Abo
  • Services:
Anzeige
Über Schadcode, den er in einem Jpeg-Foto platzierte, verschaffte sich der Hacker Marcus Murray Zugriff auf einen Webserver.
Über Schadcode, den er in einem Jpeg-Foto platzierte, verschaffte sich der Hacker Marcus Murray Zugriff auf einen Webserver. (Bild: Marcus Murray)

Evil Jpegs: Foto-Upload schleust Schadcode ein

Über Schadcode, den er in einem Jpeg-Foto platzierte, verschaffte sich der Hacker Marcus Murray Zugriff auf einen Webserver.
Über Schadcode, den er in einem Jpeg-Foto platzierte, verschaffte sich der Hacker Marcus Murray Zugriff auf einen Webserver. (Bild: Marcus Murray)

Fotos im Jpeg-Format werden beim Hochladen auf manche Webserver nur unzureichend geprüft. Darüber lässt sich Schadcode einschleusen und so unter Umständen ein gesamtes Netzwerk infiltrieren.

Anzeige

Der IT-Sicherheitsexperte Marcus Murray hat sich in die IT-Infrastruktur einer US-Bundesbehörde gehackt, bis hin zum Domainserver - mit Administratorrechten. Den Namen der Behörde wollte er nicht nennen. Murray nutzte dafür die Upload-Funktion eines Webservers und ein manipuliertes Profilfoto im Jpeg-Format. Sein Hack zeigt, dass Fotos oftmals nur unzureichend auf Schadcode untersucht werden und welche Konsequenzen das haben kann. Murray präsentiert seinen Angriff diese Woche auf der Sicherheitskonferenz RSA Security in San Francisco.

Murray untersuchte zunächst, ob er eine ausführbare Datei mit der Endung JPG auf den Windows-Webserver hochladen konnte. Dies verweigerte die Upload-Funktion erwartungsgemäß. Offenbar überprüft der Server den Header der manipulierten Datei, ob es sich tatsächlich um ein Jpeg-Format handelt, und ignorierte die Dateiendung. So weit reagierte der Server vorbildlich.

Wenn der Server aber die Dateiendung ignorierte, müsste es doch möglich sein, ein manipuliertes Jpeg-Bild hochzuladen, dachte sich Murray. Und tatsächlich konnte er sich so Zugriff auf den Webserver verschaffen. Dort fand er genügend Informationen, um sich weiter in die IT-Infrastruktur hineinzuhacken.

Schadcode im Foto ausführen

Sein Trick: Er platzierte Schadcode in das Kommentarfeld der Exif-Informationen in einer Jpeg-Datei. Dieser gab er wiederum die Endung aspx, wie sie bei Web Forms bei Microsofts Active Server Pages üblich sind. Der Webserver erkannte zwar das Jpeg als Bild, übersah aber die Dateiendung. Die Vorschaufunktion, die eigentlich das hochgeladene Bild anzeigen sollte, führte dann den Code in dem Kommentarfeld in Form einer Shell aus. Dort konnte Murray sich dann zunächst Informationen über den Server verschaffen, weiteren Code einschleusen und ausführen, durch den er Zugriff auf den Webserver über das Hackerwerkzeug Metasploit erlangte.

Der Webserver holte sich Daten von einem SQL-Server im gleichen Netz, dessen IP-Adresse und auch Zugangsdaten Murray in einem Backup des Codes auf dem Webserver entdeckte. Darüber erhielt er Zugang zunächst zu dem Server mit der Datenbank. Hier konnte er die IP-Adresse des DNS-Servers auslösen, der oftmals und auch in diesen Fall gleichzeitig der Domain-Controller ist. Mit Metasploit konnte sich Murray dann mit administrativen Rechten Zugriff auf den Domain-Controller verschaffen.


eye home zur Startseite
geeky 22. Apr 2015

Das stimmt schon - Allerdings kann der Webserver ja nicht hellsehen und einfach so...

M. 22. Apr 2015

Das Problem ist, dass viele die Validierung falsch angehen. Wichtig ist, unter welchen...

freebyte 22. Apr 2015

Gibts einen schönen Artikel in der F.A.Z. zum Thema: http://www.faz.net/aktuell...

b1n0ry 22. Apr 2015

r57.php.jpg lässt grüßen. Gute alte Zeiten :D

Argbeil 22. Apr 2015

Hat sich erledigt, habs verstanden, danke. Ist doch im Prinzip nur ein Upload-Validation...



Anzeige

Stellenmarkt
  1. SCHOTT AG, Mainz
  2. DMG MORI Software Solutions GmbH, Pfronten
  3. Graphic Group Mensch & Medien GmbH, Bielefeld
  4. Statistisches Bundesamt, Wiesbaden


Anzeige
Top-Angebote
  1. 34,99€ statt 67,90€
  2. 109,90€ statt 179,90€
  3. 199,99€ statt 479,99€ - Ersparnis rund 58%

Folgen Sie uns
       


  1. CPU-Bug

    Wie der Albtraum-Bug in Skylake gefunden wurde

  2. Netzwerk

    Huawei baut erste Testfabrik in Japan

  3. Amazon

    Sortiment in neuen Prime-Video-Ländern bleibt mickrig

  4. Ryzen Pro

    AMD bringt Core-i-vPro-Konkurrenten mit vielen Kernen

  5. Playerunknown's Battleground

    Crossplay für Inselkämpfer geplant

  6. Linux

    Systemd bekommt Werkzeuge zum Bauen und Verteilen von Images

  7. Sheryl Sandberg

    Facebook-Beschäftigte bekommen im Trauerfall Sonderurlaub

  8. Intel

    SSD 545s nutzt 64-Layer-Chips

  9. 10 Jahre iPhone

    Apple hat definiert, wie ein Smartphone sein muss

  10. Petya

    Die Ransomware ist ein Zerstörungstrojaner



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Neues iPad Pro im Test: Von der Hardware her ein Laptop
Neues iPad Pro im Test
Von der Hardware her ein Laptop
  1. iFixit iPad Pro 10,5 Zoll intern ein geschrumpftes 12,9 Zoll Modell
  2. Office kostenpflichtig Das iPad Pro 10,5 Zoll ist Microsoft zu groß
  3. Hintergrundbeleuchtung Logitech bringt Hülle mit abnehmbarer Tastatur für iPad Pro

Anki Cozmo ausprobiert: Niedlicher Programmieren lernen und spielen
Anki Cozmo ausprobiert
Niedlicher Programmieren lernen und spielen

Google Wifi im Test: Google mischt mit im Mesh
Google Wifi im Test
Google mischt mit im Mesh
  1. Prozessor Intels Skylake-X kommt zu früh
  2. Skylake-SP Intels Xeon nutzen ein Mesh statt Ringbusse
  3. Headset G433 im Hands on Logitech hat ein Headset genäht

  1. Re: Einfach nur schade.

    motzerator | 18:01

  2. Re: Und es wird noch weniger

    dopemanone | 17:53

  3. Re: Canon hats echt versaut

    pahnson | 17:46

  4. Re: Sein muss?

    humpfor | 17:45

  5. Re: ich sehe immernoch keinen unterschied

    gadthrawn | 17:44


  1. 17:41

  2. 16:41

  3. 15:12

  4. 15:00

  5. 14:41

  6. 14:13

  7. 13:18

  8. 12:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel