Борьба со жлобским ISP

Александр Любимов aka Sashiks

Хакер, номер #081, стр. 081-060-5

[последние штрихи]

Самым простой план действий состоял в загрузке на сервер web-шелла, и последующей организацией back-connect'a (ведь все порты тачки были наглухо закупорены файрволом). Сказано — сделано, загрузив rst шелл (уже ставший классикой), я запустил на своей доверенной машине netcat на 4000 порту.

Реверсивный перловый бэкдор послушно приконектился. Теперь у меня был доступ к полноценной оболочке. Следующим моим заданием было выявление местонахождения биллинговой базы. Это было довольно просто. На главной странице V.I.S.P'а была ссылка на статистику использования аккаунта. Скрипт статистики был нехитрым: нужно было ввести логин и пароль, причем сценарий страдал простейшей SQL-инъекцией. Если в качестве пароля передать кавычку ('), скрипт без вопросов пропустит на страницу и выведет подробный отчет о состоянии счета (жалко что пароль не выводил).

Если скрипт выдает инфу о счете, значит он напрямую связан с биллинговой системой. Сценарий статистики назывался account.cgi. Поэтому мне оставалось вбить в консоли locate account.cgi и сделать head на нужный файл.

[бесплатный сыр]

Как ты видишь, сайт ISP состоял практически полностью из фриварных скриптов и был построен на основе небольшой бесплатной CMS, что от части его и погубило. Вспомни, бесплатный сыр бывает только в мышеловке. Фриварные скрипты тем и хороши, что ты всегда можешь скачать их и при желании разобраться в структуре сценариев. Поэтому если ты увидел какой-нибудь популярный движок на сайте, то смело ищи в интернете архив с его исходником и принимайся за изучение. Можно также обратиться к порталам по компьютерной безопасности, где, вероятно, будет информация об уязвимостях проекта. Но так или иначе глупое «скачал->запустил» не должно становиться принципом. Ведь если грамотно настроить даже фриварный проект, тебя вряд ли поломают злые хакеры. Имей это в виду.

[скрытный индеец]

Вообще-то по умолчанию индеец Apache не должен показывать содержимое каталогов. Специалисты и вовсе рекомендует отключать индексирование каталогов. Если ты параноик, то можешь вообще удалить модуль mod_autoindex. Если же индексация каталогов все же нужна и без нее не куда, то необходимо позаботиться, чтобы конфиденциальные данные были защищены. Для этого придуманы файлы .htacces .htpasswd. Они служат для разграничения доступа и аутентификации соответственно. Поэтому, если тебе дорога твоя инфа не поленись запретить важный каталог для просмотра из вне. Например, так:

linux_box# cat>.htaccess

Order deny,allow

Dene from all

Allow from 127.0.0.1

Это запретит кому-либо просматривать эту директорию, если только подключение не было осуществлено c локального компьютера.

WWW

Огромная база с уязвимостями, в том числе и в web-скриптах:

www.securityfocus.com

www.security.nnov.ru

CD/DVD

На нашем диске ты найдешь полные версии программ, описанных в этой статье, а так же видеоролик, иллюстрирующий этот взлом.