Точикистонский косяк

MorpheuS (uin: 371200)

Хакер, номер #084, стр. 084-050-1

Взлом сайтов национального банка, минфина и Президента Таджикистана

Большинство людей, сталкиваясь с сайтами серьезных организаций вроде национального банка, министерства финансов, Правительства и администрации Президента, сразу бросают глупую идею поломать авторитетный ресурс. Наивные ребята. Тебе остается только радоваться: я не из их числа и расскажу тебе сегодня, как мне удалось взломать самые главные сайты страны, известной своими трудолюбивыми гастарбайтерами и миллиардными наркопотоками, текущими через высокие и красивые горы на север.

[первое знакомство]

Я уже собрался выходить в оффлайн, как вдруг один мой знакомый постучал в асю и попросил посмотреть на странный sql-injection. Перейдя по предоставленному линку, я быстро принялся анализировать явный инжект. Казалось, я все делал правильно, но, по непонятным причинам, желаемого не получал. Я совсем увлекся исследованием бага, и вдруг мой товарищ сказал: «А знаешь, что ты сейчас ломаешь? Загляни на индекс». Перейдя на индексную страницу, я лицезрел гордую надпись: Национальный Банк Таджикистана.

[думаем о здоровье]

В тот же момент я перепроверил свою проксю на анонимность и со спокойной душой принялся анализировать сайт дальше.

Пройдясь по линкам и посмотрев структуру сайта, я ничего интересного не обнаружил. Сайт работал на самописном движке, никаких особых скриптов там не было, акцент был сделан именно на информативность сайта. Из найденных недоработок была разве что та sql-инъекция, которую мне показал приятель, но я не мог ее грамотно заюзать.

Почему-то в голове сразу промелькнула мысль: «Да это же Банк. Здесь не может быть ошибок. Уходить надо отсюда и забыть про все». Хотя постой, как же это так: не может быть ошибок, тут же в скрипте примитивная инъекция! В жизни не бывает случайностей.

Я стал размышлять дальше. Раз сайт часто обновляется и модерируется, думал я, значит, обязательно должна быть админка. Надо попробовать найти ее.

Особо не раздумывая, я ввел в адресную строку браузера http://admin.bank.ru и тут же получил пощечину: такого адреса не существовало. Я тут же исправил адрес на www.nbt.tj/admin и уже приготовился к очередному отказу, как вдруг увидел форму для ввода логина и пароля. Ну, вот уже кое-что. Проверка скрипта авторизации на различные баги ни к чему не привела, все было написано нормально. Либо все вредоносные символы жестоко отфильтровывались, либо авторизация была примитивной, пароль был жестко зашит в теле самого скрипта.

Отчаявшись, я запустил nmap, решив для своего спокойствия просканить сервер: nmap -sV -F www.nbt.tj. Не надеясь на чудо, я узнал, что на сервере открыты стандартные 80, 21, 22 и 3306 порты. Из сервисов были установлены ProFTPD и SSH. К моему сожалению, версии были стабильные, а достать приватные сплоиты для меня не было возможности. Я решил любой ценой прогрызть себе дыру через web.

[свежий взгляд]

Вернувшись на сайт, буквально сразу же я заметил неприглядную кнопочку переключения языка: были доступны русский и английский. Естественно, я не обратил на нее внимание с самого начала, ведь серфить на русском куда привычнее. Я загрузил английскую версию сайта и заметил, что url страницы сменился на www.nbt.tj/en. Наверное, у них просто сохранена точная структура сайта в папке /en. В который раз, пройдясь по линкам английской версии сайта, я убедился, что структура осталась прежней. Стоп! Раз структура сохранилась, значит, должна сохраниться и админка. Каково же было мое удивление, когда, обратившись к www.nbt.tj/en/admin, я увидел, что английская версия админки не была запаролена! Чем это объяснить? Тут можно только гадать, так как никто не подозревал, что ей будут пользоваться, ведь, скорее всего, сайтом управляют русскоязычные сотрудники, или же это просто критический недочет web-мастера. Но сейчас это не главное, сейчас я внутри. Интерес сильнее осторожности :).