книги хакеры / журнал хакер / 081_Optimized

FERRUM

PC_ZONE

ИМПЛАНТ

[ВЗЛОМ]

СЦЕНА

UNIXOID

КОДИНГ

КРЕАТИФФ

ЮНИТЫ

Легенда о жадном провайд и доблестном Sashiks Гуде

История взлома жадного до чужих денег

НЕДАВНО КО МНЕ ЗА ПОМОЩЬЮ ОБРАТИЛСЯ ОДИН ЧИТАТЕЛЬ. ПАРЕНЬ РАССКАЗЫВАЛ О ТОМ, ЧТО ВОТ УЖЕ НЕСКОЛЬКО ЛЕТ МЕСТНЫЙ ПРОВАЙДЕР ЧЕСТНО ВОРУЕТ ДЕНЬГИ С ЕГО АККАУНТА И ВЫСТАВЛЯЕТ ЗВЕРСКИЕ СЧЕТА ЗА СВОИ УСЛУГИ. НЕСЧАСТНЫЙ ЮЗЕР ПОСЛУШНО ВЫКЛАДЫВАЕТ ЛОВАНДОС ЗА ИНЕТ (ВЕДЬ АЛЬТЕРНАТИВЫ НЕТ — ГОРОДОК МАЛЕНЬКИЙ И ISP ТАМ ТОЛЬКО ОДИН), В ТО ВРЕМЯ, КАК НЕКОТОРЫЕ («СВОИ») ПОЛЬЗОВАТЕЛИ ПРОВАЙДЕРА ОБЛАДАЮТ АНЛИМИТНЫМИ АККАМИ И ПОЛЬЗУЮТСЯ УСЛУГАМИ СЕТИ АБСОЛЮТНО БЕСПЛАТНО. ВСЕ, О ЧЕМ ПРОСИЛ БЕДОЛАГА,— ДОСТАТЬ ЭТИ САМЫЕ БЕЗЛИМИТНЫЕ ПАССЫ, ЧТОБЫ ХОТЬ НЕМНОГО СОКРАТИТЬ ДЕФИЦИТ СВОЕГО БЮДЖЕТА. ВНИМАТЕЛЬНО ПРО- ЧИТАВ ПИСЬМО, Я РЕШИЛ ПОМОЧЬ |

и наказание]

довольно рискованнеблагодарное занятие, провов содерсостав специалис- и крутых сисадминастоящий хак про-

вайдера (а не кража pwl'ок через шары) дело нелегкое, и я бы, наверно, ни за что не согласился бы откликнуться на отзыв неудачливого чела, если бы не посчитал это правильным. Суди сам, ведь втихую снимать деньги с баланса пачками в корне неправильная политика, и это, по сути, незаконно — обдирать народ. А любое преступление должно быть наказано. По-своему. В этот раз я решил выступить в роле правосудия. Моя задача была довольно тривиальна — получить доступ к серверу и проникнуть в базу биллинговой системы

SASHIKS

(хы, он сказал тривиальная :)). Если честно, я не знаю, зачем пошел на это дело, ведь кроме того, что я мог нажить себе кучу неприятностей от провайдерского суппорта, я ничего не получал. Ну да ладно, к черту мелочи, пора приступать к активным действиям :).

