o5logon-fetch

Un piccolo programma Java che tenta di sfruttare la vulnerabilità CVE-2012-3137 su server Oracle 11 vulnerabili. Sfruttando questa vulnerabilità, è possibile eseguire attacchi offline di forza bruta fino a scoprire la password di un determinato utente, senza lasciare tracce evidenti nei log.

Dettagli della Vulnerabilità

Un buon articolo sulla vulnerabilità, inclusi i modi per proteggersi, è disponibile qui.

Strumenti Alternativi

Un'alternativa a questo strumento è uno script mmap disponibile qui.

Se non si desidera utilizzare uno strumento, è possibile fare manualmente ciò che questi strumenti fanno:

• Ottenere SQL*Plus come parte di un pacchetto Instant Client da Oracle.
• Avviare uno strumento di cattura pacchetti come Wireshark.
• Usare SQL*Plus per effettuare il login come l'utente che si desidera attaccare, con una password falsa.
• Usando lo strumento di cattura pacchetti, trovare il pacchetto inviato dal server con “AUTH_SESSKEY” e “AUTH_VFR_DATA” nel payload, entrambi seguiti da una lunga stringa esadecimale.

Strumenti Complementari

Dopo aver utilizzato questo strumento o un altro metodo, il passo successivo è iniziare attacchi di forza bruta contro le informazioni raccolte.

• Un proof of concept per la forza bruta è disponibile qui.
• Il ramo bleeding jumbo di John the Ripper ha un formato plugin o5logon.

Requisiti

Questo progetto è stato progettato tenendo conto di:

• OpenJDK 6, solitamente facilmente installabile con il gestore pacchetti del vostro OS
• Un ojdbc6.jar più vecchio, come quello incluso nel Instant Client base 11.2.0.1 di Oracle

Diverse JVM

Se si utilizza un'implementazione Java diversa da OpenJDK 6, parte del codice di reflection nel pacchetto MitMSocket potrebbe necessitare di alcuni aggiustamenti per funzionare. Ad esempio, l'implementazione predefinita del socket potrebbe non chiamarsi “PlainSocketImpl”.

Versione di Instant Client

Come discusso nell'articolo linkato sopra, un nuovo protocollo è stato introdotto nelle versioni successive sia di Instant Client che dei server Oracle, che inibisce il potenziale di danno di questa vulnerabilità. Tuttavia, sia i client che i server supportano protocolli più vecchi e, per impostazione predefinita, li permetteranno.