o5logon-fetch

Um pequeno programa Java que tenta explorar o CVE-2012-3137 em servidores Oracle 11 vulneráveis. Ao explorar essa vulnerabilidade, você pode executar ataques offline de força bruta até descobrir a senha de um determinado usuário, sem qualquer trilha de auditoria aparente.

Detalhes da Vulnerabilidade

Um bom artigo sobre a vulnerabilidade, incluindo maneiras de se proteger contra ela, está disponível aqui.

Ferramentas Alternativas

Uma alternativa a esta ferramenta é um script mmap localizado aqui.

Se você não quiser usar uma ferramenta, pode fazer manualmente o que essas ferramentas fazem:

• Obtendo o SQL*Plus como parte de um pacote Instant Client da Oracle.
• Iniciando uma ferramenta de captura de pacotes, como o Wireshark.
• Usando o SQL*Plus para fazer login como o usuário que deseja atacar, com uma senha falsa.
• Usando sua ferramenta de captura de pacotes, encontre o pacote enviado pelo servidor com "AUTH_SESSKEY" e "AUTH_VFR_DATA" no payload, ambos seguidos por uma longa string hexadecimal.

Ferramentas Complementares

Depois de usar esta ferramenta ou outro método, o próximo passo é iniciar ataques de força bruta contra as informações que você coletou.

• Um provador de conceito para força bruta está disponível aqui.
• O ramo bleeding jumbo do John the Ripper possui um formato de plugin o5logon.

Requisitos

Este projeto foi desenvolvido pensando no seguinte:

• OpenJDK 6, geralmente facilmente instalado com o gerenciador de pacotes do seu SO
• Um ojdbc6.jar mais antigo, como o incluído no Instant Client básico 11.2.0.1 da Oracle

Diferentes JVMs

Se você estiver usando uma implementação Java diferente do OpenJDK 6, parte do código de reflexão no pacote MitMSocket pode precisar de alguns ajustes para funcionar. Por exemplo, a implementação padrão de socket pode não se chamar "PlainSocketImpl".

Versão do Instant Client

Conforme discutido no artigo vinculado acima, um novo protocolo foi introduzido em versões posteriores tanto do Instant Client quanto dos servidores Oracle, o que inibe o potencial de dano desta vulnerabilidade. Dito isso, tanto clientes quanto servidores suportam protocolos mais antigos e, por padrão, permitirão seu uso.