Взлом internet-магазина: взгляд изнутри

Dreamer

Xakep, номер #050, стр. 050-060-3

Немного о параметрах John'a. Параметр -rules подбирает пароль с усложнением словарного слова (замена регистра, вставка цифр после слова и т.д.). Также существует метод -single (без параметра -w). Он подбирает пароль относительно заданного логина. Короче говоря, задача взломщика - любыми путями расшифровать этот пароль. Это довольно сложно.

Изучение движка и структуры магазина

После того, как хакер добыл аккаунт на web-админа магазина, он травит на него свой браузер (предварительно установив proxy, либо цепочку анонимных проксей, так как web-сервер ведет логи, а светить свой ip небезопасно).

В первую очередь ему нужно посмотреть, сколько оплаченных заказов в день проходит через магазин. Для него это важно, так как, если в день проходит около 200-300 заказов и более, шанс на то, что заказанный товар вышлют, и за хакером никто не придет, резко возрастет. В противном случае ему следует серьезно задуматься, стоит ли рисковать.

Во-вторых, порядок оформления заказа: как правило, российские магазины позволяют расплатиться за заказ почтовым переводом, и в случае перечисления денег отправляют заказ клиенту. Это, пожалуй, идеальный вариант. Его задачей будет через несколько дней после того, как он сделал заказ, поменять статус заказа на web-панели на оплаченный, и ждать товара =). Это все в теории. На практике все может оказаться немного сложнее, поэтому первый заказ хакер может послать своему корефану, который ничего не смыслит в компах, а тем более во взломе. Затем, если все ок, покупает у него свой заказ за бутылку пива. Если все проходит без последствий, он заказывает товар на себя. В то же время хакер не перегибает палку: не заказывает много товаров и не делает это слишком часто. А все дело в том, что убытки магазину должна списать бухгалтерия. На маленькие цифры могут закрыть глаза, но когда счет идет на тысячи долларов, тут ситуация непредсказуема. Также хакер как можно меньше светится на админ-зоне магазина и не рассказывает никому о факте взлома, иначе он может поплатиться.

Ахтунг, второй раз! Эта статья написана только в целях просвещения. Это ни в коем случае не руководство к действию. Все, что здесь написано, уголовно наказуемо! Не надо повторять описанные действия!

Далеко не все интернет-магазины стоят на сервере Linux. Достаточно много магазинов используют платформу Win2000-сервера. А там, как известно, полно своих багов - IIS, cart32 и многих других... Но, как это ни парадоксально, большая доля взлома приходится именно на Linux-сервера. Пингвин, пингвин...