Денежный вид спорта

qwentyn (qwentyn@mail.ru)

Хакер, номер #089, стр. 089-072-1

Заливаем троянов с сайта филиппинской футбольной ассоциации

Скоро чемпионат мира по футболу, и все мои мысли только о нем. Недавно мне понадобилась площадка, с которой можно было бы заливать троянов. Довольно привычная тема – поломать американский е-шоп, и совершать загрузки оттуда. Но в этот раз я решил поломать какой-нибудь популярный футбольный сайт.

[выбор жертвы]

Подумав о футболе, я сразу вспомнил о популярном ресурсе football.com, на котором недавно нашел ошибку: можно было локально читать файлы. Ты и сам можешь посмотреть на этот баг, для этого достаточно перейти по адресу www.football.com/cgi-bin/posters/printPost.cgi?category=collegefeatures&at=/etc/passwd. Легко понять, что на этой странице тебе покажется содержимое файла /etc/passwd. К сожалению, ничего значимого с этого бага мне поднять не удалось. Одна из идей дальнейшего взлома у меня заключалась в том, чтобы просмотреть содержимое самой программы printPost.cgi и вытащить оттуда пароль к базе данных. Однако появилась проблема – это cgi-приложение представляло из себя скомпилированную программу, бинарный файл. Соответственно, чтобы вытащить оттуда текстовый пароль, нужно было провести исследование этого бинарника. Из этой затеи у меня не получилось ничего хорошего – поэтому предлагаю тебе самому провести исслежование этой программы и попробовать разобрать ее на кирпичики. Конечно, в исследовательских целях. Это действительно интересное занятие.

А мы вернемся к моей затее по взлому футбольного сайта. Довольно быстро я нашел довольно колоритный сайт www.philfootball.info - ресурс филиппинской футбольной ассоциации. Звучит интересно, не так ли? Ну что ж, поехали!

[первое знакомство]

Итак, что мы имеем. Как легко заметить на скрине, сайт довольно убогий. Все набито на голом html, поэтому копать тут нечего. И сколько я не шарился по различным линкам, ничего интересного так и не нашел :(. Спасло меня только то, что на сайте был установлен чат и форум, на которые и оставалась вся надежда. По старой традиции я начал с форума. Там стоял старый-добрый MercuryBoard, что меня обрадовало. Сейчас расскажу, почему.

Лично мне этот движок очень нравится, но, несмотря на это, он, как и любой другой, имеет дырки. Форум, как я сразу заметил, за год уже перебрался на ветку повыше - 1.1.3, поэтому для теста была выбрана старая версия, которая сохранилась у меня на старой болванке. Так как для этого движка в паблике не было выложено ни одной уязвимости класса PHP source injection, а самому перерывать исходники не было ни желания, ни времени, я решил для начала остановиться на sql injection. Порывшись 5 минут в багтраках и выцепив парочку скулей, я начал тестировать на локалхосте. Все прошло на ура, но при тесте на «Филиппинах» сплоиты работать подчистую отказывались. В порядке теста, на локальной системе, мной была найдена еще одна недокументированная sql-инъекция, но опять же на philfootball работоспособность ее была нулевой. Забегая вперед, хочу заметить, что администратор форума оказался грамотным человеком, обладал хорошей интуицией и привычкой перечитывать логи перед сном. Сразу вспомнились времена, когда KEZ с PinkPanther`ом релизили CSS-дырки под этот движок. Почитать об этом можно тут: http://forum.antichat.ru/thread5971.html и http://forum.antichat.ru/thread5796.html.