Оранжевая революция

Sashiks (lubimovv@inbox.ru)

Хакер, номер #076, стр. 076-048-4

Теперь я был рутом. Мне стало немного наплевать на свою личную безопасность. Содрав с сервера /etc/shadow я решил не заморачиваться на тему бэкдора или руткита. Еще бы, администратор так пассивно себя вел, что можно было не бояться потерять свои привилегии. Действительно - на соседней тачке (с которой я собственно и нагрянул) крутился незамеченный до сих пор перловый бэкдор, на сайте фирмы присутствует бажный сценарий, через который можно исполнять команды. Тем более, что файл с хэшами юзеров был у меня в лапах, и я был уверен, что john the ripper справиться с ними быстро. Довольный собой, я бегло просмотрел директории пользователей и решив, что на сегодня хватит, подумал как бы побыстрее удалиться. На скорую руку в /tmp/ была создана папка fc6245, в нее я засунул откомпилированный бинарник эксплоита, и простенький бэкдор. Скачав с сайта www.rst.void.ru логклинер stealth я почистил журналы и отправился на боковую. Тем временем подобрался пароль юзера miko.

Админ наносит ответный удар

Через пару дней, довольный собой, я решил зайти по ssh на недавно взломанный tiger.balda.ua. И что же? Мне предложили пройтись лесом. What the fuck? Что случилось, почему не пускают? Быстренько посканив эти две машины с шелла я увидел, что 22 порт везде фильтруется. Я зателнетился на перловый бэкдор на elefant.balda.ua - сonnection refused! Бэкдор убили. Ну, ничего - есть страница с бажным index.cgi. Я набрал адрес www.firmsite.ua и увидел, что никакого index.cgi нету и в помине! Вместо бажного сценария красуется item_body.php, который уже не открывает системные файлы и, тем более, не выполняет команды. Все закрыли, все бреши заделали?

Я был чрезвычайно недоволен собой и зол не столько на админа, сколько на самого себя. Ну, чего стоило поставить полноценный руткит в систему?

Казалось бы, что тут делать. И тут меня осенило - пароли к админскому интерфейсу сайта! Все-таки правы финны, "при-к-к-отились" :). Я зашел на официальный сайт провайдера (именно этот сайт хостился на tiger.balda.ua), зашел в админку и ввел украденный пароль. Скрипт, слегка скрепя, пустил в главное меню управления сайтом. Быстро оглядевшись, я зашел в меню файлы -> загрузить. И закачал на сервер обычный phpshell. С помощью него забиндил порт с bash и зашел в систему. Там практически ничего не изменилось, по прежнему работало убогое ядро ветки 2.2. Только вот директорию с бинарным сплойтом админ потер, а юзера nobody зачем-то припихнул в группу с БД oracle - наверное чтобы удобнее было тырить базы данных ;). Заново скачать hatorihanzo и добиться рута не составляло труда.