Котлета по-киевски

Digital Explosi0n

Хакер, номер #078, стр. 078-056-1

(di_explosion@mail.ru)

История о том, как был взломан stalker-game.com

Ты, конечно, слышал, что по итогам КРИ-2004 проект S.T.A.L.K.E.R. Shadow of Chernobyl взял золото в номинациях «Лучшая технология», «Лучшая графика», «Игра года», а фирма GSC Game World стала «Лучшей компанией-разработчиком». А знаешь ли ты, что stalker-game.com, официальный сайт игры, был совсем недавно взломан? И сейчас я расскажу тебе, как мне удалось это сделать.

[лирическое отступление]

Все началось в 2002 году. Тогда уже довольно известная украинская девелоперская студия GSC Game World, получившая славу благодаря «Казакам», сделала громогласное заявление в прессе. В ближайшем будущем нас ожидал великий шедевр всех времен и народов: игра S.T.A.L.K.E.R. Shadow of Chernobyl. Идеи разработчиков были действительно революционными: умопомрачительная графика, нелинейность, полная свобода действий, целый виртуальный мир, управляемый по всем законам жизни, — все это было щедро приправлено колоритом «Пикника на обочине» от братьев Стругацких. Слюнки так и потекли. Но шли годы, выход игры неоднократно откладывался. Это стало изрядно бесить. И вот последние новости из официальных источников: «Дата релиза — 25 декабря 2005 года». Ну нет господа, мне уже надоело ждать и есть протухшие «завтраки», закусывая скриншотами не первой свежести! Вам придется расплатиться за моральные потери миллионов. Как? Вашим же собственным сайтом :)!

[разведка боем]

Первым делом я набрал в адресной строке браузера stalker-game.com и попал на официальный сайт игрушки. Сразу бросается в глаза надпись: «Welcome to the world with no future!» — ну это мы еще посмотрим. Далее мы видим треп из серии «эта игра круче всех», по полкам аккуратно расставлены многочисленные награды еще не вышедшего релиза, ну и прочее-прочее. В глаза бросался лишь раздел Сommunity. Решено было там зарегистрироваться. Как оказалось, это что-то типа кружка по интересам, здесь расположен форум, и еще куча литературного трэша от фанатов игры.

Форум оказался самописным, поэтому все сплойты для PhpBB, vBulletin, IPB и тому подобных тут были непригодны. Оставался один вариант: искать ошибки вручную. Как назло, никаких багов видно не было, и казалось, что все очень неплохо защищено. Хотя некоторую полезную информацию я вынес: управление форумом производил админ по имени GSC Support с e-mail’ом webmaster@gsc-game.kiev.ua.

Делась здесь было особенно нечего, поэтому пришлось жать Logout и возвращаться на главную страницу. Только сейчас я заметил, что нам доступна функция ретрива пароля из зоны Community — достаточно указать свой адрес, и туда вышлют соответствующий логин и пароль. И тут случилось самое интересное: этот скрипт оказался беззащитным перед SQL Injection! Оказалось, что если передать в качестве e-mail’а знак «'», MySQL громко икнет сообщением об ошибке:

MySQL error 1064: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '______1_' AND site_type LIKE '______1_') OR site_type NOT LIKE ' When executing:select us_name, us_pass from gs_users where us_mail = ''' AND ((is_activ LIKE '______1_' AND site_type LIKE '______1_') OR site_type NOT LIKE '______1_')