Массовое заражение

Master-lame-master

Хакер, номер #077, стр. 077-076-4

Теперь мне нужно было позаботиться о том, как организовать повторный вход на сервер. Уже с абсолютными правами и желательно незаметно. Решение пришло практически сразу – необходимо написать бэкдор. Однозначно, бэкдорить нужно какой-нибудь системный демон, который вертелся на тот момент в процессах. Самому писать ничего не хотелось, благо велосипед уже был изобретен. Порывшись в документе url.txt из моей приватной коллекции :), я скопировал оттуда ссылку www.cyberlords.net/articles/sshd-troi.txt. В этой статье мой хороший знакомый описывал детали протроянивания /usr/bin/sshd. Быстро проделав подобную операцию на сервере с похожей конфигурацией, я получил рабочий бинарник sshd. Залив его в систему, а затем перезапустив демон, я решил проверить работу моего бэкдора. Стоило мне зайти на сервер с логином root и заранее заданным паролем, как демон тут же впустил меня и даже не записал историю входа в utmp и wtmp. Я был на полпути к победе.

[порабощаем сервера]

Теперь, когда у меня был перманентный доступ к главному WWW-серверу, мне нужно было попробовать проникнуть на другие. Благо хостинг был большим, и на его площадке крутилось около 20 WWW-серверов с лакомыми доменами. Я решил испробовать один из методов, который обычно срабатывает на хостингах – пропарсить файл /root/.bash_history. Бдительно просмотрев его содержимое, я нашел заветный рутовый пароль, который следовал сразу же после запуска клиента ssh. Админ просто напутал с параметрами и, не глядя в консоль, вбил рутовый пароль. Я проверил его на валидность и он, конечно же, подошел :). К сожалению, на сервера, прописанные в /root/.ssh/known_hosts этот пассворд не прокатывал, но у меня уже был доступ к двум WWW-машинам, на которых я легко мог запустить перловый скриптик, вписывающий во все HTML-файлы нужный код.

Подобный сценарий уже был в моем хакерском арсенале, он предназначался для массового дефейса. Скрипт было необходимо чуть-чуть переделать (нужно выполнить дозапись, а не перезапись файла), а затем колбасить нужный шеллкод в файле deface.txt, а затем запустить mass.pl в свободное плавание :). Учитывая то, что мой друг, которому нужно было помочь с хостингами, отдал мне файл shellcode.html, задача упрощалась на порядок. Я бережно залил оба компонента для «дефейса» на оба сервера, а затем синхронно их запустил. Спустя пару минут, скрипт завершил свою задачу, отрапортовав мне, что во все index-файлы был записан шеллкод. Веришь, нет, но проверять результат работы на себе не хотелось :). Я просто выполнил cat на некоторые документы и убедился, что там действительно есть мой шеллкод. Теперь оставалось замести следы и ждать положительного результата :).

[счастливое злоключение]

Через три дня после инцидента приятель сообщил мне, что его ботнет исчислялся примерно 2000 ботами. Это было замечательно, поскольку он уже нашел клиентов, которые могли купить его IRC-сеть за несколько тысяч зеленых президентов. Я тоже не остался в стороне и получил свою «зарплату» сразу же после осуществления взлома. Я также пообещал другану, что найду ему еще пару крупных хостингов с 3000 доменами на борту. И, думаю, в скором времени заняться поисками новой жертвы – 9-летней девочки по имени Бритни :).