Обсерваторные злодеяния

Master-lame-master

Xakep, номер #054, стр. 054-060-4

Ядерные ошибки

В файле /etc/redhat-release взломщик нашел интересующие его сведения о системе - на компьютере был установлен RedHat 7.1. Операционка довольно стойкая, единственный ее изъян мог быть в ядре. Команда "uname -r" радостно сообщила, что ядро версии 2.2.18. Теперь хакер был уверен, что его работа практически выполнена. Ломать это ядрышко он решил известным публичным эксплоитом epcs2.c, предназначенным для <= 2.2.18 ядер. Интернет на машине закрывался фаерволом, поэтому эксплоит пришлось транспортировать командой /bin/cat с обычным перенаправлением ввода (см. скрин).

Параметром этого сплоита должна являться любая суидная программа. Хакер выбрал /usr/bin/passwd. Нетрудно догадаться, что буквально через секунду он получил полноценный root-shell в системе. Взломщику оставалось лишь войти в директорию /usr/biblio/docs, получить список каталога (чтобы доказать успешное выполнение работы) и удалить оттуда файлы, про которые говорил заказчик.

Еще одна чистка

Оставался последний штрих - чистка логов на двух взломанных серверах (следы от суидов, ssh-аутентификации и различных видов сканирования). И только после тщательной проверки на отсутствие оставленных временных папок и log-записей, хакер уничтожил временного юзера, созданного при помощи Webmin. Потом он гордо удалился, не причинив никакого вреда системе. Через несколько часов заказчику были предоставлены доказательства проделанной работы (список удаленных файлов). В итоге хакер получил слова благодарности и приличное вознаграждение. Как обычно - все счастливы.

Внимание! Этот материал не стоит расценивать как руководство взломщика. Его цель - указать администраторам на типичные уязвимости в их серверах. Своевременное обновление софта и настройка фаервола убережет систему практически от любого хакера :). Необходимо помнить об этом.

Что же помогло хакеру в его нелегком деле?

1. Взломщик не останавливается на одном методе. В нашем примере - сканировании. Более того, он использует даже такие небезопасные методы, как bruteforce, надеясь, что после взлома почистит за собой логи. Что сказать, риск - дело благородное.

2. Профессиональный взломщик сам пишет для себя софт, не надеясь на других! Если человек - хороший программер, то сложностей в реализации выбранного метода у него не возникнет.