Взлом провайдера

автор видео: Sashiks

Хакер, номер #081, стр. 081-148-1

Этот ролик демонстрирует проникновение на некую провайдерскую машину, которая практически наглухо зафильтрована файром. Первым делом наш герой заходит на сайт и принимается изучать его содержимое. На проверку первым попал чат - как оказалось, он крутится на каком-то гнилом паблик-движке, сорцы которого можно без проблем найти на портале woweb.ru. Чел сливает сорцы чата и смотрит, где можно добыть список его юзеров с паролями (вдруг один из них окажется админом портала?). Юзеры, как нетрудно догадаться, лежат ровными штабелями в /data/users/, но к сожалению, приватную инфу о них просмотреть нельзя - все файлы в формате *.php. Хотя сам факт, что диру с юзверями можно просмотреть, заставил героя задуматься - судя по всему файл .htaccess на сервере не обрабатывается апачем (отключена директива в httpd.conf). Далее он заходит на форум и тихонько охреневает. Форум судя по всему какой-то кустарный, что скорее всего означает отсутствие критических уязвимостей под данную версию. Ничего страшного - заходим в гугль и вводим "Software PBlang 4 exploit". На багтраках мельком проскальзывает, что если сформировать запрос вида "http://www.example.com/кустарный_форум/sendpm.php?to=юзер&subj=любая тема&num=1&orig=/home/public_html/pblang/db/members/юзер", то можно получить доступ к конфиденциальной инфе юзера, в том числе и к хешированному паролю. Сформировав запрос, мэн пытается получить пасс админа - mayurev'а. Но атака успешно проваливается ;). Почесав репу, хаксор вспоминает, что .htaccess в чате не обрабатывался как следует. Главный герой пытается внаглую увидеть содержимое каталога с пользователями форума в папке "db/members". Как ни странно, перед ним разворачивается довольно таки нехилый список членов (т.е. мемберов ;)), в том числе и супер-мега админа mayurev'а. Причем каждый юзерский профайл содержит md5-хэш пароля. К сожалению, пасс оказывается довольно-таки наркоманский и брутфорсу никак не поддается. Приходиться идти другим путем. Мэн возвращается на сайт и замечает, что путь к индексу выглядит примерно так: "http://www.visp.com.ua/site/3/index.php". Между прочим мы можем спокойно гулять по всем папкам, которые лежат в /site/ - хтацесс же не выполняется, и опция Indexes не отключена ;). Так вот, в папке /site/ лежат диры /3, /4, /5, и в последних двух находятся свежезалитые и неюзаемые СMS ZENER PHP. В цмс, конечно же, есть форма авторизации. Первым делом, что нужно взломщику - перейти на оффсайт системы и скачать исходники, чтобы найти в них дефолтные учетные записи. Получив ее (admin) герой вижуалхаков ломиться в центр управления сайтом и пытается залить на машину web-шелл или выполнить злостный php-код в системе. К его удивлению, записать код не удается - изменения не сохраняются. Аналогичные действия он проводит и в папке /4 (там та же цмс, только с другим скином). Призадумавшись, мэн решил зайти в раздел управления юзерами. Как оказалось, админскими правами наделен не юзер "admin" (как по дефолту), а учетная запись "mayurev" (где-то я уже его видел). Самое интересное, что пользователю "маюреву" можно поменять пароль. Наш герой так и поступает - логиниться под "маюревом" и вставляет злостный код для выполнения команд в раздел "Счетчики" (именно там рнр-тэги не режутся). В последствии, на машину был залит веб-шелл и произведен реверс-коннект. Далее дело оставалось за малым - найти систему биллинга