[за огненной стеной] Получив адрес сайта, я запустил с шелла nmap. Пока сканер делал свое грязное дело, я решил взглянуть на сайт V.I.S.P.'а (это название провайдера). Главная страница выглядела довольно прилично, все было на своем месте — тарифы, статистика, веб-интерфейс к мылу, гостевая книга, ссылки. Были даже чат и форум (не надо так улыбаться — это не phpBB 2 :)) — они стали первыми претендентами на тщательное обследование. Прошло уже несколько минут и nmap, скорее всего, уже закончил свою боевую разведку. Но не тут-то было! Сканер упорно молчал довольно долгое время. Либо это сетевая IDS на сервере, либо хорошо настроенный файрвол, а, может, и то и другое. Данное суждение никак не могло радовать. Чтобы убедиться, что же такое в конце концов мешает скану, я решил телнетом опробовать несколько стандартных портов. Большинство демонов молчали и надпись Connection Refused не появлялась — значит, сервер охранялся файрволом. Так что далее копать эту тему не стоит, и на сервисы, которые крутились на машине, я решил забить. Ладно, пора вернуться к вебу. Перед тем, как ковырять чат с форумом, неплохо было бы заглянуть в гостевую. Отзывов было немного, в основном от админа, который восхищался своим чудесным сайтом :). Мое внимание привлекла адресная строка в браузере index.php?page=gb/guestbook.php. С виду напоминает любимый всеми including. Попробовав подставить в параметр page незабвенную строку ../../../../etc/passwd, получил сообщение о том, что в ссылке присутствуют недопустимые символы. В итоге выяснилось, что скрипт жестко контролировал вхождение «точки» и «слэша» в имя файла, а это значило, что от инклуда сценарий был защищен надежно. Между тем замечу, что в этой истории таких ситуаций будет много, когда, казалось бы, уже найден известный баг и его реализация, но на самом деле все намного сложнее, и, чтобы решить задачу, нужно подойти к ней нестандартно, не так, как обычно. А теперь приступим к ковырянию чата. Зайдя по линку в чат, я сразу же узнал в нем довольно популярный движок Sp-Chat, которые молодые web-мастеры часто используют в своих проектах. Довольно странно, ведь в письме чел сказал, что техобслуживание у них нехилое, и спецов не меняют. Хм, может под «техобслуживанием» имелись в виду не навороченные web-мастеры, а профессиональные технички с ВО и красными дипломами :). Хотя, чего греха таить, в одно время я и сам использовал Sp-Chat на одном из своих проектов, и поэтому отчетливо помнил, что пароли юзеров можно было подсмотреть в одном из файлов. Я, конечно, не помнил, были ли они в plain тексте или нет, но знал наверняка, что доступ к ним получить возможно. А если в чате тусуется сам администратор, то можно заполучить заветный логин:пароль, правда, пока неясно к чему, ведь доступ к машине был наглухо зафильтрован файрволом, а админский интерфейс к сайту я еще не нашел. Впрочем, сейчас это не так уж важно. Первым делом нужно было достать сорцы чата. Я отправился на www.woweb.ru, и в разделе скрипты ! PHP ! Чаты нашел нужный нам движок, благо, версии у них были идентичны: 2.21. Скачав архив, я принялся тщательно изучать сорцы.

HOOD

ВЗЛОМ 062]

как много юзеров хороших, но меня сегодня что-то тянет на плохих

хилая стопка сайтов с описанием багов к борде. В первую очередь там фигурировали разнообразные дырки, которые позволяли осуществить XSS. Но больше меня заинтересовала возможность раскрытия пользовательских данных. Сейчас немного расскажу об этом баге. Допустим, форум установлен в каталоге /home/public_html/pblang/. Если мы залогинимся и обратимся с браузером к www.example.com/pblang/sendpm.php?to=admin&subj= you_are_mafaka&num=1&orig=/home/public_html/pblang/db/members/admin, то в результате должны прочесть файл с пользовательскими настройками, где будет находиться вся информация об этом юзере. Самые сладкие сведения лежат в первых нескольких строках:

$userid="1";

$password="тут будет MD5 хэш"; $username="Cool_Admin";

Теперь мне оставалось лишь составить подобный линк и скормить его браузеру, чтобы в ответ получить данные администратора с ником mayurev. Но меня постиг облом — вместо ожидаемой инфы меня просто перебросило в форму для отправки PM. Значит, нужно было искать другой путь. На некоторое время я задумался, что может мне помочь продвинуться дальше. Проходя весь путь от захода на сайт до текущего момента, я вспоминал детали. Вспомнив, что, ковыряя чат, я мог просматривать содержимое его папок, причем вложенный в каталог .htaccess не активировался и не препятствовал просмотру. Если с помощью уязвимостей в форуме я не могу читать пользовательские файлы, то стоило попробовать просмотреть директорию через браузер. В адресной строке я дописал db/members/ и ...

увидел конфиги всех юзеров борды с мылами и хэшами паролей! Достав конфиг mayurev, я загрузил его в MD5Inside. Запустив софтину, я стал ждать. Но гадский пароль не хотел расшифровываться ни в какую. Прошло больше четырех часов, а перебор все продолжался и продолжался. Я решил не ждать окончания брутфорса, а продвигаться дальше, ведь, если что, мне было куда отступать — у меня была база с форума.

[infiltration] Как ты уже понял, в ходе исследования сервера я обнаружил возможность просмотра содержимого каталогов web-сервера. Впрочем, это получалось не всегда, но даже в таком случае просмотр блокировался не apache, а web-скриптом, который входил в комплект какого-нибудь проекта. Например, та же борда не позволяла мне шастать по всем папкам, выдавая Nice try bozo! :).

И я вновь вернулся на главную страницу . Адрес ее выглядел так: www.visp.com.ua/site/3/index.php. Теперь, зная, что возможно читать практи- чески любой каталог в DOCUMENT_ROOT, я смело изменил содержание адресной строки на www.visp.com.ua/site. Передо мной вырисовалась довольно любопытная картина:

в папке лежали две неизведанные папки и несколько гифок: /4 и /5.

ковыряем сорсы чата

В папке /4 лежал какой-то небольшой сайт, и что-то в нем мне показалось очень знакомым, он имел что-то схожее с index'ом V.I.S.T'a. И только перейдя в /5, я все понял, потому что в верхушке страницы красовалась надпись: «Автоматическая система управления сайтом «PHP Zener». Причем структура сайта была как две капли воды похожа на предыдущую. Вывод напрашивался сам собой — во всех трех папках (включая сам сайт провайдера) лежит одна и та же CMS. Да, действительно, провайдерский сайт был построен на этой системе, о чем правдиво свидетельствовало лого Powered by PHP Zener на главной страничке у ISP. Так, теперь нужно нарыть сорсы этой ЦМС, чтобы продолжить ковырять сайт. На сайте производителя я нашел 300-килобайтный архив с сорцами системы.

Давай разберемся, зачем мне понадобились исходники. Как в любой системе управления, в ZENER PHP есть администраторский интерфейс. Кроме того, большинство бесплатных скриптов имеют стандартные, заданные по умолчанию комбинации «логин:пароль». В исходниках я хотел найти именно дефолтный аккаунт, для того, чтобы потом попробовать залогиниться в CMS. Разархивировав сорцы, я бегло начал просматривать папки со скриптами. Внимание сразу же привлек файл userslist.php. Да, так я и думал — именно в нем и находились две стандартные учетные записи admin и editor. Хотя вместо паролей в чистом виде там лежали уже порядком поднадоевшие хэши, но это не было такой уже трагедией, так как не сложно было догадаться, какие пароли стояли по умолчанию к этим учетным записям :). Вернувшись на сайт с CMS в папку /5, я залогинился под admin:admin, и под списком разделов в левой части меню появилась ссылка на админский интерфейс! Теперь я админ, да здравствует Франция! :)

[административные проблемы] В центре администрирования меня прежде всего заинтересовал раздел «Файловый архив». Как было написано в хэлпе, тут можно было с легкостью создать группу файлов и загружать/удалять из нее инфу. Впрочем, все обстояло немного по-другому. Загрузить файл у меня не получалось, и причина крылась не столько в кривых руках, сколько в специфической структуре CMS. То есть «зака- чать» файл на сервер было нельзя, можно просто из этого меню сделать на него линк, в то время как сам файл должен находиться на локальной машине в папке download. Если же инфа находится на удаленном хосте, то на нее просто создается прямая ссылка. Получив облом с заливкой, я перешел в раздел «файловый менеджер», и тут неожиданно скрипт заругался на отсутствие какого-то конфигурационного файла. Либо это было сделано намеренно, либо web-мастеры профессионально курят бамбук :).

Так как работать с файлами я не имел возможности, я начал искать, куда бы можно было вставить свой php-код. Кроме того, редактировать я мог не все разделы из центра администрирования, что было довольно странно (к примеру, если я пытался изменить внешний вид главной страницы, то изменения попросту не сохранялись — как будто я был непривилегированым пользователем). Все эти обстоятельства заставили меня искать нестанда-

XÀÊÅÐ 09 [81] 05 >

БЕСПЛАТНЫЙ СЫР

Как ты видишь, сайт ISP состоял практически полностью из фриварных скриптов и был построен на основе небольшой бесплатной CMS, что от части его и погубило. Вспомни, бесплатный сыр бывает только в мышеловке. Фриварные скрипты

тем и хороши, что ты всегда можешь скачать их и, при желании, разобраться в структуре сценариев. Поэтому если ты увидел какой-нибудь популярный движок на сайте, то смело ищи в интернете архив с его исходником и принимайся за изуче- ние. Можно также обратиться к пор-

талам по компьютерной безопасности, где, вероятно, будет информация об уязвимостях проекта. Но глупое «скачал ! запустил» не должно становиться принципом. Ведь, если грамотно настроить даже фриварный проект, тебя вряд ли поломают злые хакеры. Имей это в виду.

ВЗЛОМ 064]

функциональная CMS ZENER

ртный выход из ситуации. Но я продолжил поиски для внедрения в сайт произвольного php-кода. Я выяснил, что данные можно было вставлять либо в тело новости, либо в текст статьи. Причем тэги «<» и «>» фильтровались. Нужно было действовать другим путем. Давай на секунду приостановимся и еще раз выясним, как все обстояло. Во-первых, на машине было 3 CMS, причем к двум из них я имел доступ (они были «пустышками», то есть рабочие сайты на них не крутились, был только основной шаблон. Третья CMS как раз работала в качестве сайта ISP, но залогиниться под админом туда было нельзя, потому что самой формочки для аутентификации просто-напросто не было. Решено было попробовать исследовать систему управления сайтом в папке /4. Туда я тоже залогинился под admin и опять прошелся по разделам — снова та же ситуация, что и в прошлой CMS. Но точно я знал, что разгадка крылась где-то рядом, но не мог понять, где именно. И вновь что-то заставило меня вернуться на главный провайдерский сайт. И тут, к моему удивлению, под меню с линками на форум, чат и гостевую появилась ссылка на администраторский интерфейс! Давай разберемся, почему это произошло. Смотри, когда я логинюсь под админом, в папке /5 или /4 начинается новая админская сессия. Как ты знаешь, обыч- но сессия длится до закрытия браузера, и действует она в пределах всего домена, который эту сессию открыл. А это значит, что если бы я залогинился в одной CMS, то автоматически логинился бы под тем же юзером на других. В обычном состоянии линк на панель администрирования недоступен, но как только ты заходишь под администратором, ссылка появляется. Я был на сто процентов уверен, что именно в этой CMS'ке файловый менеджер работает нормально и без косяков. Но картина оказалась не самой утешающей — та же ошибка об отсутствии файла. Перейдя в пункт «Внешний вид» (там содержится инфа о том, как будет отображаться главная страница), я увидел формочки с подписями «баннер» и «счетчик» (там хранились их html-коды), причем в поле «счетчик» php-тэги не фильтровались, там напрямую подключался сценарий счетчика! То есть, другими словами, я мог вставить в это окошко свой кусок кода, и он должен был выполниться.Я скопировал текст счетчика в блокнот, а на его место всунул нехитрый скрипт <?php system("id"); ?>. Сохранив изменения, я обновил главную страницу (счетчик находился на ней), но результата выполнения команды видно не было. Я был уже в одном шаге от успеха, но мне осталось разобраться, почему не происходило сохранения изменений. Методом исключи- тельно научного тыка я попал в раздел «управление пользователями» и увидел несколько учетных записей. Человек пять из них были простые юзеры, и лишь один обладал правами админа сайта — это был тот самый mayurev :).Я просмотрел инфу о его учетной записи: тут было очень много полезных данных, в том числе и форма для изменения пароля. То есть, грубо говоря, я мог внаглую поменять пароль mayurev'у, залогиниться под ним и сделать с сайтом все что угодно, начиная от красивого дефейса, заканчивая выполнением системных команд через формочку для кода счет-

вся правда об админе

чика и полным дестроем сайта. Причем никаких ограничений у этого пользователя, в отличии от юзера admin, не было. Впрочем, было одно «но»: если я поменяю пароль, то спалюсь. К счастью, CMS у нас была, как ты помнишь, не одна, а целых три (в папках /3, /4, /5). Возможно, mayurev создал несколько учетных записей в одной из этих (в качестве теста). Так

èслучилось — в CMS /4 был создан точно такой же пользователь mayurev с неограниченными правами. Все! Выход найден. Меняем маюреву пароль и заходим под ним в раздел «внешний вид», где в форму счетчика вписываем <?php system("uname -a; w ; ls -la /"); ?>. Сохраняем изменения,

èтопаем на главную страницу — ура! Системная команда выполнилась,

èпоказала версию ОС (к слову, это был линукс с неандертальским ядром 2.2.24). Теперь самое время начать свое вторжение к центру машины.

[последние штрихи] Самый простой план действий состоял в загрузке на сервер web-шелла и последующей организацией back-connec- t'a (ведь все порты тачки были наглухо закупорены файрволом). Сказано — сделано, загрузив rst шелл (уже ставший классикой), я запустил на своей доверенной машине netcat на 4000 порту.

Реверсивный перловый бэкдор послушно приконектился. Теперь у меня был доступ к полноценной оболочке. Следующим моим заданием было выявление местонахождения биллинговой базы. Это было довольно просто. На главной странице V.I.S.P'а была ссылка на статистику использования аккаунта. Скрипт статистики был нехитрым: нужно было ввести логин и пароль, причем сценарий страдал простейшей SQL-инъекцией. Если в качестве пароля передать кавычку ('), скрипт без вопросов пропустит на страницу и выведет подробный отчет о состоянии счета (жалко, что пароль не выводил). Если скрипт выдает инфу о счете, значит, он напрямую связан с биллинговой системой. Сценарий статистики назывался account.cgi. Поэтому мне оставалось вбить в консоли locate account.cgi и сделать head на нужный файл

успешная атака святая святых провайдера — биллинговой базы

XÀÊÅÐ 09 [81] 05 >

СКРЫТНЫЙ ИНДЕЕЦ

Вообще-то по умолчанию индеец Apache не должен показывать содержимое каталогов. Специалисты и вовсе рекомендует отключать индексирование каталогов. Если ты параноик, то можешь вообще удалить модуль mod_autoindex. Если же индексация каталогов все же нужна, то

необходимо позаботиться, чтобы конфиденциальные данные были защищены. Для этого придуманы файлы .htacces

.htpasswd. Они служат для разграниче- ния доступа и аутентификации. Поэтому, если тебе дорога твоя инфа, не поленись запретить важный каталог для просмотра извне. Например, так:

linux_box# cat>.htaccess Order deny,allow

Dene from all

Allow from 127.0.0.1

Это запретит кому-либо просматривать эту директорию, если только подключе- ние не было осуществлено c локалхоста.

вал обращения по умолчанию равен одной секунде — это видно из последующих директив. Таким образом, если кто-то обратился к одной странице трижды за одну секунду, IP-адрес неприятеля будет заблокирован. Тот же самый результат произойдет в случае многократного обращения (50 попыток в секунду) к любой странице сайта. Однако по умолчанию модуль просто возвращает ошибку 403 после блокировки. Даже в этом

случае при масштабной атаке нагрузка на сервер может быть очень большой. Чтобы избежать подобного, я настроил модуль на простое добавление адреса в блэк-лист

/var/log/niggerz с последующей обработкой этого файла специаль-

ным скриптом. Следовало учитывать, что операция записи происходит с правами nobody, поэтому необходимо установить атрибут 666 на файл. Итак, система была настроена, и оставалось лишь запустить httpd. Как и ожидалось, после старта в списке злобных ниггеров стали появляться первые IP-адреса. Но почему-то там их было не так много, как я предполагал. Каждую минуту через crontab запускался специальный скрипт,

ПОХОЖИЕ ФАЙРВОЛЫ

Если ты счастливый обладатель Linux, то переделать скрипты не составит особого труда. Следует лишь вместо ipfw использовать файрвол iptables. Однако нужно помнить, что слово setup, которое отвечает за тип ESTAB- LISHED-соединения, должно быть заменено на конструкцию -m state --state ESTABLISHED.

Следует также внедрить механизм сохранения правил после перезагрузки. Здесь существует два варианта — либо пользоваться сервисными командами (наподобие, /sbin/service iptables save), либо заносить правило в список вручную. При последнем приеме не забывай, что список правил iptables обычно хранится

â /etc/sysconfig/iptables.