Как ломали Глюкозу.ru

Trinux (ttrinux@inbox.ru)

Xakep, номер #069, стр. 069-084-3

Теперь у меня есть полный список пользователей и их доменов. Можно выбрать любой понравившийся, листать его каталоги и читать файлы. Однако следует иметь в виду, что чаще всего можно листать только пользовательские каталоги с html-файлами, т.е. начиная с /public_html/. Прав для доступа к большей части каталогов выше не хватит. Чтобы пролистать каталог юзера, можно выполнить примерно следующую команду: "ls -la /home/glukoza0/public_html/" или, например, "ls -la /home/glukoza0/public_html/admin/".

Выводы

Что же с этого можно поднять? Разумеется, напрямую задефейсить сайт не удастся, т.к. нельзя редактировать файлы - большинство из них открыто только для чтения. Однако и это уже очень много. Например, без проблем можно стащить целую копию всего сайта со всеми скриптами, исходниками и скрытыми от web-посетителей директориями. Получив исходные коды сценариев, гораздо проще найти уязвимости и продолжить веселье. Также в последнее время многие программисты стали хранить данные в нереляционных базах данных, в локальных файлах, размещающихся в структуре вебкаталога. Даже если директория с этими файлами защищена .htaccessom’ом, через свой web-шелл можно получить доступ к секретным сведениям, хранящимся в файле, доступном пользователю nobody :). Однако имей в виду: несмотря на то, что не было использовано никаких сплойтов и все действия укладывались в обозначенную админом политику безопасности, нарушено множество законов, и даже за такие, казалось бы, безобидные действия можно привлечь к уголовной ответственности. Так что я призываю чтить и соблюдать законы той страны, в которой проживаешь.

Что же касается шоколадки, то ее съела моя сестра. Я так и не получил искомое мыло, а сайт www.glukoza.ru не задефейсил. Я лишь добавил на сайт новость, в которой искренне поздравил солистку группы с приближающимся днем рождения и сделал редирект на свой сайт, где какое-то время висели пароли от администраторского интерфейса www.glukoza.ru. За час количество посетителей перевалило за 200, а гостевая книга была зафлужена фанатами этой странной группы. Хочется также отметить, что данный «баг» на момент написания статьи все еще присутствовал на agava.ru.

CD

На нашем диске ты найдешь удобный скрипт RemView для навигации по файловой системе.

WARNING

Корректно устанавливай права доступа к собственному сайту. Знай, что если ты сделал своему сценарию chmod 755, он доступен для чтения всем пользователем твоей группы, а это едва ли является твоей целью. Так что осторожнее!