Как взломали DalNet(Ru)

Ky3}{ (ky3@list.ru)

Хакер, номер #074, стр. 074-056-3

Шестое чувство

Однако этого мне было мало. Хотелось поднять полноценные привилегии в этой irc-сети. И тут опять сработала интуиция. Помнишь пароли к базе MySQL? Так вот, методом тыка и подборки имени аккаунта, я нашел рабочий доступ к ftp-серверу dal.net.ru! Что было дальше? Правильно. Я получил полный доступ ко всем директориям сервера и начал быстренько стягивать содержимое директорий services и ircd. Особенно меня интересовали файлы nick.db, chan.db и memo.db, а так же конфиги. После того, как я получил базу никсерва, проблем не возникло. Поскольку в далнете пароли не шифровались, я лихо отыскал нужные пассворды и не обломался: “Password accepted. You are now recognized”.

Тут неожиданно появилась функция NickServ'а для идентификации оператора сервисов. Для чего она была сделана и зачем, я так и не вкурил, но меня обрадовал тот факт, что пароль от identify подходил к oidentify. Наигравшись и получив все, что я хотел от поломанного сервера, я затер все N/C -лайны, отвечающие за соединения с другими серверами и рестартнул сервер. На 24 часа сеть умерла. Вот такой я моральный урод :(.

Выводы

Таким образом, при помощи тупого бага в phpBB я получил кучу полезностей и интересной информации. Огромное спасибо халатности админов сети, которые устанавливают одинаковые пароли на все и устанавливают все сетевые сервисы под одной учетной записью. Для тех, кто не понял, я поломал не просто один из серверов сети, а главный сервер: main.hub.dal.net.ru.

На момент написания статьи баг с форумом был уже устранён, как и сам форум, но при сканировании на уязвимости была найдена куда более серьезная проблема, позволяющая поднять рутовые права :). Но об этом как-нибудь в следующий раз.

Как ломают irc-сети

Первая известная атака на IRC-сеть состоялась в июле 1992-го года, когда была найдена критическая уязвимость в SunOS 4.1 (также 4.1.1 и 4.1.2), связанная с неверной обработкой icmp-пакетов при их перенаправлении, и позволяющая закрывать существующие соединения с системой (подробнее о баге: www.cert.org/advisories/CA-1992-15.html).

Следующая крупная атака состоялась в октябре 1997-го, когда IRC уже пользовалось более 30000 человек по всему миру. Тогда атакующие применили знаменитую технику smurf, во время которой целевой сервер перегружают приходящие из различных сетей и от различных машин пакеты с ответом на подделанный широковещательный icmp-запрос атакующего (реализация атаки: http://packetstormsecurity.nl/Exploit_Code_Archive/smurf.c).

С марта 2002-го года стали широко известны случаи применения социальной инженерии в IRC. При этом атакующий заставляет жертву под каким-либо предлогом установить на свой компьютер разрушительную программу. Обычно он выдает её за свою фотографию, или порно-фильм :). Почитать об этом можно в занимательной статье по адресу www.cert.org/incident_notes/IN-2002-03.html. Зачастую атаки проводятся непосредственно против пользователей IRC-сетей.