Ночная бомбардировка

_1nf3ct0r_ (dr.pascal@mail.ru)

Хакер, номер #082, стр. 082-054-1

Свирепая сетевая атака

На часах 4 часа утра, за окном - темень, холод, и льет дождь. На мониторе моргает значок загружающейся винды, а в моей нетрезвой голове зреет план на остаток ночи: совершенно определенно, мне хочется размять пальцы и поломать какой-нибудь стоящий сетевой проект. Я зарядил в браузер свежий анонимный прокси-сервер и отправился на поиски своей будущей жертвы.

Перейдя по какому-то баннеру, я попал на железячный сайт и мое внимание на время переключилось на красивые устройства, один только взгляд на которые заряжал хай-тек-позитивом. Я читал обзоры видеокарт, смотрел конфигурации системных плат и прикидывал цены, как внезапно в правом нижнем углу экрана что-то замигало - пришло сообщение от моего хорошего знакомого. Приятель просил помощи в одном непростом деле. Ему нужно было поломать сервер популярной компьютерной фирмы (ее название я оставлю в секрете), и упереть оттуда спрятанные от внешних глаз данные. Требуемые документы, как говорил мой знакомый, доступны только из локальной сети организации по SMB и находятся на защищенном паролем ресурсе. Поэтому утянуть интересующие файлы снаружи, через какой-нибудь элементарный web-баг, было невозможно. По всему выходило, что надо будет рутать эту машину.

Я был в долгу перед этим человеком, к тому же его предложение меня заинтересовало и с технической точки зрения - не каждый день доводится ломать проекты серьезных компаний. Поэтому, обговорив некоторые детали относительно интересующих документов, я перешел к активным действиям по взлому сетевого ресурса.

[неспортивный взлом?]

Первым делом я решил просканировать сайт организации (назову его www.example.org) с забугорного шелла nmap'ом в режиме стелс-скана. Оказалось, что на сервере для внешнего доступа открыто минимум портов и, совершенно определенно, администратор нормально настроил файрвол. Брандмауэр также безжалостно резал весь ICMP-трафик - ни один пакет не вернулся в ответ на мой ping. По всему выходило, что администратор этого сервера - адекватный человек и нормально настроил файрвол, более того, баннеры стандартных серверов, открытых для доступа из инета указывали на то, что версии демонов регулярно обновляются, и админ следит за новостными лентами. Тогда я решил присмотреться к сайту организации и поискать там бажные скрипты - может быть, там стоит древний форум или какой-нибудь другой бажный движок.

[немного экстрима]

Увы, но ни одного публичного движка на сайте установлено не было, да и вообще, бажных скриптов, как казалось, здесь не было в принципе. Все работало как часы: управляющие значения передавались скриптам в виде чисел (www.example.org/about.php?param=32) и их значения корректно фильтровались от специальных символов, то есть никакой SQL-инъекции здесь не было и в помине. Чтобы долго не мучиться, я зашел на google.ru и попросил его поискать CGI и PHP скрипты: inurl:www.example.org filetype:CGI/PHP. Однако ни один из найденных скриптов не поддался моему дурному влиянию: все программы были написаны вменяемыми разработчиками, и видимых ошибок в них не было. И тогда я вспомнил про атаку Reverse IP lookup, которую NSD описывал в мартовском номере журнала. В самом деле, ведь у этого сайта, вполне возможно, есть соседи: хоть машина целиком и принадлежала ломаемой организации, скорее всего, на этой площадке хостились и другие, дружественные, проекты. Поэтому я решил попробовать в действии reverse IP lookup.