BitTorrent用戶注意：漏洞將讓黑客控制你的電腦

最新 01-19

編者加註：BitTorrent是一種文件分發協議。它就像一個瀏覽器的插件，安裝完成後，似乎什麼都沒有生成，當你連上BT下載地址時，它才啟動。使用非常的方便，與HTTP、FTP等協議不同，以往這些下載的人越多速度越慢，而BT則是下載的人越多，速度越快。BT 已成為目前網上交流資源的最新方式。

導語：近日，來自谷歌Project Zero漏洞報告團隊的研究人員警告稱，廣為流行的BitTorrent應用程序——Transmission存在一個嚴重的漏洞。

BitTorrent用戶注意：漏洞將讓黑客控制你的電腦

BitTorrent客戶端Transmission被曝嚴重漏洞

近日，來自谷歌Project Zero漏洞報告團隊的研究人員警告稱，廣為流行的BitTorrent應用程序——Transmission存在一個嚴重的漏洞，黑客可以利用該漏洞在某些用戶的計算機上執行惡意代碼，該團隊一名研究人員還表示，其他的BitTorrent客戶端可能同樣會受到該漏洞影響。

據悉，Transmission 是一款深受各大PT站點喜愛的 BitTorrent 客戶端，如今已經發展成為橫跨三大主流桌面平台OS X、Linux和Windows的BT應用程序。

Project Zero團隊研究人員Tavis Ormandy已經在上周發布了關於該漏洞的概念驗（Poc）攻擊代碼，並詳細描述了如何利用BitTorrent應用程序漏洞操縱計算機設備的過程。通常情況下，根據軟體安全漏洞披露機制，Project Zero會在90天後，或是開發者修復漏洞後才會對漏洞細節進行公開披露。然而，在此次事件中，研究員Ormandy在提交給Transmission的私人報告中添加了一個用於修補該漏洞的補丁。但是Ormandy發現，直到報告提交40天後Transmission仍未應用該安全補丁修復這一漏洞，所以Ormandy最終選擇了於上周二公開披露了該漏洞細節。

對此，Ormandy在周二發布的一份公開報告中寫道，

令我感到沮喪的是，Transmission開發商並沒有重視該漏洞以及提交的安全補丁，我之所以選擇將此漏洞信息公開是為了確保公眾的知情權，讓Ubuntu和其他下游項目能夠獨立地應用這個安全補丁來修復該漏洞。

對於Ormandy的說法，Transmission開發負責人表示，他們會「儘快」發布官方修復程序，但是具體什麼時間會發布新版本目前尚不確定。他表示，只有當用戶啟用遠程訪問和禁用密碼保護時，該漏洞才會存在。所以，那些將未經修補的Transmission版本作為守護進程運行的用戶應該確保已經啟用密碼保護程序。

「DNS 重組」（DNS rebinding）技術再現

Ormandy發布的概念證明（Poc）攻擊代碼表明，攻擊者可以使用Web瀏覽器來控制BitTorrent應用程序，因為大多數人在使用JSON RPC介面的時候並不會啟用密碼保護，因為他們認為JSON RPC介面只能由具備物理訪問許可權的人所控制。但是，Ormandy指出，黑客可以通過被稱為「DNS rebinding（DNS重組）」的攻擊技術來控制JSON RPC介面，一旦受損設備用戶訪問了惡意網站，Transmission界面就能夠被遠程控制。

研究人員指出，包括Chrome瀏覽器和Firefox瀏覽器都能夠被利用上述技術來攻擊目標設備（包括Windows和Linux系統設備），此外，預計其他平台和瀏覽器也可能會受到該漏洞影響。

攻擊者可以通過創建他們有權與之通信的DNS名稱來利用該漏洞，然後將其解析為易受攻擊的計算機的本地主機名。Ormandy在其發布補丁信息的另一篇帖子中寫道：

一名用戶訪問了http://attacker.com這個網站，該網站代碼中包含了一個由黑客控制的二級域名；

黑客控制該DNS伺服器，然後使用較低的TTL值交換響應127.0.0.1和123.123.123.123這兩個IP地址，其中127.0.0.1是本地IP，而123.123.123.123則是黑客控制的IP地址；

當瀏覽器解析到123.123.123.123 IP地址時，黑客就會通過HTML方式告訴瀏覽器「本地DNS解析已經過期」，然後他們就有權讀取和設置標題。

攻擊者可以做的事就是把Torrent下載目錄更改為系統用戶的主目錄。然後，攻擊者就可以通過命令行的方式傳輸一個名為「.bashrc」的文件到Torrent下載目錄中，該文件可以在用戶下一次打開bash shell時自動執行。此外，攻擊者還可以遠程重新配置Transmission，以在下載任務完成後運行他們選擇的任意命令。Ormandy表示，該漏洞「複雜性相對較低，這就是我急於確保每個人都已經完成修復的原因所在。」

在一篇推文中，Ormandy稱該漏洞不僅存在於Transmission應用程序之中，但是鑒於90天漏洞保護期未到，所以他暫未公布其他的應用程序名單。

本文翻譯自：https://arstechnica.com/information-technology/2018/01/bittorrent-users-beware-flaw-lets-hackers-control-your-computer/

另來自綠盟消息：傳輸忽略私有信息披露

漏洞的技術分析表明,黑客可以改變種子的下載目錄,與此同時,使用傳輸運行命令時下載結束。

脆弱性是最糟糕的地方傳輸開發人員直到現在忽略了私人信息披露,在聽完解釋說,他甚至包括一個補丁來解決缺陷當他第一次與該公司聯繫。

「我發現這令人沮喪,傳輸開發者不回應他們的私人安全列表,我建議將這公開化,這樣獨立分布可以應用補丁。我猜他們不會回答,但是讓我看看,」谷歌研究人員說。

「我從來沒有一個開源項目花這麼長的時間,來修正漏洞之前,所以我通常不提了90天的限制,如果漏洞是一個開源項目。我想說平均響應時間以小時,而月如果我們談論的是開源的。」

安全漏洞發現作為Project Zero項目的一部分,通常是披露後90天以來的第一個報告一個補丁如果母公司沒有問題,如果早解決。然而這次,聽完後決定公開細節只有40天傳輸失敗後回答他的披露。