Ломаем Народ.ру

Даня aka xbit

Хакер, номер #079, стр. 079-070-2

[первый облом]

Появилось сообщение, в котором дотошно рассказывалось о правилах создания файлов. Упомяну о сканерах безопасности. Особо не веря в успех их использования на данном серваке, я все же не преминул воспользоваться X-spider’ом. Результаты его работы были нулевыми. Паук не смог определить даже тип операционной системы, под которой работает хостинг (то, что всем заправляет Windows Server, я знал уже давно от знакомых веб-мастеров). После экспериментов с созданием файла я перешел к процедуре удаления :). И снова обломался. Скрипты народа никак не хотели выпускать меня в пространство вне отведенных рамок. Еще полчаса бессмысленного копания в панели управления показали, что «маленькой победоносной войной» тут не справишься, и я принялся искать другие потенциально опасные точки. Мое внимание привлекли дополнительные скрипты, которые раздаются автоматически вместе с местом под сайт: форум, guestbook, чат. Пропарившись несколько минут с форумом и чатом, я так и не заметил ничего подозрительного: все входящие данные тщательно фильтровались, ни одно пробное сообщение типа <h1>XAKEP</h1> не отобразилось должным образом. Начиная опыты с гостевой книгой, я уже подсознательно понимал, чем все кончится, и был прав. Уязвимостей не было. Правда, в ходе тестирования я заметил, что если передать в строке параметров не номер юзера, а его ник, то скрипт сработает одинаково. Тут запахло SQL-инъекцией, и ближайшие полчаса я пытался составить запрос к базе данных. Но к успеху это не привело: очередной облом полностью испортил мне настроение, и я решил на время отложить штурм бастиона. Я даже хотел уже идти спать, но в мою асю постучал очень хороший друг, с которым я постоянно общаюсь в Сети. Он рассказывал о том, что, гуляя по Сети, он наткнулся на интересный линк, который вел в чат-комнату на народ.ру.

[необычная зацепка]

Весело проведя время, я уже захотел уходить и стал сворачивать софт. Но когда дело дошло до аси, я решил еще пару часиков потусовать в инете. В асе красовалась ссылка на чат-сообщество, по которой я перешел каких-то 20 минут назад. Но тогда я не обратил на нее внимания. Вот этот линк:

http://narod.yandex.ru/chat/chat.xhtml?userid=17289021288240647028&chatid=143&template=6&ChatTitle=%F1%EE%EE%E1%F9%E5%F1%F2%E2%EE%3A+%CE%C1%CC%C5%CD++%C8%CD%D2%C8%CC%CD%DB%CC%C8+%D4%CE%D2%CA%C0%CC%C8%28%E2%F5%EE%E4+%F2%EE%EB%FC%EA%EE+%E4%E5%E2%EE%F7%EA%E0%EC%29&com_id=96366

Вроде ничего необычного. Я сам не придал бы никакого значения этой ссылке, если бы не вспомнил, что при тестировании, которое я провел ранее, ссылка на чат была немного иной. После разбора передаваемых параметров у меня появилась слабая надежда на проведение css-атаки. Обрати внимание на параметр ChatTitle: его значение очень похоже на текст в hex-кодировке. Посмотри на скриншот и подумай, куда вставляется значение этой переменной. Правильно: в название сообщества. Как я уже говорил, ранее все скрипты народ.ру тщательно фильтровали входящие параметры, однако программисты могли не учесть опасности подмены заголовка сообщества. Чтобы проверить свои предположения на практике, я обратился к следующей ссылке: