Котлета по-киевски

Digital Explosi0n

Хакер, номер #078, стр. 078-056-3

' or <> ' ' INTO OUTFILE '/data/httpd/vhosts/./stalker-game.com/all_logins_and_passwords.txt' /*

Все это надо трактовать следующим образом: если поле e-mail в нашей БД не пустое, записываем соответствующий логин и пароль в файл all_logins_and_passwords.txt. Теперь можно идти по адресу www.stalker-game.com/all_logins_and_passwords.txt и сохранять все содержимое себе на винт. Кстати, файлик получился нехилый — 200 с чем-то кило.

[разделяй и властвуй]

Едем дальше. Залогинившись под учетной записью админа, я начал кропотливо изучать внутренности форума, так сказать, по ту сторону баррикад. К моему великому сожалению, ничего интересного найдено не было. Я мог изменять статус пользователей, банить их, добавлять аватары, изменять какие угодно разделы и топики — все это, конечно, очень весело, но было бы неплохо залить на хост полноценный web-шелл. Сейчас сделаем!

Пришло время почитать конфиги Апача. Методом перебора всех возможных вариантов этот самый конфиг был найден. Он удобно расположился по адресу /etc/httpd/httpd.conf. Обратившись к

www.stalker-game.com/russian/index.php?t=../../../../../etc/httpd/httpd.conf%00,

я получил доступ к конфигу вебсервера и принялся его изучать. Надо сказать, моя интуиция не подвела, и уже скоро, при рассмотрении секции Virtual Hosts, был найден интересный блок:

Занятная часть конфига

ServerName files.gsc-game.com # sphinx.2gw.net

... logs ... logs ... logs ...

DocumentRoot /data/httpd/vhosts/sphinx.2gw.net

ServerName sphinx.2gw.net AuthType Basic

AuthName "Restricted Files"

AuthUserFile /etc/httpd/passwords/subj

Require user monitor SetHandler server-status

Попробую описать тебе, что это значит. files.gsc-game.com — видимо, админка сайта, sphinx.2gw.net — ее зеркало. Далее указывается тип авторизации — Basic. Это значит, что нужно ввести логин и пароль для доступа к защищенной части сайта. Еще для нас особую ценность представляет вот этот файл: /etc/httpd/passwords/subj. В нем хранятся пары типа «логин:зашифрованный пароль». Последняя строка в блоке указывает на то, что для юзера с именем monitor при авторизации осуществляется еще и контроль по IP-адресу, так что пройдут только свои. Теперь применим знания на практике. Доступ к files.gsc-game.com был закрыт, но это и не страшно, попробуем sphinx.2gw.net. При заходе на эту страничку появлялось окошечко с просьбой ввести логин и пароль. Вот тут-то нам и понадобился /etc/httpd/passwords/subj. Прочтем его:

www.stalker-game.com/russian/index.php?t=../../../../../etc/httpd/passwords/subj%00.

Ну неужели! Наконец-то мы нашли тот самый сундучок с сокровищами:

Украденные аккаунты

monitor:Yuato94XJqDdg

press:.v8Yk7BbuFQb6

phpmyadmin:/edBlsW.2LUlc

gahel:FALk.Dq0z66AE

firestarter:cKYZkV8DvdxSg

c2b:pZal.rdQZKBZE

Как ты, наверное, уже успел заметить, пароли зашифрованы DES’ом. Теперь дело за малым — загоняем их в JTR, ставим наибольший приоритет для процесса (renice -20 PID) и отправляемся спать.

[happy end]

Сказать по правде, спать мне пришлось довольно долго. Эти хэши еще долго не сдавались. Пришлось повозиться с ними несколько недель. Хотя в конце концов затраты были оправданы: мне стали подвластны все базы данных, теперь можно было изменить любую новость на главной страничке, всего-то подправив определенные поля в таблицах. Взвесив все «за» и «против», я решил не делать этого. Какой прок от того, что я размещу там свое послание? Да никакого, а по лбу схватить можно запросто. В конце концов, могла повториться ситуация, схожая с Half-Life 2. Тогда с сервера разработчика украли исходники гамесы, и в итоге свежий релиз отложили еще на год. Так что лучше напишу-ка я письмецо web-мастеру, может, перепадет эксклюзивный box с игрой :).