Паленый сервис

Master-lame-master

Хакер, номер #083, стр. 083-052-3

[операция «Захват-110»]

Не найдя ничего подходящего в папках, которые были мне доступны и перечитав все логи и истории вводимых команд, я не добился никаких успехов. Ядро в системе было 2.4.27 версии, и я также попробовал его взломать. Стандартные эксплойты выдавали какую-то ерунду, а самый последний я не решился испытывать, так как завалил им множество систем (на 99% атака просто бы парализовала сервер). Полностью отчаявшись, я скачал старый добрый сценарий check.sh (http://kamensk.net.ru/forb/1/x/check.sh) и запустил его на сервере. Для незнающих напомню, что этот чекер проверяет все suid/sgid/nogroup-файлы на сервере, а также выдает полную информацию об операционной системе. После детального отчета, я выудил несколько suid-файликов и принялся их изучать. С виду это был стандартный набор приложений: ping, traceroute, su, sudo, exim и еще несколько бинарников. Первым делом я скачал эксплойт для sudo и попытался его запустить, однако ни к чему хорошему это не привело: то ли версия была новой, то ли эксплойт был кривоват. Тут я вспомнил, что и для exim имеется сплоит (www.xakep.ru/post/27010/exploit.txt), который работает только локально и переполняет буфер у почтового сервиса. Скомпилировав и запустив его, я убедился, что iDEFENCE пишут реальные вещи - эксплойт сработал как часы и предоставил рутовый шелл. Мысленно передав привет админу, который засуидил демон, я продолжил мониторинг за сервером.

По старинке, я создал suid-бэкдор и положил его в неприметное место (на всякий случай) и стал жадно шарить по жесткому диску. В заветной папке /usr/service находилась структура каталогов для сервисов squid и openvpn. В одном из каталогов я нашел готовые скрипты для запуска openvpn на клиентской стороне, а также лист учетных записей в открытом виде. Первое, что я хотел сделать, - определить логин нашей жертвы. Быть может он как-то связан с его ником или e-mail'ом. Но логины выбирались «от фонаря», поэтому удача мне не улыбнулась :). Но мне посчастливилось найти файл clients.xls. Его вес достигал 800кб и наверняка он содержал в себе всю информацию о клиентах сервиса. Использовав scp, я скопировал этот файл на свой доверенный шелл, а затем - на комп. Но при открытии с меня потребовали пароль ;). Конечно, можно было убить полдня на перебор комбинаций, или сгрузить с www.passwords.ru программу-брутфорс, но мне просто не хотелось этим заниматься. Я предпочел вернуться в консоль и добить сервер до конца.

[слушаем линию]

Пообщавшись с приятелем, мы решили поставить тачку на прослушку. Причем загвоздка заключалась в том, что нужно снифать все 80 интерфейсов, которые были активны, потому как ip-адрес, выдаваемый клиенту, выделяется совершенно случайно (по протоколу DHCP), а squid использует всего 3 айпишника, которые находятся в другой подсети. Из этого можно сделать разумный вывод: наша жертва использует не proxy, а vpn-подключение. Но сути вопроса это не меняло, так как VPN-трафик шифруется только на участке «клиентgt; сервер», а затем перебрасывается в чистом виде на выходной интерфейс. Наша задача была - прослушать этот интерфейс и собрать компромат на жертву. Однако за незнанием определенного номера интерфейса, пришлось ставить на прослушку весь внешний трафик.