Этюд в цифровых тонах
Xakep, номер #049, стр. 049-050-2
>telnet 123.123.123.123 80
HTTP/1.1 200 OK..Date: Wed, 16 Oct 2006 25:13:05 GMT..Server: Apache/1.3.12 (Unix) PHP/4.0.2
Приехали =). Линух, апач 1.3.12 + PHP 4.0.2. В одном из недавних номеров "Х" была статья "TOP10 exploits". Вот на третьем месте как раз находится 7350fun, который и дает шелл на сервере с правами апача (обычно nobody), но и это уже немало. Сразу запускать сплоит хакер не стал. Почему? А он не знает. Захотелось ему исследовать сначала веб-контент, а также его интересовал 81-ый порт. По урлу http://123.123.123.123:81 открылось окошко для ввода пароля:
О! Кобальт. Знакомая ему штучка. Он нажимает "Отмену" и видит знакомую надпись:
Authorization Required
This server could not verify that you are authorized to access the document you requested. Either you supplied the wrong credentials (e.g. bad password), or your browser doesn't understand how to supply the credentials required.
... и Кобальт предлагает перейти в "Home Directory" по линку http://123.123.123.123:81/.user/cobalt/, а в браузере появляется урл http://123.123.123.123:81/.cobalt/sysManage/. Ну зачем ему sysManage, тем более что там .htaccess на директорию? Хакер переходит просто по http://123.123.123.123:81/.cobalt/ и видит красивый контент:
Кликая крысой на "userList", он получает список всех юзверей (числом около полусотни), прописанных в системе в html-формате. Хакер берет первый попавшийся короткий логин, коннект фтп-клиентом на фтп, вводит пароль, такой же, как и логин, и он проходит. В принципе, этого и следовало ожидать. В больших конторах, в которых на серверах много юзверей, так до сих пор и делается. Точнее юзвери обычно сами себе пароли такие ставят. Результат: никаких суперфишек использовано не было, всего лишь банальные ошибки в администрировании и отсутствие проверки сервисов, установленных по дефолту. А это всего лишь начало.
Lamers inside
Так как админ заботливо предоставил ftp- и ssh-доступы, то машина, считай, ему уже не принадлежала. Первым делом внутри набирается команда "who". На тот момент хакер оказался один в системе. Ну и здорово. Конторы обычно работают днем, а время уже было больше четырех утра. В данном Кобальте пароли криптовались еще по DES'у и валялись в легендарном /etc/passwd с правами 644 =). То есть забрал хакер файл с паролями без всяких local exploits и прочего. Теперь надо было узнать инфу о сетевых интерфейсах:
[vasya@mail /sbin]$ ./ifconfig
lo Link encap:Local Loopback
inet addr:127.0.0.1 Bcast:127.255.255.255 Mask:255.0.0.0
UP BROADCAST LOOPBACK RUNNING MTU:3584 Metric:1
RX packets:243598 errors:0 dropped:0 overruns:0
TX packets:243598 errors:0 dropped:0 overruns:0
eth0 Link encap:Ethernet HWaddr 00:10:E0:00:09:1B
inet addr:123.123.123.123 Bcast:123.123.123.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:506941 errors:0 dropped:0 overruns:0