Массовое заражение

Master-lame-master

Хакер, номер #077, стр. 077-076-3

Спустя десять минут, которые я впустую потратил на ручной брутфорс, перед моими глазами мелькнула ссылка «To check your environmental variables, click here». Почему-то раньше я не замечал ее. Кликнув по ней, я стал истерично биться головой об клавиатуру – за ссылкой скрывался вывод функции phpinfo()! Благодаря этой полезной информации, я увидел значение ENV-переменной DOCUMENT_ROOT. Она-то и определяла путь /home/britnie/public_html, подставить который я не догадался (странно, ведь ответ был очевиден :)). Обладая начальными данными, я запросил страницу с параметром tpl_name=../../../../../../../../../home/britnie/public_html/config.php и увидел странный скрипт, не относящийся к гвестбуке. Самое интересное, что на нем были права на запись! Подставив строку, выполняющую команду, я обратился к сценарию уже напрямую и передо мной предстал вывод команды /usr/bin/id. Теперь у меня был полноценный Web-шелл, что не могло не радовать.

[локальная рекогносцировка]

Теперь, обладая какими-никакими правами, мне нужно было узнать все сведения о системе. Во-первых, я обнаружил, что на серваке крутится ядро 2.4.20-28.7, которое можно попытаться взломать, во-вторых, все порты кроме системных фильтровались файрволом. Чтобы проникнуть в консоль, мне нужно было воспользоваться старым и продуманным connback-бэкдором cbd.c, про который я уже не раз писал :). Поэтому опустим те 15 минут, которые я потратил на поиск (никогда не кладу ничего на место :)) и запуск бэкдора.

Итак, я внутри. Первая команда, которую я набрал, была ps ax. На сервере не крутилось ничего особенного, кроме httpd, mysqld, exim и IDS под названием portsentry :). Сканировать порты в мои планы не входило, поэтому я не испугался сетевой IDS. Однако факт ее установки насторожил меня, и на всякий случай я решил посмотреть crontab-лист когда стану рутом :). А рутом я стал довольно быстро, для этого мне пришлось скачать эксплойт для бага в функции do_brk() и запустить его. Как я это делал, думаю, тебе не особо интересно.

Сразу после поднятия привилегий, я посмотрел лист кронтаба. Там я обнаружил много интересных вещей. Одна из них – скрипт details.sh, отсылающий вывод набранных там команд на мыло security@1fasthost.com. Этот сервер выступал в качестве локального, поэтому я мог без проблем пробить доступ к почтовому аккаунту security. На всякий случай я посмотрел файл /var/spool/mail/security и офигел: его размер составлял 10 с лишним метров. Внутри располагались отчеты о безопасности. Все это говорило о том, что администратор практически никогда не читает почту и не следит за безопасностью. Несомненно, мне это было только на руку.