Ломаем Народ.ру

Даня aka xbit

Хакер, номер #079, стр. 079-070-1

(stream@oskolnet.ru | 3344-37-228)

Мелкие бреши крупных систем

Если ты читаешь наш журнал давно, то наверняка вспомнишь множество интересных взломов. Ломали все — от домашних страниц Васи Пупкина путем перебора паролей до крутых порталов типа mail.ru. Я сам не так давно писал о багах в Новой Почте. Но есть сайты, взломать которые нашим парням не удавалось. Например Рамблер.ру или знаменитый бесплатный хостинг Народ.ру. Защита этих ресурсов продумана до мелочей и дефейснуть их практически невозможно. Однако мелкие прорехи в них все же есть. Сегодня я расскажу тебе о том, как безо всякого геморроя утащить аккаунт с народного сайта.

[narod.ru]

Народ.ру — подпроект поисковой системы Яндекс. Это, пожалуй, самый известный бесплатный хостинг в рунете, имеющий репутацию свалки. И действительно, чего тут только нет: и домашние страницы, и сайты липовых корпораций, и представительства кидал, предлагающих заработать лимон баксов, вложив всего полтинник вечнозеленых. Помимо хостинга, действует почтовая служба. И не только почтовая: Яндекс буквально с головы до ног оброс разными сервисами, которые давно привлекали мое внимание.

Свой путь я начал с головной страницы народ.ру. Поддавшись рекламным лозунгам, зарегистрировался и создал свой сайт — xbit77.narod.ru. Кстати, должен отметить, что, вопреки расхожему мнению, народ.ру вовсе не такой уж и детский сервис. Поимев свой аккаунт, ты при помощи специальных мастеров сможешь сверстать чудо-юдо-творение всего за 60 секунд. Правда, и качество такого сайта будет на уровне. Панель управления сайтом меня, честно говоря, впечатлила: куча всяких интересных настроек плюс бонусные фичи типа автоматизации платежей через систему Яндекс.Деньги и бесплатных дополнительных скриптов. В общем, система продумана очень хорошо, в том числе с точки зрения безопасности. Увы, за всю историю общения с народом мне так и не удалось вывести на экран сообщение об ошибке.

[начинаем осмотр пациента]

Зарегистрировавшись в системе, я принялся ощупывать ее. Испытания начал с конструктора сайтов. Создание сайта при помощи конструктора на narod.ru разбито на несколько этапов. Сначала предлагалось выбрать шаблон оформления, затем дизайн главной и других страниц. Все данные, которые запрашивались — информация для непосредственного вбивания в будущий файл. Одним словом, опасных моментов практически не было. Набросав таким образом несколько страниц, я приступил к дальнейшему исследованию пользовательской панели. Мое внимание привлек пункт «Управление файлами и HTML-редактор». Перейдя по ссылке, я увидел до боли знакомую форму управления файловой системой. Я уже имел дело с похожими скриптами на других, менее известных ресурсах. Практически все они страдали опасным недугом — позволяли пользователю выходить за пределы собственной директории. Недолго думая, я попытался создать файл с именем ../../../../../../../xakep.htm. Чтобы было, если бы мне удалось сделать это, объяснять не надо: простейший ASP-скрипт вмиг произвел бы дефейс (серверы народ.ру работают под управлением Windows Server, хоть сканеры это и не показывают). Но у меня ничего не вышло :(.