Ломаем Народ.ру

Даня aka xbit

Хакер, номер #079, стр. 079-070-4

Список наиболее активных пользователей есть на головной странице проекта. Именно через рассылку личных сообщений я и пытался осуществить CSS-нападение. После попытки войти под своим старым аккаунтом (он был заведен еще с незапамятных времен, когда я только начинал заниматься веб-строительством) меня перекинуло на страницу «http://sitecity.ru/badlogin.phtml?message=Неверный логин». Думаю, не нужно пояснять, что было после того как я посмотрел на адрес страницы с ошибкой. Тут же последовал запрос: «http://sitecity.ru/badlogin.phtml?message=<h1>XAKEP</h1>». Результат виден на скриншоте. К сожалению, я так и не смог зарегистрироваться на сервисе, чтобы изучить кукисы юзера, а проводить атаку на сторонних пользователей я не захотел. Но в любом случае брешь есть и хакер может использовать ее для своих грязных целей.

[заключение]

Как видишь, даже такие серьезные и популярные сервисы имеют недостатки в защите. Да, нанести сервису серьезный вред не удалось, однако заполучить аккуант практически любого юзера не составит труда. И что-то мне подсказывает, что еще очень долго после выхода этой статьи брешь так и будет оставаться неприкрытой. Взять, например, newmail.ru. Об аналогичном баге я писал два месяца назад, а дыра так и осталась незакрытой. Такое положение дел объясняется прежде всего ленью админов и их нежеланием защищать собственных пользователей. Хотя, может, они просто не читают «Хакер»?

[как топили Народ.ру раньше]

Когда эта статья была уже почти написана, я решил проверить, были ли прецеденты взлома этого хостинга. Существуют ли какие-нибудь баги в системе народа. Загрузив Яндекс, я вбил соответствующий запрос. На меня высыпалось несколько десятков тысяч линков на сайты с заголовком «Взлом сайтов на народ.ру!!!». Это меня, мягко говоря, удивило, и я, загрузив сразу пять линков, начал изучать хак-стори. На самом деле никакой хак-стори не было. Взламывать сайты на народ.ру предлагалось при помощи методов социальной инженерии, то есть липовыми письмами от администрации хостинга с просьбой восстановить пароли по адресу real-support-narod.ru.haker.ru или, еще примитивнее, выслать на мыло. Это навело меня на некоторые мысли, и я, недолго думая, переместился к пункту восстановления пароля с главной страницы хостинга. Для того чтобы забывчивому юзеру напомнили его пароль, необходимо ответить на секретный вопрос вроде «Ваше любимое блюдо?» или «Девичья фамилия матери?». После ввода верного ответа будет предложено ввести новый пасс. Понятно, что если ты хорошо знаешь человека, то не составит труда отнять у него ящик. Отобрать сайт будет так же просто, как мыло по тазику гонять, даже если ты не знаком с жертвой. Никто же не отменял IRC и ICQ, в которых можно втереться в доверие и так невзначай спросить о кулинарных пристрастиях пациента либо же разузнать кличку его собаки.

CD

На нашем диске ты найдешь кучу дополнительной информации по CSS-атакам, в основном, наши статьи, уже опубликованные по этой теме.