Green Dam == Amateure am Werk

Oh Mann. Wikileaks hat einen Exploit gegen die Green Dam Selbstzensurware veröffentlicht.

Dabei spricht die Angriffsmethode Bände über das Können der Green Dam Autoren.

Der Codeschnipsel exploit.cs besteht aus nicht mehr als einem NOP sled sowie etwas Code zum Ausführen von CALC.exe. Das sollte dann natürlich gegen eine passendere Payload ausgetauscht werden, falls man das wirklich anwenden will… :) Was jedoch von dem Exploit ausgenutzt wird, ist ein klassicher Stack Overflow, ausgelöst durch zu lange URLs!

function x()
{
var url='';
for(var i=1; i<=2035; i++)
 url += '$'; // '$' = 0x24, eip = 0x24242424, hum?;-)
window.location=url + '.html';
}

Ich fass es nicht. OK, da sollte man vor dem Produktivbetrieb noch etwas dran Schleifen. Das Reinladen der DLL mit der Payload z.B. ist sehr unschick; die Payload könnte andersweitig wesentlich besser und unauffälliger im Speicher gepflanzt werden. Aber die Qualität der ersten publizierten Lücke lässt schon Aufschluss über die Softwareschmide zu, die das gebaut hat. Weiter so, weiter so! Wir brauchen mehr inkompetente Zensurinfrastrukturcoder, dann fährt das alles von selbst gegen die Wand.

Zensur und Überwachung im Iran

Das Wall Street Journal hat unlängst einen Artikel über die Mithilfe westlicher Firmen an Filter- und Webüberwachungslösungen im Iran veröffentlicht. Konkret geht es in diesem Fall um Nokia Siemens Networks [die Netzwerksparten von Nokia und Siemens sind vor ziemlich genau 3 Jahren miteinander verschmolzen, das scheint dem WSJ-Journalisten im Artikel nicht ganz bewusst zu sein; seine Wortwahl stellt Nokia und Siemens als eigenständige Firmen dar] Wired’s Threatlevel geht näher auf diesen Artikel ein, gibt aber auch leider nicht genau an, welche Technologie genau an den Iran verkauft wurde (es wird in dem Artikel von einer Broschüre gesprochen, diese ist jedoch nicht verlinkt). Siemens Nokia selbst hat eine Presseerklärung heraus gegeben, in der sie durchblicken lassen, dass lediglich Lawful Interception Equipment an den Iran verkauft wurde. Also Gerätschaften, wie sie in Deutschland aufgrund der TKÜV [und nicht nur in Deutschland, in vielen anderen europäischen Ländern auch] für jeden grösseren Telekommunikationsprovider verpflichtend ist. Was weniger bekannt zu sein scheint: Die im Iran scheinbar am weitesten verbreiteteste Filterlösungen sind hausgemacht. Die Firma Amnafzar stellt zwei Produkte in diesem Kontext her: zum einen den Separ Web Filter, eine stand alone Lösung, zum anderen den Sarand Web Filter, der für Microsoft ISA Server konzipiert wurde. Nach meinem derzeitigen Informationsstand ist der Separ Web Filter der im Iran von den meisten Providern eingesetzte. Ein Produktdatenblatt, allerdings in Farsi, gibt es direkt beim Hersteller. Lustigerweise hat dieser auch eine lustige Fehlermeldung, falls man etwas vom ausgetrampelten Pfad abweichen will:

You reach Amnafzar Corp. We know security very well. Thus, you cannot find any security Hole here. So, Stop and try other places. Goodbye

Wenn man ein bisschen nach den Begriffen “Separ”, “Amnafzar” und “Sharif Secureware” googled, kommt einiges an Informationen zu Tage. Zum Beispiel eine Fotogallerie, die anscheinend die Geschäftsräume von Amnafzar zeigt. Aber auch einige CVs von ehemaligen Mitarbeitern unter, die interessante Informationen über das Produkt offenbaren, z.B.:

The goal of Separ project was to implement an in-kernel URL-filter. The product was initially implemented in academic area, but now it is fully commercial device and it is used in many places in Iran. For this device I also implemented a driver for its small LCD screen and a few number of buttons.

Aus Mailinglist-Archiven lässt sich ausserdem die Vermutung ableiten, dass Separ auf RHEL basiert, um Hochverfügbarkeit zu erreichen.

Falls jemand mehr sachdienliche Information zu diesem Thema haben sollte: immer her damit!