Тотальный дестрой “Дома 2”

GreenwooD

Хакер, номер #076, стр. 076-068-3

Я решил посмотреть IP адреса новых доменных имен и в итоге я получил следующее:

12tnt.ru 69.50.173.22

golodtnt.ru 217.16.28.45

livetnt.ru 83.222.5.45

Чтобы двигаться дальше, нужно было подытожить полученную информацию. Что мы имеем: www.tnt-tv.ru, dom2.ru и livetnt.ru хостятся на 83.222.5.45. На других проектах, таких, как golodtnt.ru и 12tnt.ru стоит редирект на страницу dom2.ru. Проекты больше не поддерживаются и как показал анализ по базе whois, хостятся где-то совсем в другом месте.

В общем, стало понятно, что наиболее детально мне нужно рассмотреть машинку 83.222.5.45.

Непосредственно сканирование

Решено было просканировать адрес на предмет открытых портов при помощи nmap.

Я быстренько установил его на web-шелле и запустил следующий командой:

nmap –sT –O –sV 83.222.5.45

Опишу используемые параметры сканера. Флаг –sT говорит о том, что nmap будет сканировать простым коннектом к порту. С ключом –O сканер попробует определить версию операционной системы по анализу TCP/IP стека. Параметр –sV указывает на то, что необходимо выводить имя банера сканируемой службы.

Немного подумав, сканер выдал заветную информацию. Оказалось, что на 21 порту весит ProFTPD 1.2.10, на 25 - Senmail 8.12, а так же на этом сервере функционирует самба. Однако ни для одной из этих версий демонов нет публичных сплойтов, поэтому легкая прогулка, как я тогда подумал, отменялась. Сканер так же определил, что на сервере стоит FreeBSD-4.x.

Проникновение через Веб

Теперь нужно было более детально изучить web-среду. Так, на изучаемом хосте находятся три сайта: www.tnt-tv.ru, dom2.ru и livetnt.ru. Я стал исследовать их и вскоре стало понятно, что все скрипты написаны на PHP, а директива magic_quotes_gpc скорее всего установлена в дефолтовое состояние On. Хотя это еще предстояло проверить.

Я решил поискать файл, в котором будет находиться всего одна классическая строчка:

<? phpinfo(); ?>

Как ты знаешь она выдает инсталляционную информацию и все директивы PHP. Тут дело в том, что многие администраторы создают такой файл с именем info.php или phpinfo.php, чтобы было удобнее контролировать настройки и работу PHP. После того, как я обратился к адресу http://www.tnt-tv.ru/info.php, на моем лице появилась улыбка: такой файл действительно существовал и он рассказал мне много интересного:

1. Хостинг работает под FreeBSD 4.10, nmap в очередной раз доказал свою состоятельность

2. allow_url_fopen=On, а значит, возможно использовать удаленные инклуды

3. file_uploads=On, загрузить файл при необходимости тоже получится

4. Как и предполагалось, magic_quotes_gp=On, что многое обламывало

Но все это было полной ерундой по сравнению с тем, что я увидел через несколько секунд. Я без особенного умысла зашел на форум, думая, что он там точно такой же, как и на dom2.ru. Каково же было мое удивление, когда я увидел phpBB! Но самый маразм заключался в том, что версия его была 2.0.6! Сначала я подумал, что это такая шутка админов, которые специально оставили старую надпись с версией, хотя давно уже пропатчили все дырки. Но все оказалось куда серьезней.