Захват exchange-центра

Sashiks (lubimovv@inbox.ru)

Хакер, номер #077, стр. 077-048-2

Так, надо удалить нафиг это палево из каталога. Я протестировал пару локальных сплойтов против ядра линукс. В ход пошел эксплоит www.web-hack.ru/exploit/source/hatorihanzo.c для древней уязвимости в do_brk(). Это очень популярный сплойт, который работает на многих тачках (с установленным glibc-devel-static). Еще раз напоминаю, что компилировать исходник надо с флагом -static. Итак, собрав и запустив сплойт, я получил рутовый доступ: uid=0(root), а это было уже маленькой победой.

[ложка меда]

На взломанном компьютере хостилось несколько крупных сайтов, а количество сетевых интерфейсов, если верить команде ifconfig, перевалило за десяток (и куда им столько? – прим. ред.). На всякий случай я засуидил простенький бэкдор, переименовал его во что-то вроде **utils и спрятал поглубже в /tmp. Также, в целях профилактики я стащил себе /etc/shadow с хэшами пользовательских паролей. Благо, у юзеров было небогатое воображение и пассворды они использовали несложные: уже через полчаса John the Ripper подобрал несколько аккаунтов. Довольно интересно будет прогуляться по директориям сервера. Так как обстановка была спокойной, на машину администратор заглядывал очень редко, была возможность немного поизучать структуру каталогов. В папке /usr/local/apache/ я увидел список из множества каталогов, в которых и хранились web-страницы. Я уже хотел продолжить свое путешествие, как вдруг заметил папку с названием eshops. Очень интересно, и что у нас там? В ней находятся подпапки WM, cyberplat, eport... Ничего не напоминает? Правильно! Тут же хранится информация о счетах в соответствующих платежных системах! Я быстренько заархивировал все файлы: tar -zcf 4.tar.gz * ;cp /usr/local/apache/htdocs/web/; rm -rf 4* и слил себе архив. Осталось только разобраться с его содержимым. Внутри папки WM я обнаружил 3 файла: WMSigner.ini, keys.kwm, WMSigner (бинарник). Я вообще не имел представления о том, что это такое и почему нет файла .pwm. Пришлось искать необходимую информацию в интернете, а именно на сайте www.webmoney.ru. Где, как не на родном сайте платежной системы, будет все подробно расписано?

Я ввел в строку поиска “WMSigner” и среди кучи бесполезных ссылок наконец-то, нашел то, что нужно: www.webmoney.ru/pfdevelhttp1s1.shtml.

На этой странице полностью описана установка модуля WMSigner (по сути, это программа для электронного биллинга). Но еще больше я обрадовался, когда открыл текстовый файл WMSigner.ini, который имел следующий формат: