Борьба со жлобским ISP

Александр Любимов aka Sashiks

Хакер, номер #081, стр. 081-060-2

[пробиваем брешь]

Перейдем к претенденту на проверку номер два, а именно к форуму. Как я уже говорил, это был не обожаемый всеми админами phpBB 2.0.x, а более экзотический форум, который я раньше не встречал — Software PBLang версии 4.60. Первым делом нужно было зарегистрироваться, чтобы потом продолжить свои злодеяния. Пока я регистрировался под шпионским аккаунтом "pipec", мне предложили выбрать аватару, но к сожалению пункта «закачать_web-шелл_как-аватару» не было :(. В общем, загрузить свою аватарку на сервер не разрешалось, а можно было либо указать линк на картинку, либо выбирать ее из списка стандартных. Итак, залогинившись под пользователем pipec, я начал бродить по форуму. Первое, что меня интересовало — кто, собственно, админит эту борду.

Просмотрев список пользователей, я выяснил, что админом борды был какой-то подозрительный тип гражданской наружности с ником «mayurev».

Этот самый Маюрев, между прочим, был администратором сайта, и похоже, всего ISP'шного сервера. Теперь мне нужно было получить информацию об уязвимостях в форуме, которые бы позволили мне либо поднять права до администраторских, либо получить возможность взаимодействовать с машиной (читать директории, выполнять команды и так далее). В Гугле нашлась нехилая стопка сайтов с описанием багов к борде. В первую очередь там фигурировали разнообразные дырки, которые позволяли осуществить XSS. Но больше меня заинтересовала возможность раскрытия пользовательских данных. Сейчас немного расскажу об этой баге. Допустим, форум установлен в каталоге /home/public_html/pblang/. Если мы залогинимся и обратимся браузером к www.example.com/pblang/sendpm.php?to=admin&subj=you_are_mafaka&num=1&orig=/home/public_html/pblang/db/members/admin, то в результате должны прочесть файл с пользовательскими настройками, где будет находиться вся информация об этом юзере. Самые сладкие сведения лежат в первых нескольких строках:

$userid="1";

$password="тут будет MD5 хэш";

$username="Cool_Admin";

Теперь мне оставалось лишь составить подобный линк и скормить его браузеру, чтобы в ответ получить данные администратора с ником mayurev. Но меня постиг облом — вместо ожидаемой инфы меня просто перебросило в форму для отправки PM. Значит, нужно было искать другой путь. На некоторое время я задумался, что может мне помочь продвинуться дальше. Проходя весь путь от захода на сайт до текущего момента я вспоминал детали. Вспомнив, что ковыряя чат, я мог просматривать содержимое его папок, причем вложенный в каталог .htaccess не активировался и не препятствовал просмотру. Если с помощью уязвимостей в форуме я не могу читать пользовательские файлы, то стоило попробовать просмотреть директорию «в наглую» через браузер. В адресной строке я дописал db/members/ и ... увидел конфиги всех юзеров борды с мылами и хэшами паролей! Достав конфиг mayurev, я загрузил его в MD5Inside. Запустив софтину я стал ждать. Но гадский пароль не хотел расшифровываться ни в какую. Прошло больше четырех часов, а перебор все продолжался и продолжался. Я решил не ждать окончания брутфорса а продвигаться дальше, ведь если что мне было куда отступать — у меня была база с форума.