Захват exchange-центра

Sashiks (lubimovv@inbox.ru)

Хакер, номер #077, стр. 077-048-4

[бочка дегтя]

Однако интерес подстегивал меня идти дальше. Было ощущение, что на сервере можно найти что-то еще более интересное, чем WM-обменник. И я решил вернуться на тачку, подключившись по ssh с предварительно сбрученным аккаунтом. После того, как я залогинился на машину, я решил проверить, кто кроме меня работает в системе. Команда who показала, что в данный момент я единственный активный пользователь и меня это успокоило: я начал обшаривать пользовательские каталоги, особенно не беспокоясь о том, что меня пропалят. Но вдруг консоль у меня повисла, а сервер вообще перестал отвечать на какие-либо запросы. Он не пинговался, все сайты были в дауне и было непонятно, к чему бы это. Пришлось ждать, пока тачку снова поднимут.

Через сутки, когда машина вновь заработала, подключиться по ssh у меня не получилось: на машинке подняли файрвол и sshd запретили принимать подключения с моего адреса (полагаю, что вообще со всех адресов, кроме доверенных). Так же все мои бэкдоры гнусным образом фильтровались и меня это здорово обломало. Надо было проверить, остался ли хоть php-shell на сайте. Я зашел по ссылке, и шелл действительно был на месте. Я скомандовал uname -a; uptime и тут все стало ясно. Не просто так админ вырубил комп из Сети. Теперь ядро пропатчили до 2.4.29-ow1 (то есть получить локально рут эксплоитом против ядра не выйдет), а на некоторые папки поставили chmod 000. Короче говоря, администратор почуял неладное и меня выжили из системы :(. Обидно, конечно. Хотя не факт, что вычислили именно меня, ведь адрес сайта с шеллом был известен как минимум еще одному человеку.

Доступ к веб-шеллу я имею в своем распоряжении и по сей день. Несмотря на то, что абсолютными привилегиями в системе не обладаю, иногда пользуюсь им, чтобы перегонять большие файлы с других хостов. Тем более, у меня все еще есть доступ к полной коллекции красивеньких новых постеров! Была даже мысль запихать их все, или хотя бы часть, в один большой архив и слить себе, но завидев размер полученного файла, я сразу передумал :).

[итоги]

Я думаю, вывод ты сделаешь для себя сам. А вот что я хочу еще сказать по поводу этого взлома. В принципе история с технической стороны проста, как две копейки. Ничего сверхъестественного или экстраординарного я не проделал. Как видишь, системные администраторы даже серьезных проектов допускают глупые ошибки и порой просто не следят за новостями компьютерной безопасности. В этот раз это могло для них дорого аукнуться, если я был моральным уродом и украл деньги. Однако взломщикам не следует терять бдительность: большинство админов может быстро заподозрить неладное и вывести хакера на чистую воду.

WWW

Обязательно посети сайты этих платежных систем: