Clickatell возвращается

Master-lame-master

Хакер, номер #081, стр. 081-050-4

В качестве модуля использовался небезызвестный проект vlogger от THC (www.thc.org/download.php?t=r&f=vlogger-2.1.1.tar.gz). Я скачал его и попытался установить, но система отторгла вражеские исходники, мотивировав это неизвестными переменными и прочей ерундой. Честно сказать, я не понял, почему это произошло, но даже не думал сдаваться. В течение пяти минут я отыскал машинку с похожим ядром (2.4.30) и собрал модуль на сторонней системе. В процессе сборки (с помощью команды vlogctrl), был установлен удобочитаемый режим логирования, путь для сохранения журнала и пароль на немедленную деактивацию модуля-шпиона. После того, как файл vlogger.o был создан, я аккуратно перенес его на WWW-сервер Кликателя и задумался о маскировке. Оценив аптайм сервера (а он равнялся 400 дням), я решил не ставить модуль в автозагрузку, так как это только привлечет лишнее внимание. Сам модуль я поместил в папку /usr/lib/kernel/2.4.30/modules/net/networking.o и немедленно загрузил его с помощью команды insmod. Без особых нареканий ядерный плагин был подгружен, а в журнале появились первые записи об успешном логировании. Удовлетворившись работой шпиона, я подтер лишние логи и временно вышел из системы.

[полоса неудач]

К вечеру мне захотелось проверить работу vlogger'а. Попытавшись аккуратно запустить бэкдор, я включил ожидание коннекта на порт 4444. Однако соединения не последовало. Как оказалось, администратор удалил connback-шелл из каталога /usr/bin, а также сменил пароль на рута (об этом я понял позднее). Ничего не оставалось, как залить шелл по новой и зайти в систему повторно. Поразительно, но мой suid-бэкдор остался нетронутым и с его помощью я опять получил права администратора :). Судя по всему, tripwire при очередной проверке выявила посторонний бинарник, либо админ запалил меня, анализируя логи входа на сервер (вспомни, я рассказывал о том, что попытался войти под рутовым аккаунтом на другие машины). После первых разочарований, я проверил наличие и работоспособность vlogger'а. Поразительно, но модуль также никто не заметил, а в логе появились несколько интересных записей:

passwd root

Password is: PASSWORD

ssh firewall -l root

Password is: PASSWORD2

Таким вот нехитрым образом я получил рутовый пароль на главную машину компании. В качестве фаервола использовался стандартный iptables в комплекте с дополнением patch-o-matic. С помощью последнего и реализовывались функции среднего распределения запросов по WWW-серверам.

[второй удар ниже пояса]

Разобравшись в иерархии серверов и в правилах файрвола, я решил порадовать себя и ближних и создать парочку анлимитных аккаунтов. Дампы Кликателевской базы располагались у меня на машине, поэтому через несколько минут я вспомнил, каким образом связываются таблицы balance, user и person. Затем мной были созданы три аккаунта для Messenger PRO с 10000 кредитами на каждом, которыми я пользуюсь и по сей день. А недобрые администраторы до сих пор не могут залатать ошибку в публичном скрипте и определить наличие шпионских модулей уже на трех своих серверах...