser visto na figura abaixo.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Figura 1 \u2013<\/strong> CVEs relacionados \u00e0 desserializa\u00e7\u00e3o insegura.<\/em><\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n\n\n\n

Para entender a magnitude dessas vulnerabilidades, analisamos os ataques dos \u00faltimos tr\u00eas meses (outubro a dezembro de 2017) que tentam explorar a deserializa\u00e7\u00e3o insegura.\u00a0Uma observa\u00e7\u00e3o chave \u00e9 o\u00a0aumento\u00a0acentuado<\/em>\u00a0dos ataques de desserializa\u00e7\u00e3o nos \u00faltimos meses, como pode ser visto na figura 2.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"\"<\/a><\/h6>\n\n\n\n

Figura 2 \u2013 Ataque de desserializa\u00e7\u00e3o ao longo de 3 meses.<\/em><\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n\n\n\n

A maioria dos atacantes n\u00e3o usava vetores de ataque al\u00e9m da deserializa\u00e7\u00e3o insegura. Percebemos que cada invasor estava tentando explorar diferentes vulnerabilidades, sendo os CVE acima mencionados os mais prevalentes.<\/p>\n\n\n\n

 <\/h3>\n\n\n\n

Ataques de desserializa\u00e7\u00e3o na pr\u00e1tica<\/h4>\n\n\n\n

A maioria dos ataques que vimos est\u00e3o relacionados \u00e0 serializa\u00e7\u00e3o de bytes-stream de objetos Java.\u00a0Al\u00e9m disso, vimos alguns ataques relacionados \u00e0 serializa\u00e7\u00e3o para XML e outros formatos, representados na figura.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Figura 3 \u2013\u00a0Distribui\u00e7\u00e3o de vulnerabilidades em diferentes formatos de serializa\u00e7\u00e3o.<\/em><\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n\n\n\n

No ataque seguinte, \u200b\u200bo invasor est\u00e1 tentando explorar CVE-2017-10271. O payload \u00e9\u00a0enviado no corpo da solicita\u00e7\u00e3o HTTP usando um objeto Java serializado atrav\u00e9s da representa\u00e7\u00e3o XML.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Figura 4 \u2013\u00a0<\/strong>Vetor de ataque contendo uma matriz Java serializada em um XML.<\/em><\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n\n\n\n

Este script bash tenta enviar uma solicita\u00e7\u00e3o HTTP usando o comando “wget”, baixando um script de shell disfar\u00e7ado como um arquivo de imagem (observe a extens\u00e3o de arquivo jpg) e executando-o. Poucas notas interessantes podem ser feitas examinando este comando:<\/p>\n\n\n\n