Пароль "Рыба-Shit"

Master-lame-master

Xakep, номер #053, стр. 053-056-2

^C punt!

[root@shell root]# nc icbill.com 22

SSH-1.99-OpenSSH_2.3.0 FreeBSD localisations 20010713

Вторжение и поиск

Вуаля! Вот и интересная информация. Наш деятель быстро догадался, что на сервере установлена FreeBSD. Подумав еще пару минут и взвесив все полученные данные, он порылся в своем архиве и нашел довольно старый эксплоит для дырявых версий telnetd. Суть его заключалась в пересылке 16-мегабайтного трафика на 23 порт, после чего система должна была сдаться и протянуть Remote-Root-Access. Хакера мучили смутные сомнения, т.к. этим сплоитом уже практически ничего нельзя было похакать. Но он все же попробовал... И к его удивлению эксплоит выдал слово PASSED, что означало совпадение операционки с ломавшейся осью. Теперь можно было немного вздремнуть в кресле. Сознание пробудилось при появлении надписи "uid=0(root) gid=0(root)" в консоли. Да, да! Вот она удача! Все-таки админы плохо следили за своим софтом, ведь зачем, спрашивается, крутить на сервере telnetd и sshd одновременно? Теперь надо было думать, что делать дальше с рутовыми правами :). Он быстренько создал нового пользователя, убедившись, что в системе никого нет (была ночь - админы спали). Затем, сменив ему пароль, заново залогонился по ssh. И это было пусть небольшой, но ошибкой, ибо логи сделали свое черное дело, записав вход хакера в бинарный wtmp и текстовый messages. О чистке логов взломщик позаботился несколько позже. Сейчас же его волновало другое - дружественное заимствование php-скриптов и дамп sql-базы. Но для начала он сделал себе нормальный рутшелл. Пришлось написать простенький сишник с функциями setuid, setgid и запуском /bin/sh. Далее следовал процесс компиляции, установки suid-бита под рутом и запуск нового шелла из-под обычного пользователя. Теперь у хакера был простой, но комфортабельный root-access с поддержкой псевдотерминала.

Его интересовало, что же работает на этом сервере. Для этого он набрал "ps ax" в консоли и стал разглядывать список процессов. На сервере было запущено много мусора, такого как: синхронизация времени, какие-то странные считалки трафика и прочая ерунда. Больше всего был интересен процесс httpd, а именно путь к настройкам сервера. Отыскав его, взломщик пропарсил файл на наличие директивы DocumentRoot. Именно через нее он мог узнать, где находятся php-скрипты. Но сами скрипты - лишь часть его задачи, нужны были и данные из sql-базы. Пришлось воспользоваться замечательной программой mysqldump. С ее помощью он быстренько задампил датабазу, тем самым выполнив всю необходимую работу.

Кончил - протри станок

Как видно, процесс взлома не обошелся без побочных эффектов - хакер прилично наследил на сервере. Но логвайперы никто не отменял, поэтому, порывшись на тематических сайтах, он отыскал программку под названием grlogwipe. Она чистит практически все известные логи. Этим и воспользовался наш грозный покоритель серверов. После такого очищения он заархивировал весь движок, sql-базу и слил полученные файлы с веба этой же компании (наглость - второе счастье ;)). Теперь можно было со спокойной душой отправляться спать.