Берем магазины под контроль

k00p3r (secinfo@mail.ru)

Хакер, номер #086, стр. 086-076-4

Посмотрев еще несколько хостов, которые Гугл выдал мне на запрос "inurl:index.php?aux_page=", я удивился, увидев на двух сайтах данные от БД, которые были на сервере, описанном выше. Человек держал 3 магазина на одинаковом движке и оба они, естественно, были уязвимы :).

Пасхальное яйцо от RST

Не так уж и много людей знают о том, что в мегапопулярном web-шелле от российской команды RST есть «пасхальное яйцо» - счетчик посещений, который светит адрес установленного шелла в статистике (поле Referrer). Скачать скрипт с вырезанным счетчиком можно по этому адресу: www.securityinfo.ru/www/upload/tools/r57shell.txt.

INFO

Не пытайся перейти по адресу вида www.target.com/admin.php, так как тебя там никто не ждет и не пустит :). Данные для входа в зону администрирования вводятся на главной странице.

WWW

В Сети уже довольно давно можно скачать исходный код известного магазина eBay. Если ты хочешь почувствовать себя в роли серьезного багоискателя, то поисковик тебе поможет найти эти интересные сорцы :).

WWW

www.shop-script.ru - домашняя страница Shop-Script'a.

www.webyog.com - SQLyog. Программа для подключения к базе данных.

www.rst.void.ru/download/sql.rar - скрипт используемый в статье. Утилита a'la phpmyadmin для работы с базами данных MySQL.

www.securityinfo.ru/www/upload/tools/r57shell.txt - модифицированный шелл.

WARNING

Не стоит забывать, что все действия взломщиков противозаконны, поэтому данная статья предназначена лишь для ознакомления. За применение материала в незаконных целях автор и редакция ответственности не несут.

CD/DVD

На нашем диске ты найдешь все программы, описанные в статье, а также видеоролик, иллюстрирующий взлом веб-магазинов.