Берем Сбербанк

Стройков "R0id" Леонид

Хакер, номер #095, стр. 095-086-1

(r0id@mail.ru)

Взлом Сберегательного банка Украины

Наверное, ты полагаешь, что банковские сети являются самыми защищенными. Ведь в организациях такого масштаба работают профессионалы. Кроме того, банки тратят огромные деньги на обеспечение информационной безопасности и подготовку специалистов. В таких условиях предпринимать какие-либо попытки несанкционированного проникновения кажется бессмысленным. Но это не так. Если есть система, то есть и баги. Взломав сайт Сбербанка Украины, я в очередной раз убедился в этом. Да что там говорить, сейчас ты и сам все поймешь.

А все начиналось так красиво и легко...

Оставались считанные дни лета. В голове прокручивались мысли о том, что было сделано за три прошедших месяца. Конечно, сделано было многое, но мне хотелось большего. Не скрою, я давно мечтал получить контроль над каким-нибудь крупным банковским ресурсом. Поэтому, наткнувшись на одном из порталов на адрес сайта Сбербанка Украины (http://savebank.com.ua), я машинально кликнул на линк, и уже через несколько секунд страница загрузилась. Дизайн ресурса впечатлял - цветовая гамма была подобрана идеально, видимо руководство банка весьма щедро финансировало отдел ИТ. Оглядевшись, я прикинул, что ковырять движок не имеет смысла. Наверняка он был написан на заказ и выполнен по качеству не хуже дизайна. Здесь нужен был другой подход, вернее, подход с другой стороны. Для начала я решил просмотреть список хостящихся на сервере сайтов, воспользовавшись аналогом domainsdb.net - www.domaintools.com. К моему удивлению, их было несколько.

Все эти ресурсы, за исключением банковского, принадлежали украинскому провайдеру «Запорожье Онлайн». К сожалению, их быстрый осмотр не принес положительных результатов, хотя я и не рассчитывал на легкую прогулку. Вместо того чтобы плотнее заняться изучением сайтов, я запустил nmap и удостоверился в наличии открытого 21-го порта с ProFTD 1.30. Идея была такова: так как сервер принадлежал провайдеру, то, скорее всего, на нем существовало приличное количество фтп-аккаунтов, а значит, вероятность успешного брута повышалась в несколько раз. Я не сторонник брутфорса, но упускать такой шанс было бы глупо. Проблема заключалась лишь в выборе софта: сервера с установленной гидрой под рукой не оказалось, а брутить виндовым софтом по дайлапу - смешно. В такой ситуации выход был найден один - написание специализированного php-скрипта для брута фтп-аккаунтов. Подавив в себе остатки сна, я принялся кодить, в итоге наколбасив полноценный web-брутфорс (ищи его исходник на нашем DVD).

Теперь было достаточно залить скрипт на удаленный сервер, указать хост ($host), загрузить на сервер файл с логинами юзеров (users.txt) и хороший словарик (dict.txt). После этого можно было запускать брут и идти спать, что я и сделал =).

Обломы и успехи

Проснувшись, я глянул на часы - по моим расчетам брут должен был уже закончиться. Подойдя к монитору и вбив урл шелла, я проверил лог. Увы, но мне не повезло - паролей я не нашел. Что же, оставались сайты, которые хостились на том же сервере. Я сравнил часовые пояса и, посчитав разницу во времени с Украиной (там была глубокая ночь), принялся за работу. Проверка первых нескольких сайтов, как и проверка ресурса провайдера «Запорожье Онлайн», не дала никаких результатов. Правда, я нашел несколько директорий с неправильно выставленными chmod'ами, но толку от них было мало. Наступила очередь банковского сайта. Полазив по разделам и осмотрев движок, я не заметил ничего подозрительного и уже начал думать о завершении неудачной атаки, но тут увидел в адресной строке URL вида: