Ломка крупного провайдера
Master-lame-master
Xakep, номер #057, стр. 057-060-1
Нашумевшие истории крупных взломов
Большинство админов полагают, что сервер с грамотно настроенным фаерволом сломать практически невозможно. Конечно, удаленной политике безопасности следует уделять огромное внимание, но не стоит забывать и о локальной. Грамотный хакер, как правило, тщательнейшим образом осматривает машину на предмет дырок, через которые овладевает системой. Нередко в сборе информации взломщику помогают другие сервера. Итак, настало время опровергнуть мнение, что фаервол спасает от всех хакерских атак.
Взлом White Tiger Board
Все началось с одного сайта города Екатеринбурга. Перелистывая виртуальные страницы портала, некий хакер наткнулся на форум White Tiger. Это вызвало у него большой интерес, поскольку через этот форум при определенных условиях можно получить nobody-shell. По умолчанию, все конфигурационные файлы находятся в папке /data относительно пути web-сервера. Обычно эта директория, а также все файлы в ней, открыты для чтения, что ставит сервер под угрозу (среди конфигов можно найти учетную запись администратора и информацию обо всех участниках форума).
Взломщик заходит в папку /data и получает... ошибку 403 - доступ запрещен. Дефолтовые имена файлов также найти не удалось. Да, здесь админ не только чаи гоняет. Вспомнив, что по умолчанию пароль на пользователя admin является таким же, как сам логин, наш герой полез на страницу администрирования форума. Ему повезло, потому как эта страница находилась в директории с бордой и называлась wtbadmin.htm. Взломщик выбрал раздел "пользователи форума и игнор-лист" и заполнил поля login и password, в которых содержались парочка заветных слов "admin". И через пару секунд он получает полный контроль над форумом! Учетная запись была дефолтовой, что немного удивило хакера (менять пути конфигурационных файлов и не тронуть их содержимое было странно).
Посмотрев участников форума, взломщик не увидел среди них ничего интересного и хотел было уже перейти в раздел настройки борды, чтобы задефейсить ее таблицей процессов ;), но внезапно его взгляд упал на строчку:
leonid;;re#ewQ9Ln;;;;leonid@yoburg.ru;;212.220.53.48;;;;3248258699;;
Замечательно. Из этой строки стало ясно, что пользователь Леонид имеет аккаунт у провайдера www.yoburg.ru (который давно интересовал взломщика). К тому же этот пароль, вероятно, совпадал с паролем на e-mail. Хотя это еще предстояло проверить. Новостной портал уже не представлял для хакера особого интереса. Теперь он желал поиметь привилегии на крупном ISP Екатеринбурга.
Взлом www.yoburg.ru - вторжение
Наш герой знал характер админа ISP. Его политика была направлена на защиту сервера от внешних врагов. Хакер был уверен на 100%, что сервак находится под стражей фаервола. Чтобы узнать, какие сервисы доступны извне, взломщик просканил хост программой nmap (www.insecure.org/nmap/). Через несколько минут сканер выдал результат. На машине крутились несколько открытых сервисов, такие как ftp, smtp и pop3. Доступ на ssh, как и предполагалось, фильтровался фаерволом.
Теперь взломщику предстояло проверить валидность учетной записи. Для этого он решил воспользоваться ftp. Зацепившись на ProFTPD (который, кстати, был последней версии), хакер ввел имя пользователя и пароль. Информация оказалась достоверной, и сервер впустил пользователя leonid в систему. Дело было за малым - получить шелл-доступ на удаленной машине.