Берем Сбербанк

Стройков "R0id" Леонид

Хакер, номер #095, стр. 095-086-3

КОД

Содержимое избранного каталога банковского ресурса

-rwxr-x--- 1 sbank www 2980 Apr 13 10:19 indcreditpotrebit_rus.inc

-rwxr-x--- 1 sbank www 2944 Apr 13 10:19 indcreditpotrebit_ukr.inc

-rwxr-x--- 1 sbank www 3831 Apr 13 10:19 index_rus.php

-rwxr-x--- 1 sbank www 3812 Apr 13 10:19 index_ukr.php

-rwxr-x--- 1 sbank www 915 Apr 13 10:19 indtransfers_rus.inc

-rwxr-x--- 1 sbank www 915 Apr 13 10:19 indtransfers_ukr.inc

-rwxr-x--- 1 sbank www 9668 Apr 13 10:21 kurs_admin.php

-rwxr-x--- 1 sbank www 4530 Apr 13 10:19 list_module.php

Больше всего меня интересовала админка ресурса и сорцы движка. Обнаружив файл с названием kurs_admin.php и прочитав его, я нашел один из паролей:

КОД

<?

if (session_id()=="") session_start();

if ($_SESSION['password']!='true') {

if($_POST['password_value'] != "8yD1p646r") { //пароль password

//action в форме - вставить название защищаемой скриптины

?>

Зайдя по адресу http://www.savebank.com.ua/kurs_admin.php и введя пасс 8yD1p646r, я попал в админку, в которой предлагалось установить курс валют на текущий момент. Тут же мелькнула мысль о том, какие последствия повлекло бы за собой снижение мной курса доллара в несколько раз. Также можно было изменить значение курса золота относительно разной массы слитка :). К сожалению, возможности администрирования на этом ограничивались. Зато через несколько минут, открыв скрипт list_module.php, я получил еще один пароль:

КОД

<?

if (session_id()=="") session_start();

if ($_SESSION['password_list_module']!='true') {

if($_POST['password_value'] != "sbankedit2005") { //пароль password

//action в форме - вставить название защищаемой скриптины

?>

Перейдя по ссылке http://www.savebank.com.ua/list_module.php, я ввел в формочку ввода пасса sbankedit2005 и опять успешно залогинился. На этот раз мне повезло, это была действительно админка банковсого сайта. Улыбнувшись, я принялся изучать ее функции. В админке позволялось редактировать любой из файлов, находящихся в корне сайта. Окинув взглядом длинный список скриптов, я принялся за движок ресурса. Как оказалось, с базой движок не работал и все данные хранил в файлах с расширением .inc (которое я успешно отбросил при помощи %00). Тем не менее, мне хотелось взглянуть на БД сервера, на котором хостился сайт провайдера «Запорожье Онлайн». Забэкапив движок портала себе на винт, я вышел из админки. Погуляв некоторое время по серверу и почитав конфиги юзеров, я таки получил рутовый доступ к MySQL. Кроме того, я нашел и бережно установленный админом phpmyadmin. Помимо баз различных форумов и фотоальбомов, я наткнулся на БД с названием billing. В ней в открытом виде лежали все логины и пароли для доступа к биллинг-панели на сервере, в том числе и данные банковского аккаунта. Я аккуратно слил базу и удалился восвояси =).

Мысли вслух

Свернув окно браузера, я призадумался. Получив полный доступ к сайту Сбербанка Украины, я в очередной раз убедился, что, несмотря на бешеные денежные затраты, банки и платежные системы остаются уязвимыми. Трудно представить, какой ущерб можно было нанести, изменив значения курсов валют. Благо, банк не предоставлял услуги интернет-банкинга, что хоть как-то «сберегало» его клиентов. Конечно, я мог продать данные банковского аккаунта или просто задефейсить сайт, но попасть в места не столь отдаленные мне хотелось меньше всего. Поэтому я незамедлительно написал сообщение на мыло администрации банка о найденных мной уязвимостях и со спокойной душой лег спать.