Оранжевая революция

Sashiks (lubimovv@inbox.ru)

Хакер, номер #076, стр. 076-048-3

Теперь с чистой совестью я полез /home/httpd. Там было несколько папок вида www.magz.balda.ua, где лежали web-страницы, которые можно было смотреть и редактировать. Я быстренько просмотрел эти папки и тут мое внимание привлек файл "admin.php". Правильно, это скрипт администрирования сайта, но пароля внутри естественно не было – скорее всего, он читался из базы данных. Однако я поторопился: в рассматриваемом сценарии инклудился файл "set.php", в котором был жестко прописан админский логин с паролем. Как говорит моя финская подружка, "Прик-к-ко-тится" :). Однако не пригодился, поскольку найденный аккаунт не подоешл в качестве системного.

Тем временем nmap (который я запустил еще под nobody) закончил сканировать подсеть и записал отчет в /tmp. Отчет был весьма любопытный. В сети находилось очень много компов, сетка была немаленькой. Что примечательно, администратор был настоящим зоофилом: все свои машины он называл различными животными. Так, среди нескольких десятков тачек, были тигры, лошади, волки и слоны. Но больше всего меня проперло с хоста, который жил с именем buh :). То ли админ был не дурак побухать, то ли просто он имел в виду слово hub наоборот, даже не знаю. Такой вот наркоман.

Это все было конечно весело, но был ли повод для веселья? Получить абсолютный доступ пока не удавалось и поэтому лучшее решение на тот момент состояло в том, чтобы замести все следы и быстренько свалить из системы на время – в соседней консоли неожиданно объявился рут и палить себя раньше времени не было смысла. Кроме того, мне хотелось спать и поднимающееся из-за горизонта солнце уже начало освещать верхушки самых высоких домов. Я решил вздремнуть, а завтра продолжить изучение локалки.

Banzay!

Следующим же вечером я вернулся на взломанную тачку. Ничего не изменилось – даже забытый в спешке бэкдор так и оставался висеть на месте. Я подумал, что админ, по-видимому, раздолбай и курит на работе бамбук. Это в дальнейшем и стало моей главной ошибкой. Ближайшим в подсети по адресу был хост tiger.balda.ua. Подключившись к нему по ssh, я убедился в том, что и на этой тачке был пользователь morda с известным мне паролем. Я попал в систему и первое что скомандовал, было, естественно, uname -e. Вот это да - повезло так повезло! Тачка работала под линуксом с ядром 2.4.20, которое дырявое как дуршлаг моей бабушки. Напомню, что это ядро уязвимо для множества эксплойтов, например - mremap и do_brk. Обе отмычки можно скачать с www.web-hack.ru. Сначала я решил попробовать mremap (www.web-hack.ru/exploit/source/kernelmremap.c). С компиляцией и запуском проблем не было, но вот незадача - гадская программа была не совсем работоспособной и вместо рутового шелла выполнила ping. Конечно, можно было найти рабочий сплойт, но я решил попробовать do_brk (www.web-hack.ru/exploit/source/hatorihanzo.c). Собрав сплойт с флагом -static (иначе вывалится Segmentation Fault), я выполнил ./a.out. И тут мне наконец-то улыбнулась удача и система была взломана! В награду появилось приглашение sh и id стал равен нулю. Стоит ли говорить, как сильно меня обрадовало это обстоятельство!