Пароль "Рыба-Shit"

Master-lame-master

Xakep, номер #053, стр. 053-056-1

Реальные истории нашумевших взломов

Все мы смотрели бессмертные фильмы про хакеров: Хакеры, Матрица, Пароль "Рыба-Меч" и т.п. В них, конечно же, взлом секурных серверов производился за считанные секунды и всегда успешно. Это вызывало лишь гримасы на лицах людей, имеющих хоть небольшое представления о взломе. Ведь процесс хака может длиться неделями, а то и месяцами, и далеко не всегда успешно. Кому, как не хакерам, знать, что взломщик часто вздрагивает от телефонных звонков и нежданных гостей. Паранойя для хакеров обычное явление, и с этим ничего нельзя поделать...

Но хватит о грустном. Взлом сам по себе очень азартная штука. Он похож на экстремальный вид спорта - в любой момент хакера могут засечь, и все бессонные ночи, потраченные на сбор данных, сканирование, вторжение, окажутся напрасными. Но если хакер все же взламывает сервер, это подобно покорению горной вершины и сравнимо с победой в сложном поединке.

Досиживая ночь в сети и осознавая, что пора ложиться спать, один хакер краем глаза заметил загадочный приват в IRC. Как оказалось, его собеседнику уж очень приглянулся php-движок некоторой биллинговой компании. Взломщик хотел было забить на его просьбу - достать эти самые php-скрипты, но тот продолжал упрашивать, соблазняя нехилой суммой в случае успеха. "Это меняет дело", - подумал хакер и окончательно забил на все остальные дела. Заказчик оставил свой e-mail и попросил связаться с ним, когда все будет готово.

Сбор данных о противнике

Вооружившись nmap'ом, взломщик бережно пощупал сервер со всех сторон. Через десять минут stealth-скана, nmap выдал примерно следующее:

Starting nmap V. 3.00 ( www.insecure.org/nmap/ )

Interesting ports on www.icbill.com (213.43.4.23):

(The 1580 ports scanned but not shown below are in state: closed)

Port State Service

21/tcp open ftp

22/tcp open ssh

23/tcp open telnet

25/tcp open smtp

53/tcp open domain

80/tcp open http

110/tcp open pop-3

143/tcp open imap2

3306/tcp open mysql

Nmap run completed -- 1 IP address (1 host up) scanned in 610 seconds

Немного подумав, хакер решил проверить сервер на ошибки в httpd. Сделал запрос "HEAD / HTTP/1.0" и понял, что админы не лыком шиты - апач был последней версии, существовавшей на тот момент. Тогда хакер полез искать рабочую проксю на www.proxycheck.spylog.ru, а потом стал осматривать саму структуру движка. Вставка экзотических переменных в QUERY_STRING не дала никаких результатов. Возникла мысль, что у заказчика этого движка действительно хороший вкус. Побродив таким образом по вебу в течение минут двадцати, наш герой уж было отчаялся в успехе, как вдруг вспомнил, что допустил ошибку в сборе материала - он еще даже не знал операционной системы, под которой работает этот движок. Fingerprint nmap'а не сказал ничего вразумительного, а вот баннеры открытых 21 и 22 портов могли запросто выдать операционку. Для этого он воспользовался утилитой netcat:

[root@shell root]# nc icbill.com 21

220 ProFTPD 1.2.6 Server (ProFTPD on www.icbill.com) ready