Тотальный дестрой TV

Longer

Хакер, номер #094, стр. 094-078-4

На следующий день, обдумав дальнейшие действия, я продолжил атаку. Вспомнил, что у меня есть еще и баннерный движок. Скачав и установив его, посмотрел имена таблиц и полей в базе данных (phpads_config – таблица, в которой хранился пароль и логин админа; admin – логин; admin_pw – md5 хэш пароля). Долго не думая, я начал вытаскивать логин и хэш пароля. Логин выудил таким же принципом, что и раньше, добавив лишь в него функцию lower (приводит символы к нижнему регистру) - viewDoc.php?docid=1+AND+ascii(lower(substring((SELECT+login+from+user_tbl+LIMIT+1),1,1)))>47 (zinur). А вот с хэшем пароля провозился час (лень было писать скрипт для автоматизации). Поставил хэш на брут и довольно быстро его подобрал по словарю — пароль был «ADmin».

Успешно залогинившись, я начал искать каталог, где хранятся все баннеры. Скоро мне удалось его найти - /home/studio-41.com/banners/ads/. Однако, обратившись к имени моего сценария, увидел ошибку 404. Я вернулся к изучению настроек и вскоре нашел кнопку «Переместить баннеры и SQL базы в локальную папку». Я снова перешел по тому линку и в этот раз увидел ошибку 500 (видимо, не было прав на выполнение). Тогда было принято решение найти админку сайта и опробовать связку логин:пароль там. За пять секунд я определил путь (studio-41.com/admin) и выяснил, что связка не работает. Но мне вспомнилось про существование пользователя, зареганного в системе управления баннерами. Админ, к сожалению, не мог посмотреть его пароля, поэтому я решил снова вернуться к sql-inj и выудить хэш пароля. В этот раз мне уже было лень париться и вручную делать перебор, поэтому и я сваял автоматизированный скрипт (см. файл sqlbrut.php на DVD).

Залив сценарий на хост и изменив передаваемый ему параметр sp, я выудил весь хэш. Полученное добро быстро отправилось на брут. Результат был достигнут уже через 2 минуты – ADmax. Но, когда я опробовал связку www:ADmax на админку, я опять обломался. Отложив взлом в долгий ящик, я решил пойти дальше по списку – eratv.ru.

Эра-ТВ

Меню сайта было выполнено на флеше. Никаких публичных скриптов не наблюдалось. На первой странице красовались новости со ссылками на более подробное их содержание. К одной из таких ссылок я и обратился: http://eratv.ru/inner.php?page=news1&id=100443. Подставив в конце параметра id одинарную кавычку, я получил страницу с оформлением, но без данных новостей или ошибки. Мне показалось, что так не должно быть :). Я прибавил UNION и начал подбирать количество столбцов. После запроса http://eratv.ru/inner.php?page=news1&id=-999+UNION+SELECT+1,2,3,4/* я нашел уязвимость! Первым делом я проверил, под каким пользователем я в MySQL и он ли это вообще. Подставляя вместо третьего столбца user(),database(),version() получил следующую инфу: