Этюд в цифровых тонах

Xakep, номер #049, стр. 049-050-1

Как ломалась одна контора в сети

X-KoDeX (xkodex@hack4joy.com)

Жила-была на просторах сети одна контора. Жила, никого не трогала... до поры, до времени. Но в один прекрасный день опрокинула через бедро эта организация одного человека на крупную сумму денег. Этот человек попробовал вернуть свои денежки, но все безрезультатно. Крепко стояла на ногах фирмочка, да и грины были не совсем чистые. Но это же Россия! Здесь может быть все плюс еще немножко. Человек тот начал наводить справки о возможном, так сказать, мщении. Вследствие аксиом "Земля круглая" и "мир тесен", вышел он на одного продажного хакера. Объяснил все, дал неплохой аванс и пожелал удачи =). Итого: из исходных данных - название конторы. Но и этого вполне достаточно для нахождения адреса в циферках.

Let the party begin!

Зашел сей хакер на http://google.com.ru, ввел название конторы, и третьим линком был "он самый" - домен второго уровня в зоне .ru. Пролукапил домен, узнал IP. Этот IP запастил в SmartWhois и немного призадумался. Диапазон адресов, который выдал хуиз, принадлежал провайдеру, а не конторе. Здесь может быть 2 варианта: либо контора хостится у провайдера (что не есть гуд, но разрешимо), либо проведена выделенка, и сайт (а значит и сервер) стоит непосредственно в самой конторе. Предпочтительней, конечно, второй вариант, но при любом раскладе рутить web-сервант ему придется по любому. Первым делом надо узнать, что это такое. Хакер полез в консоль:

[root@server1 bin]# nmap -sS -O -P0 -o $HOME/xex.nmap -p 1-65535 -v 123.123.123.123

Starting nmap V. 3.00 ( www.insecure.org/nmap/ )

Interesting ports on www.target.ru (123.123.123.123):

(The 65526 ports scanned but not shown below are in state: closed)

Port State Service

21/tcp open ftp

22/tcp open ssh

25/tcp open smtp

80/tcp open http

81/tcp open hosts2-ns

109/tcp open pop-2

110/tcp open pop-3

143/tcp open imap2

3306/tcp open mysql

Remote operating system guess: Linux 2.0.34-38

Nmap run completed -- 1 IP address (1 host up) scanned in 657 seconds

[root@server1 bin]#

Совсем неплохо =). Это называется "Welcome aboard".

Go, Niger, go!

По порядку:

>ftp 123.123.123.123

Связь с 123.123.123.123.

220 mail FTP server (Version wu-2.5.0(1) Tue Oct 5 00:37:46 PDT 1999) ready.

Пользователь (123.123.123.123:(none)): ftp

331 Guest login ok, send your complete e-mail address as password.

Пароль:

530 Can't set guest privileges.

Сбой входа.

ftp> quit

221 Goodbye.

Wu-2.5.0(1) - это, конечно, круто, но где анонимный вход, блин? Ладно, пошли дальше:

>telnet 123.123.123.123 22

SSH-2.0-2.2.0 SSH Secure Shell (non-commercial)

Это хакер отложил на потом... А со второй версией SSH'а можно долго промучиться.

>telnet 123.123.123. 25

220 mail.target.ru ESMTP Sendmail 8.8.8/8.8.8; Wed, 16 Oct 2006 25:07:02 +0300..

Где-то был сплоит под эту версию сендмыла. Хакеру в лом искать, посему пошел он смотреть остальные демоны.