Итак, мы уже разобрались с фаззингом файлов, протоколов — теперь попробуем использовать фаззинг для поиска ошибок в драйверах. Тут надо понимать, что драйверы используются не только для управления устройствами, вовсе нет. Многие программы устанавливают в систему драйвер в качестве посредника для доступа в более привилегированный режим — Ring0. Прежде всего, это антивирусы и утилиты, обеспечивающие (по крайней мере, обещающие обеспечить) безопасность системы. Драйверы, в общем, ничем не отличаются от программы в плане безопасности: как и везде, большое количество уязвимостей связано с неправильной обработкой данных, в особенности тех, что поступают в IRP-запросах. I/O request packets (IRP) — это специальные структуры, использующиеся моделью драйверов Windows для взаимодействия и обмена данными драйверов друг с другом и самой системой. Получается, и здесь есть все условия для того, чтобы автоматизировать поиск уязвимостей. Конечно, инструмент тут нужен совершенно особенный, потому как обычным фаззерам доступ в недра системы закрыт.

Если MiniFuzz — это очень простой (хотя и эффективный) dump-фаззер, то проект Peach (в переводе — персик), разработанный Майком Эддингтоном — это уже мощное решение для smart-фаззинга, поддерживающее как режим мутации, так и генерации. Для проведения умного фаззинга программе необходимо знать структуру данных, с которыми она будет экспериментировать. Поэтому на вход фаззера подаются так называемые PeachPit’ы ("косточки от персика") — специальные XML-конфиги, в которых задается структура данных, описание взаимоотношений между различными ее элементами, а также подходы для реализации мутаций. В отличие от Minifuzz, Peach может фаззить не только файлы, но и сетевые сервисы, RPC, COM/DCOM, SQL-хранимые процедуры и многое другое. Правда, такая универсальность приводит и к некоторым трудностям в использовании.
Сразу предупреждаю: это не та программа, которую запускаешь и сразу понимаешь, что к чему. Чтобы внести ясность, предлагаю разобраться с Peach на конкретном примере, но вместо фаззинга файлов обратиться к другой области, а именно — поиску уязвимостей в сетевых сервисах.

Одна из простейших утилит для реализации глупого фаззинга — MiniFuzz. Проект разработан внутри Microsoft для тестирования своих собственных проектов. Дело в том, что использование фаззеров является обязательным этапом методологии SDL (Security Development Lifecycle), принятой в Microsoft для разработчиков безопасного кода, включающей помимо прочего обильное fuzz-тестирование. Minifuzz можно натравить на любое приложение; главное, чтобы в качестве параметра для запуска оно воспринимало указание на файл, который ему необходимо открыть (скажем, winword.exe test_sample.doc). Для начала работы необходимо набрать несколько образцов "правильных" файлов и положить их каталог, обозначенный как Template files, а также выбрать приложение для проверки, указав формат параметров для его запуска. Когда ты нажмешь на кнопку Start Fuzzing, программа возьмет один из образцов, изменит некоторые байты внутри него (количество изменяемых данных зависит от параметра Aggressiveness) и скормит его исследуемому приложению. Если тестируемая программа не вылетит через некоторый таймаут (по умолчанию 2 секунды), значит, тест пройден успешно.

В зависимости от того, где осуществляется манипуляции с данными, фаззинг разделяется на множество категорий. Один из самых простых видов — файловый фаззинг, подразумевающий, что некой программе предлагается открыть некорректно составленный файл. Возьмем, к примеру, прогу для просмотра картинок. Если взять JPEG-файл и интересным образом поменять несколько байтов, то эта программа вполне возможно выругается: "Что это ты мне подсунул?". А, возможно, вообще не сможет его переварить и вылетит, к примеру, с проблемой переполнения буфера. Значит, ее теоретически можно расковырять, доведя дело до рабочего эксплойта.
Если говорить о способе манипуляции с данными, то фаззинг распределяется на генерацию и мутацию. Генерация — это случайным образом придуманный набор байтов, который подсовывается той же проге для просмотра картинок со словами: "Это на самом деле JPEG-файл, читай его". Мутация — прием намного более изящный, подразумевающий внесение изменений в "хороший", то есть вполне корректный файл.

