Воскрешение ботнета

_1nf3ct0r_ (dr.pascal@mail.ru)

Хакер, номер #084, стр. 084-072-3

</p>

</body>

2. Браузер IE - зло, так как он откроет две страницы (открывающую кукисы и страницу, на которую я проводил атаку). Для того, чтобы узнать, какой у админа браузер, я создал тему на форуме «Какой браузер лучше» и при помощи классического приема социальной инженерии узнал, что админ юзает Opera.

3. Зайдя на страницу Оперой, админ может запаниковать. Чтобы поберечь ему нервы, я опять модифицировал линк, вставив туда функцию document.write("Здесь текст вида 'Ошибка 404-страница не найдена'"). Однако это уже тонкости, я не буду тебя мучить перекодировкой - пусть ссылка останется прежней.

[aдмин в XSS-капкане]

Теперь осталось только проявить навыки социальной инженерии и заманить админа в мой капкан.

Те, кто не знаком с XSS-атаками и читал невнимательно, наверное, спросят: «А причем тут социальная инженерия?». Так вот, отвечу. Данную ссылку мы будем впаривать администратору сайта, чтобы украсть его кукисы, затем подменить его кукисы своими и зайти в админку, которая располагалась в директории /admin.

Все шло как по маслу: я отослал линк, замаскированный под битую ссылку. Оставалось ждать ответ письма от скрипта css.php и не загуливаться, так как cookies'ы имеют такой недостаток, как «потеря срока годности» :). Я зарегистрировал e-mail lala-344-lol@mail.ru, который указал при написании скрипта (позже, для собственной же безопасности, я удалил e-mail).

[клюнул!]

Было поздно, я уже, выключая &RQ, собирался в оффлайн, как в друг летучая мышь принесла мне письмо с темой Uzer_waz_XSSed!_Eat_his_cookies! :) с кукисами в теле письма! Сон сразу как рукой сняло. Я открыл письмо и нашел админские кукисы :).

Вскоре, вручную подменив выпечку, я стал админом - мог войти в самописную админку, где мои возможности ограничивались заливкой файлов и текстовым редактором материалов. В главную страницу я внедрил вредоносный код, использующий известный баг в IE, к которому уже написан готовенький сплоит - UNIVERSAL .ANI files handling exploit, указав ему путь к трояну (www.infectors.narod.ru/server.exe) и порт, открывающийся на стороне юзверя (я выставил 800). После того как сплоит сгенерировал вредоносный HTML-код, я вставил его на главную страницу XSS'нутого сайта :).

[проникновение в консоль]

В принципе, дело было сделано, но что-то меня подталкивало захватить всю систему и добиться максимальных привилегий, порутать машинку. Я залил шелл от RST, немного полазал по папкам, так как PHP-шеллы очень удобны для навигации по системе. Тут я по привычке скомандовал wget, чтобы скачать connect-back бэкдор, но, увы... никаких качалок на серваке не было обнаружено. Я уже начал командовать cat, но зачем лишний гемор? Я взял и закачал его через админку в каталог /tmp :).