Смерть Web-чатам. Нашумевшие истории крупных взломов

Master-lame-master

Xakep, номер #055, стр. 055-048-4

В итоге все шаги были повторены (скрипт-то админы не додумались убрать). Хакер получил те же права, но теперь он еще и успешно воспользовался эксплоитом ptrace-kmod-exploit. Затем взломщик просмотрел записи iptables и действительно убедился, что админ защитился фаерволом. Было решено наказать его путем нарушения работы web-чата на островке. Откопав скрипт, который коннектится к базе островка, наш сетевой маньяк подключился к mySQL (логин и пароль для соединения находились в скрипте). Через пару минут базы данных уже не существовало, а бэкапы админ не любил... Обычная ситуация, не так ли? В довершение всего хакер решил передать привет своим знакомым, оставив послание по адресу http://www.phphost.ru/hi.html (возможно, ссылка сохранилась - проверь и убедись сам). Кстати, через пару дней на www.ostrovok.net появилась надпись - "CHAT IS UNDER RECONSTRUCTION until 17 June 2003", которая, вероятно, висит и по сей день, что является несомненным доказательством отсутствия бэкапов.

Итоги?

В заключение хочу обратиться к админам крупных серверов: если пытаетесь защитить доверенную машину от взломщиков, то делайте это до конца. Всегда ищите дырку, через которую хакер изначально проник в систему. В нашем примере скрипт gbook.php не был пропатчен, что дало возможность взломщику повторно захакать сервак. Если бы админ пропарсил логи апача и нашел дырявый скрипт, все бы закончилось не так грустно. Так что читайте логи. Они - ваша манна небесная :).

Защита от рассмотренных ошибок

Во-первых, отключи register_globals. Этим ты обезопасишь себя от некорректных GET запросов, приводящим к неправильной работе скриптов.

Во-вторых, укажи значение опции user_dir, которое равно директории /cgi-bin. В этом случае взломщику не удастся запрашивать файлы, вроде /etc/passwd.

И, наконец, отключи опцию allow_url_fopen, которая позволяет открывать ссылки как файлы. Этим ты обезопасишь себя от удаленного выполнения команд на твоем серваке.