Под давлением защитников авторских прав власти Финляндии готовятся к принятию законопроекта о борьбе с незаконным файлообменом. Согласно новому закону, всех нарушителей будет ожидать... предупреждение от провайдера.
Антипиратские законы, как известно, не появляются на пустом месте. По данным крупнейших провайдеров страны (Elisa и Sonera) файлообменом увлекается не менее половины пользователей, поэтому не удивительно, что и здесь существует мощное лобби владельцев авторских прав. Однако, очевидно, что это лобби в Финляндии несколько слабее, чем в ряде других стран.
Дело в том, что нынешний законопроект имеет много общего с аналогичными законами, уже принятыми во Франции и в Великобритании. Но лишь с одним небольшим отличием - в финской версии никаких наказаний для пользователей, вроде лишения доступа к Сети, вообще не предусматривается.
Процедура будет примерно следующей: представители правообладателей своими средствами будут мониторить случаи незаконного файлообмена и уведомлять об этом интернет-провайдеров. Провайдер же будет обязан направить подозреваемым пользователям письмо с предупреждением. В случае, если предупреждение будет проигнорировано, с пользователем ничего не произойдет.

Сегодня в 20:00 по московскому времени корпорация Microsoft выпустит внеочередное обновление, устраняющее критическую уязвимость в операционных системах семейства в Windows, возникающую при обработке файлов ярлыков с расширением .lnk. Внеплановое появление патча вызвано степенью опасности данного бага, который в настоящее время широко используется злоумышленниками.
Первым вредоносным приложением, эксплуатирующим данную брешь, стал сетевой червь Win32/Stuxnet, атакующий промышленные системы диспетчерского управления и сбора данных. По состоянию на текущий момент сильнее всего от этого вируса пострадали компьютеры в США и Иране, где зафиксировано 58% и 30% инфицированных Win32/Stuxnet машин соответственно. На Российскую Федерацию приходится 4% пораженных данным вредоносным программным обеспечением компьютеров.
Win32/Stuxnet - целевая шпионская программа, особенно опасная при распространении в корпоративном секторе. Она не только использует непропатченную уязвимость в обработке ярлыков .lnk, но и обходит технологию HIPS, как раз-таки и предназначенную для отражения внешних атак. Обход HIPS в данном случае стал возможен благодаря наличию у вируса легальной цифровой подписи Realtek. В настоящее время известно еще несколько вирусов, использующих баг в обработке ярлыков, и их число продолжает расти.

На хакерской конференции Black Hat состоялась церемония присуждения наград The Pwnie Awards, призы в которой были распределены по семи категориям и достались компаниям, создавшим самые глючные и уязвимые приложения, а также экспертам, их обнаружившим. В номинации “Самый громкий провал” победу одержал браузер Internet Explorer 8, в системе защиты которого от межсайтового скриптинга нашли баг, позволяющий этот межсайтовый скриптинг осуществлять.
Церемония The Pwnie Awards проводится с 2007 года, когда идею вручения таких наград предложили исследователи Дино Даи Зови и Александр Сотиров. Два этих эксперта до сих пор входят в состав судейского комитета, в котором заседают также HD Moore, Марк Дауд, Халвар Флэйк, Дейв Голдсмит и Дейв Эйтель.
В номинации “Лучший баг на стороне сервера” победил Медер Кадыралиев, обнаруживший критическую уязвимость в инфраструктуре Apache Struts2. Награду за лучший баг на стороне клиента забрал Сами Койву, создавший эксплоит, подрывающий основы модели безопасности Java.

Исследователи обнаружили критическую уязвимость в последней версии операционной системы Mac OS X, которая вот уже почти семь месяцев остается непропатченной.
Проблема кроется в возможности переполнении буфера, которое может быть использовано удаленно для выполнения в системе вредоносного кода. По информации исследователя Максимильяна Арцимовича, практически все устройства, производимые Apple - персональные компьютеры Mac, серверы, смартфоны iPhone и даже сетевые проигрыватели Apple TV, могут страдать от этого бага.
Польская фирма SecurityReason.com, в которой работает эксперт, предупредила Apple о наличии бреши еще в середине июня 2009 года, а в прошлом месяце направила повторное уведомление, однако баг до сих пор не исправлен.В отличие от Apple, разработчики OpenBSD, NetBSD, FreeBSD и ряда приложений Mozilla успешно закрыли аналогичные бреши, в некоторых случаях – через несколько часов после получения уведомления. Баг широко распространен, поскольку ему подвержены те программы и операционные системы, которые используют функцию работы с плавающей запятой gdtoa.