Атаки и взлом IRC-сетей

KZer-Za

Xakep, номер #067, стр. 067-046-4

Секция, описывающая иркопа

operator {

name = "Me_";

user = "*@hidden.org";

password = ">MD5,crypt password<";

class = "opers";

global_kill = yes;

remote = yes;

kline = yes;

unkline = yes;

gline = yes;

rehash = yes;

nick_changes = yes;

admin = yes;

};

Теперь у тебя есть права IRC-оператора. Вместе с ними ты получил массу полезной информации в виде notices от сервисов и прилинкованных серверов. Ты можешь спокойно просматривать Operwalls, Wallops и статистику серверов, использовать команды kline, dline, kill и т.д. Подобная халява может длиться очень долго, если ты атаковал мертвый сервер, за которым практически никто не следит. Просмотрев конфигурационный файл ircd до конца, можно найти массу другой крайне полезной информации, например, пароль на остановку сервера, пароли для линковки и т.д. Можно даже подключить к IRC-сети через взломанный сервак свой собственный компьютер! Но это вряд ли останется незамеченным, поскольку почти все современные IRC-сети содержат специальные средства контроля за целостностью сети. Это всевозможные сервисы-мониторы, боты, которые немедленно настучат другим IRC-операторам о появлении в сети несанкционированного сервера, и, таким образом, тебя могут обнаружить и довольно быстро ликвидировать.

Дырявые настройки

Другой вид взлома IRC-сетей основан на том, что большинство IRC-операторов конфигурируют свои ircd крайне неаккуратно. Это случаи так называемых мисконфигов (misconfigure). В hybrid-подобных ircd правила аутентификации пользователей описываются в специальных блоках. При этом используется принцип от частного к общему: если маска пользователя не подошла ни одному блоку auth, она обязательно совпадет с "*@*" - маской специального блока "по умолчанию". Иначе пользователь просто не сможет работать с irc-сервером.

Рассмотрим распространенный пример, когда бедолага IRC-оператор пользуется диалапом либо заходит на свой сервер через прокси. В общем, не имеет никакого постоянного доверенного хоста, для которого в блоках auth можно было бы прописать маску вида *@domain.tld. Часто админы и вовсе не придают значения важности масок в блоке auth. В результате получается так, что любой пользователь, зашедший на IRC-сервер, может аутентифицироваться как IRC-оператор и приобрести все атрибуты класса opers, неограниченный sendq-лимит в том числе. А это ведь потенциальные флудеры, от которых невозможно избавиться иначе, как отключив хакнутый сервер от всей сети! Однажды я нашел подобный сервант, получил доступ и запросто мог бы нагнать туда целую армию флудботов, устроив настоящий ад. Имея такое мощное средство, как класс opers, я имел практически неограниченные лимиты и бездонный sendq. Используя это, можно было серьезно нарушить функционирование всей IRC-сети, вплоть до полного ее (пусть и временного) разрушения. Но я же не какой-нибудь подонок, поэтому не стал вредить ни в чем не виноватым юзерам ;).