Сестры милосердия: Избавление

Р. Люксембург

Хакер, номер #073, стр. 073-070-3

$ wget http://packetstormsecurity.nl/0304-exploits/ptrace-kmod.c

$ gcc ptrace-kmod.c –o pt

$ ./pt

Но меня постигла неудача, и сплойт вывалился с ошибкой. «Возможно, - подумала я, – дело в том, что админ запретил доступ к /proc». Однако это было не так, /proc/self/exe был доступен моему пользователю. В чем же дело?

Возможно, сисадмин негодяйского сервера поставил патч на ядро. А может быть, вывод команды uname был полнейшим фейком, и я на самом деле пытаюсь поломать свежайшее ядро? Это не входило в мои планы, и я, чтобы пока не сильно напрягаться, решила попробовать в работе mremap-сплойт (www.securitylab.ru/_Exploits/2004/03/linuxmmap.c.txt), который, по идее, тоже подходил к ломаемому ядру. Собрав и запустив сплойт, я было обрадовалась – на экране мелькнуло приглашение строки для суперпользователя с характерной решеткой, но сразу же исчезло. «What the fuck?» – пронеслось в голове. The fuck оказался в том, что на секьюритилабе был, разумеется, выложен глючный и не совсем работоспособный сплоит. И чтобы он заработал нормально, надо было его подправить. Я открыла код и начала думать, что тут не работает, даже выработала несколько предположений, как мне в голову пришла светлая мысль обратится за советом к руководителю отряда красноглазых пионеров. Руководитель пошел навстречу моим революционным взглядам, высказал ненависть к Бобрам и дал линк на уже исправленный сплойт. Исправленные строки кода подтвердили мои предположения, и я, недолго думая, запустила новый бинарник, после чего получила рутовые права на вражеской машине.

Великая Победа

О да, это была великая победа! Однако раньше времени отмечать достижение не было смысла: в любую минуту меня могли запалить верные Западу сисадмины. Поэтому, допив чайник ароматного глинтвейна, я принялась укреплять собственные позиции на захваченной тачке. Ведь ясен еж, что каждый раз получать рутовые привилегии при помощи сплойта – полный маразм. Идеально было бы установить хороший руткит, чтобы мое пребывание на сервере было полностью незаметным. Однако в тот момент я уже выпила довольно много глинтвейна и все мне казалось окрашенным в цвета Революции, увеличенным в размерах и дозволенным. Поэтому я создала пользователя pheer с нулевым уидом, просто дописав соответствующую строку в файл /etc/shadow. Немного подумав, я переименовала пользователя в hoojwam – это больше отражало мои революционные настроения и меньше бросалось в глаза, поскольку созвучных аккаунтов было просто немерено.

Конечно, придумать большего палева, чем добавить в систему нового пользователя, очень сложно. Наверное, даже лучше было запустить простенький суидный бэкдор, но в тот момент мне было все равно.

Присматриваемся к добыче

Захватив власть на сервере, пусть пока и нелегитимную, я принялась изучать его. Список процессов указывал на тот факт, что на машине крутился почтовый сервер, mySQL, apache, ftpd и целых две IDS: Snort и PortSenry. Последний факт меня насторожил :). Ради интереса я решила посмотреть логи Snort’а – в самом деле, забавно было получить сведения о попытках взлома захваченной машины. И вот что я тебе скажу: это удивительно. Многие десятки красноглазых пионеров усердно пытались взломать форум! И IDS успешно распознавала и регистрировала эти попытки. Остается лишь гадать, чем занимались верные Западу админы. Наверное, ели попкорн и разрабатывали новые, более совершенные корма для Бобров.