NASA.GOV на коленях

Леонид «R0id» Стройков

Хакер, номер #096, стр. 096-072-2

http://gcn.gsfc.nasa.gov/admin/ - Access forbidden! (Error 403)

http://nssdcftp.gsfc.nasa.gov/admin/stats/ - stats

http://pds-imaging.jpl.nasa.gov/Admin

http://spacescience.nasa.gov/admin

http://pwg.gsfc.nasa.gov/istp/admin

Увы, перейдя по первой же ссылке, я получил от ворот поворот: «Access forbidden». С остальными была аналогичная ситуация, за исключением http://nssdcftp.gsfc.nasa.gov, но и здесь в доступе лежал один мусор. Просмотрев весь перечень сайтов и оценив его объем, я оставил эту затею. Вместо этого я зашел на www.nasa.gov и собрал с него ссылки на домены, предположительно располагающиеся на этом же сервере. Далее, запустив IntelliTemper (который я уже описывал в X-Tools) на поиск веб-директорий, я отошел от компа. Через несколько часов сканер известил об окончании своей работы. Настало время разгребать огромный лог. Я сразу заметил несколько линков с директориями, которые могли служить админкой, и по очереди стал осматривать их. Внезапно при заходе на очередной урл (http://spaceflight.nasa.gov/admin) моему взору предстала, пожалуй, одна из самых желанных надписей: «HSF Admin Tools». По началу я подумал, что это какая-то шутка админа или просто внешний вид интерфейса, не требующий авторизации. Но, проверив разделы меню, я убедился, что это действительно админка. Такого хода событий я не ожидал, но, как говорится, «заходи тихо, бери много, уходи быстро». Руководствуясь этим правилом, я приступил к ознакомлению с админской панелью. Всего в меню располагалось 6 пунктов: FTP Upload Utility, Collect Data Files, View Databases, Change Shuttle Mission Soft Links, Alias Database Tool, Ask MCC. Особый интерес вызвал раздел FTP Upload Utility, который, судя по названию, существовал для аплоадинга файлов на сервер. К сожалению, это оказалось не так :(, я мог всего лишь просматривать содержимое каталогов на сервере. Но меня обрадовало то, что было разрешено выходить за пределы веб-директорий, то есть я свободно читал /etc, /home и т.д. Пройдясь по остальным разделам админки, я не нашел ничего интересного, кроме функции View Databases. Обнаруженные базы гостевой книги и каких-то отчетов, содержащие приличное количество e-mail-адресов, сразу переместились ко мне на винт =).

За окном уже светало, и я закрыл браузер. Как ни крути, но удача на этот раз улыбнулась мне. Правда, пользы от просмотра каталогов на сервере без возможности чтения файлов немного. Поэтому нужно было срочно искать выход из сложившейся ситуации. И я нашел его.