Фатальная проверка

Master-lame-master

Хакер, номер #071, стр. 071-052-1

Реальные истории хакерских злодейств

Ранним утром, еще до восхода солнца, у меня вдруг пискнула ася. Ожил старый приятель, с которым я не разговаривал целых три месяца. На вопрос: «Как дела?» - товарищ не ответил. Он лишь попросил меня проверить его сервер на прочность. Как выяснилось позже, его машину постоянно атаковал один и тот же хакер, оставляя после себя красочный дефейс и папку /lameroot. Мне предстояла тяжелая работа по расследованию этого преступления.

Согласись, что если человек располагает какими-либо данными (IP-адресом, багом, через который совершался взлом, и т.п.), то разобраться в ситуации - дело одного часа. С моим другом все обстояло несколько иначе: он неважно знал *nix, поэтому особо не ворошил логи Апача. В результате выяснилось, что обращения к его сайту вообще никак не логировались. Конечно, можно было наладить Web-сервер и ждать новой атаки, но я выбрал путь посложнее.

Анализируем ситуацию

Для каждой моей атаки существует причина. В этой ситуации я решил взломать сервер знакомого с одной целью - проследить за действиями взломщика и блокировать ему доступ в дальнейшем. Первое, что я сделал, - попросил товарища предоставить список правил файрвола. Через 5 минут он с горем пополам запостил мне скрипт. Дело в том, что файр устанавливал старый администратор, который профилировался исключительно на *nix. Если верить списку рулесов, файрвол закрывал все порты, кроме 21 и 80. 22 порт начисто фильтровался и был доступен только для локальной сетки. К сожалению, это все данные, которыми я располагал на тот момент.

У злобного хакерюги было два пути: ломиться на сервак либо через FTP-демон, либо через бажный скрипт. Первый вариант я отбросил сразу: версия ProFTPD была стабильной. Даже если у хакера и был приватный эксплойт, то он не мог им воспользоваться, ибо на FTP был допуск всего у двух системных пользователей. Учитывая то, что знакомый установил им сверхсложные пароли, можно сделать простой вывод - атака проводилась через web. Оставалось лишь залезть на WWW и тупо тыкать в ссылки, пока какой-нибудь скрипт не сломается под жестким напором.

Дырявый SMS

Первым делом я натравил своего осла на сайт приятеля. Контент радовал глаза: портал был посвящен online-знакомствам. Все это дело вертелось на знаменитом движке e-hoops последней версии (друг думал, что дыра затаилась в этом проекте, но переустановка до последнего релиза не помогла избавиться от назойливого хакера). Все скрипты, расположенные на этом проекте, выполнялись в одном стиле, это значит, что они поставлялись в виде специальных модулей для e-hoops. Ощупав все сервисы на сайте, я даже усомнился в том, что атака проводилась через WWW. Быть может, хакер таки откопал пароль на FTP и дефейсил сайт простым аплоадом файла? А быть может, взломщик вообще обошел файрвол и таким образом проник на сервер? От неопределенности у меня уже кружилась голова. Но тут мой взор упал на неприметный линк, ведущий к скрипту отсылки SMS-сообщений абонентам Мегафона.

С виду скрипт не представлял никакой опасности, но по некоторым признакам отличался от других. Дизайн оставлял желать лучшего, а параметры почему-то передавались методом GET. К моему сожалению, товарищ уже смылся из аськи. Если бы он был онлайн, я бы просто попросил исходник сценария и разобрался в коде.