Администрируем неадминистрируемое

hiNt (exp@neora.ru)

Xakep, номер #065, стр. 065-070-3

Таким образом, взломщик смог сравнить интерфейсы, которые предоставляла система пользователям с различными правами. Тут уже было где развернуться: полное управление всеми почтовыми аккаунтами, возможность настройки переадресации писем, создания почтовых роботов и списков рассылки. Быстро прощелкав по каждому пункту меню, хакер сделал для себя единственный вывод - нужно попробовать поиграться с html формой входа в контрольную панель. Было интересно, каким образом и в каком месте система проверяет привилегии пользователя - лишь во время аутентификации или при попытке выполнить каждое действие? Предстояло еще очень многое выяснить. Увы, замена логина Клары на что-то другое в hidden-полях всех форм ее аккаунта ни к чему интересному не привела, этого, впрочем, и следовало ожидать. Тогда взломщик решил поиграться со страницей, откуда идет управление почтовой системой. Залогинившись снова с правами постмастера на тестовой страничке официального сайта, он сохранил страницу с администраторским интерфейсом на жесткий диск и тщательно рассмотрел ее в блокноте. Он решил попробовать использовать сохраненную с официального сайта системы панель управления с постмастеровскими правами, залогинившись под Кларой на coolmailserver.com. В самом деле, было интересно, каким именно образом и на каком этапе система откажет ему в выполнении какого-либо действия. Каково же было удивление взломщика, когда через мгновение, из-под обычной учетной записи, не наделенной никакими администраторскими правами, при помощи администраторского интерфейса, скачанного с официального сайта системы, был создан новый почтовый ящик! Справившись с нахлынувшей радостью, хакер успокоился и решил проверить: на самом ли деле юзер создался и мыло работает. Надпись "Modify User: testttt@coolmailserver.com" окончательно убедила героя в правильности его умозаключений, и он без проблем получил назад свой почтовый ящик с забытым паролем.

Фатальные последствия

Как можно заметить, очень часто разработчики софта продумывают множество вариантов взлома, кодят грамотную защиту, но забывают о мелочах. В нашем случае такая "мелочь", вернее огромнейшая дыра, дала хакеру в руки руль от всех почтовых аккаунтов сервера. В февральском номере Х описывалась бага бигфута (www.bigfoot.com), при помощи которой, не зная пароля, можно было привязать любой форвардинг адрес к мылу, а затем (кстати, это была моя идея) выслать на него пароль через соответствующий сервис "forgot password?". Очень хорошо, если человек умеет мыслить нестандартно и искать не только "продвинутые" уязвимости, но и примитивнейшие, даже не приходящие в голову из-за своей простоты. Остается только утешить тех тупоголовых программистов, которые решили ограничивать права пользователей, лишь урезая интерфейсную часть, но не отказывая в доступе ко всем системным функциям. На момент написания статьи уязвимость не была нигде опубликована. То есть официально она еще не обнаружена, а на просторах инета есть много серверов с установленным qmailadmin'ом. И если недалекий человек ограничится прочтением чужой почты, то хитроумный мошенник может использовать брешь в своих темных делишках. Так, например, злоумышленник может через мыло получить доступ ко многим инет-сервисам, пароль от которых можно получить на мыло: icq, mp3, xxx, vip, ebay etc. К счастью, в наши дни в Сети уже не осталось платежных систем, доступ к деньгам в которых можно получить, просто украв у человека мыло. Теперь идентификация тщательно продумана, а задача сетевого (а в данном случае настоящего) вора сильно усложняется. На мой взгляд, самое опасное применение криворукости кодеров qmailadmin'а - это социнженерия. Попросить у друга жертвы пару сотен WMZ взаймы по почте (не забыв вставить несколько словечек, которые употребляет жертва взлома в повседневной переписке, чтобы все выглядело натурально)? Запросто. Украсть важную информацию и продать за деньги? Реально. Прибыльно. Послать всех знакомых врага от его имени на ординату, абсциссу и еще кое-куда? Приятно. А самое страшное - просто. Но ты же будешь использовать эту статью только как средство самозащиты от киберпреступников, и ни в коем случае не расцениваешь ее как побуждение к действиям и ничего подобного делать не собираешься, верно? :)