Точикистонский косяк

MorpheuS (uin: 371200)

Хакер, номер #084, стр. 084-050-5

[вместо заключения]

Все просто элементарно. За несколько часов работы я поимел все онлайн-представительства целой страны. Возможно, некоторые скажут, что взлом во многом примитивен: пустой пароль в скрытой админке, элементарный баг воспаленного программерского мозга, маразматичное решение администратора записать пароли пользователей в комментариях конфига ftp-сервера. Однако такое положение дел во многом показательно, не следует думать, что такое «разгвоздяйство» - единичный случай. Многие администраторы, особенно на пост-советском пространстве, относятся к возможности взлома, как к чему-то сверхъестественному, что происходит с кем угодно, но только не с ними.

Как показал мой пример, внедряя хай-тек, нужно быть очень осторожным. А то получится такой же косяк, как и у точикистонцев :).

Полезные ссылки

* Утилита Netcat, без которой не обходится ни один взлом: http://cesnet.dl.sourceforge.net/sourceforge/netcat/netcat-0.7.1.tar.gz

* Популярный сканер Nmap: www.insecure.org/nmap/nmap_download.html

* Бажный скрипт Simple File Manager с идиотской дыркой, благодаря которой я поимел все серверы Таджикистана: http://sourceforge.net/project/showfiles.php?group_id=60333

* bind.pl - перловый скрипт, биднящий шелл на указанном порту: www.oak.hu/avatar/bind.pl

Бажный движок

На взломанном сайте использовался движок Simple File Manager, который можно скачать по адресу http://sourceforge.net/project/showfiles.php?group_id=60333. В скрипте допущена идиотская ошибка, которую мог сделать только школьник 9 лет. После авторизации пользователя в качестве флага, обозначающего тот факт, что он ввел корректный пароль, скрипту передается GET-переменная u, указывающая логин, под которым вошел пользователь. Таким образом, для авторизации достаточно лишь подставить требуемый логин в эту переменную. Это уже само по себе жесткий баг, но еще хуже становится от того факта, что скрипт сам сообщает взломщику требуемый логин: он подставляет его в форму авторизации. Придурошный ход для сомнительного повышения usability обернулся жестким багом.

WARNING

Следует понимать, что все, что я проделал - это противозаконно. Эта статья дана лишь для ознакомления и организации эффективной защиты. За применение материала в незаконных целях, несешь ответственность только ты сам. Соблюдай законы своей страны.

CD/DVD

На нашем диске ты найдешь все программы, описанные в статье, а также видеоиллюстрацию к этому взлому. Чтобы всякие утырки не говорили, что все это мы придумали сами.