Итоги форумной войны

Степан Ильин aka Step

Хакер, номер #083, стр. 083-072-5

[Invision Power Board]

IPB подобно phpBB является чрезвычайно популярным скриптом для создания форума, однако количество найденных в нем уязвимостей на порядок меньше. Скажу больше: серьезные дырки, из которых реально возможно причинить урон серверу практически отсутствуют, в багтраке нет ни одного сообщения о возможности выполнить на удаленной машине произвольный код. После долгого изучения багов и эксплоитов хочется обратить внимание лишь на один эксплоит — универсальный вариант для совершения SQL-инъекции как для ветки 1.x, так и 2.x (до версии 2.0.4) IPB.

[IPB 1.x, 2.x (<2.0.4) — доступ к админ-панели]

Любая из обозначенных версий IPB подвержена SQL-инъекции. Это достигается за счет недостаточно серьезной обработки cookies-файлов в сценарии sources/login.php. Баг закрался в функции my_getcookie($name), которая некорректно использует функцию urldecode(). Если на сервере включены magic quotes, переданный в запросе символ %2527 превращается в одинарную кавычку. Благодаря этому хакеру удается выполнить любой SQL-запрос и извлечь хэши пользователей.

Эксплоит для этой уязвимости выпустили сразу несколько security-команд, в том числе и RST. Ты можешь скачать его с rst.void.ru/download/r57ipb2.txt, но спешу огорчить: сразу он у тебя не заработает. 1dt.w0lf, который разработал этот эксплоит, умышленно оставил в нем логическую ошибку, т.е. реализовал защиту от скрипт-кидис. Знакомому с Perl’ом человеку не составит труда найти ее, но чтобы не мучиться подскажу. Для восстановления работоспособности нужно лишь заменить строку «$allchar .= chr(42);» на строку «$allchar .= chr($i);».

Для работы perl-скрипту необходимо передать 4 параметра: адрес сервера, путь до форума, member_id (для администратора — 1), версия IPB (0 — IPB 1.x, 1 — IPB 2.x). В конкретном примере это выглядит так: r57ipb2.pl www.victim.com /IPB/ 1 1. Ключевое условия для успеха: magic_quotes в конфиге PHP на сервере должны быть включены.

[конец]

Многие осуждают использование готовых эксплоитов, но в этом нет ничего зазорного. Пускай серьезного опыта на таких взломах ты не наберешься, но зато сможешь легко разжиться полноценным *nix-шеллом. А это, между прочим, уже хороший плацдарм для будущих взломов, для которых возможно придется устанавливать свой собственный прокси-сервер без логов или, к примеру, сканировать целые подсети IP-адресов для поиска машин с определенной уязвимостью. phpBB представляет для этого отличную возможность — думаю, что теперь тебе не составит труда уложить его на лопатки.

[что делать с хэшем пароля администратора?]

Многие из представленных эксплоитов позволяют получить хэш пароля администратора. Однако хэш — это не сам пароль, а как бы его отпечаток, некоторая сигнатура. Поэтому указать его в качестве пароля нельзя. Есть два варианта его использования.