Большая дыра в маленьком форуме

Master-lame-master

Xakep, номер #066, стр. 066-048-4

Помнишь первый командный запрос? В нем злоумышленник узнал версию ядра системы, а также права, под которыми работает Апач. Судя по версии ядра (2.4.20), сетевой партизан запросто мог порутать сервак обычным ptrace-эксплойтом от isee-security. Последней проблемой было то, что на сервере по-прежнему отсутствовал wget. Конечно, хакер мог закачать эксплойт, прибегнув к помощи обычного Ftp-сценария. Но в данной ситуации проще использовать локальный ввод в консоль, запустив /bin/cat с перенаправлением в файл. Таким образом злоумышленник залил сплойт на машину. Впоследствии он удачно скомпилировался и запустился. Думаю, понятно, что после всех этих действий хакер был вознагражден абсолютными root-правами.

Мораль сей басни

Время собирать камни. А точнее, подвести небольшой итог. Как видишь, даже через небольшую багу на форуме вполне реально получить абсолютные права. Это смог сделать продвинутый юзер, скрывающийся под маской «героя-хакера», а значит, сможешь и ты. Если, конечно, будешь читать журнал Хакер и носить светлую голову на плечах :).

Что помогло хакеру при взломе?

Прочитав Х, наш герой не остановился на оборванной мысли автора, а решил поиметь нечто большее, чем просто постинг сообщений. И ему улыбнулась удача.

Взломщик использовал различные методы транспортировки файлов в зависимости от ситуации. Впрочем, описанные два способа заливки зло-исходников не единственные.

Хакер экспериментировал на локальной машине. Действительно, разруливать багу на удаленном хосте довольно глупая затея - при неудачном стечении обстоятельств можно получить люлей от администратора :).

Запрет SSI

Несмотря на то, что все версии форумов Wtboard подвержены этой уязвимости, не каждый сервер удается порутать. Дело в том, что на машине может отсутствовать поддержка SSI-директив (строчка «AddHandler server-parsed .shtml»). Либо сервак крутится под виндой (в этом случае нужно заменить директорию /tmp каким-либо другим каталогом). Но в любом случае, ты можешь перезаписать index.shtml, выполнив тем самым заветную мечту скрипткиддиса.

INFO

Восстановить структуру подпорченного index.shtml можно, поменяв значение переменной oper на restore. В этом случае откроется форма восстановления Index-файла.

INFO

Защититься от баги пока невозможно. Разве что ручками менять код, либо замаскировать имена системных переменных. В этом случае хакеру придется попотеть, чтобы хакнуть твой сервер.

INFO

Установленный файрвол спасает от хакеров. Если брандмауэр настроен на блокировку всех портов, хакер не сможет использовать бэкдор.

Warning

Не стоит забывать, что все действия хакера противозаконны, поэтому статья дана лишь для ознакомления и организации правильной защиты с твоей стороны. За применение материала в незаконных целях автор и редакция ответственности не несут.

CD

На нашем диске ты обнаружишь наглядный пример описанного взлома в виде изящного VisualHack. В качестве бонуса будет выложен примитивный бэкдор, который использовал хакер.