книги хакеры / журнал хакер / 072_Optimized

КАК ПОИМЕЛИ ХОСТЕРА

с версией форума. «Powered by phpBB 2.0.6». Зачем мне нужен был этот форум? Я думаю, ни для кого не секрет, что многие используют одинаковые пароли для мыла, форума, фтп, а иногда и шелла. Почитав на багтраке о баге в этом форуме, я сконструировал следующий запрос:

http://forum.сервер.ком/privmsg.php?folder=savebox&mode=read&p=99 &pm_sql_user=AND%20pm.privmsgs_type=99%20UNION %20SELECT%200,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,use rname,0,0,0,0,0,0,0,0,0,user_password%20FROM%20php bb_users%20WHERE%20user_id=1%20LIMIT%201

Форум выкинул мне табличку с регистрацией. Странно. Подумав еще раз, я зарегистрировался и повторил запрос. Ответом форума был хэш админского пароля и его логин. Кстати, поиграв со значением user_id в запросе, можно получить хэш пароля любого юзера, id которого можно посмотреть в ад-

ресной строке при просмотре профиля. Хэш пароля я тут же отдал серверу на

расшифровку и ушел варить кофе. Однако выяснилось, что не все так просто и буржуи не дураки. Если бы пароль был шестисимвольным, его бы за пару часов подобрал «мейнфрейм» (dual Xeon 2.8), но прошло около шести часов, а перебор все продолжался. Поняв, что ловить тут нечего, я решил искать другие пути.

Èтут же родился естественный вопрос -

àкакие? Все, кроме апача+ssl, было закрыто файрволом, больше уязвимых скриптов на известных доменах обнаружено не было. Выход был один. Брать супостата изнутри.

INSIDE

Однако и это оказалось не так просто. Как и любой уважающий себя хостинг, ipowerweb требовал обязательное подтверждение заказа голосом. Проблема была решена (как ни странно :)) с помощью уличного таксофона. Разумеется, можно было применить социальную инженерию и, представившись господином Пупкинсоном из очень важной фирмы, попросить предоставить тестовый аккаунт на пару дней. Но в таких случаях хостеры часто дают аккаунты на заброшенных или тестовых

Следует помнить, что если ты вдруг начитаешься наших статей и взломаешь что-ни- будь чужое, то отвечать за все будешь только ты один. Мы тебя ни к чему такому криминальному не призываем, наоборот, всячески уговариваем не нарушать законов.

На нашем диске ты найдешь простой, но бронебойный PHP-скрипт для навигации по файловой системе сервера и удаленному выполнению команд.

Во время празднования Нового года будь осторожен! Помни, что чрезмерное увлечение алкоголем и другими изменяющими сознание веществами может привести к тяжелым заболеваниям.

КАК ПОИМЕЛИ ХОСТЕРА

серверах, а тратить усилия впустую не хотелось :). Я заказал 100 мб со всеми делами, ftp и shell-доступом и спустя час обнаружил у себя в ящике письмо от суппорта с логином и паролем. Быстро сработали, умнички.

Однако выдать шелл они отказались, мотивировав это тем, что шелл-аккаунты выдаются только проверенным клиентам. Мне это показалось странным, ведь шелл все равно дается в chroot и при наличии стабильной версии ядра системы и сервисов там сложно что-либо сделать даже опытному взломщику. Чуть позже эта странность прояснилась :).

НЕБОЛЬШАЯ ПРЕДЫСТОРИЯ

За некоторое время до описываемых событий один товарищ активно рекламировал на EfNet'е свой мегакрутой PHP-скрипт для удобного визуального «администрирования сервера». Скрипт, по сути, являлся продвинутым php-шеллом для хакера и трояном для админа. Потестив его скрипт тогда, я испытал небольшое отвращение от надписей вроде «Получить доступ к приватным эксплоитам» и, бегло проглядев, стер его с сервера. Так слу- чилось, что во время вечерней прогулки по серверам ipowerweb.com я как раз просматривал скрипт вторично и сделал вывод, что он не так уж и плох. Возможностей потенциальному взломщику он предоставлял много.

Я зашел на Ефнет, попросил у чела лицензию (да-да, скрипт стоит $50) и, получив ее, залил nfm.php на свой новый аккаунт. С полпинка заведя ослика IE, составил цепочку из надежных проксиков, настроил скрипт под себя и полез глядеть на сервант изнутри.

Первым делом я заглянул в /etc. 99% админов почему-то оставляют /etc +x для nobody, допуская огромную ошибку, которая часто приводит к нехорошим последствиям :).

В /etc лежали passwd, passwd-, passwd.OLD, passwd.precpanel и passwd,v. Я решил начать

ñpasswd и вот что я там увидел:

Содержимое /etc/passwd

root:x:0:0:root:/root:/bin/bash

bin:x:1:1:bin:/bin:/sbin/nologin

daemon:x:2:2:daemon:/sbin:/sbin/nologin

adm:x:3:4:adm:/var/adm:/sbin/nologin

lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin

sync:x:5:0:sync:/sbin:/bin/sync

И так далее на 156 кб :). В других passwd* ничего интересного, кроме обычных записей юзеров, естественно, не обнаружилось.

Я начал внимательно изучать структуру сервера, проверять все папки на предмет наличия чего-то интересненького. Чем больше я узнавал о сервере, тем настойчивей напрашивался ответ на мучивший ранее вопрос: Ipowerweb не хотели давать шелл, потому что никакого chroot НЕ БЫЛО. Это был уже большой плюс для меня :).

Итак, у меня, по сути, был шелл с правами nobody, и больше ничего не было. Надо было что-то делать дальше, поскольку на такой ерунде далеко не уедешь. В раздумьях я отправился наворачивать второй круг по файловой системе и внезапно для самого себя обнаружил заброшенную кем-то (вероятно, рутом :)) инсталляцию какого-то парсера для анализа логов веб/фтп/мейл-серве- ров. Внимательно просмотрев содержимое найденной директории, я обнаружил удивительную вещь - суидный перловый скрипт, принадлежащий руту и чмоднутый на 777. В тот момент для меня было абсолютной загадкой, как так получилось, но факт оставался фактом: я, несмотря на мизерные права nobody, мог легко исправить этот перловый скрипт и получить доступ к суидной оболоч- ке. Правда, была одна проблема: суидные перловые скрипты выполняются suidperl, который проверяет сценарии на потенциальную опасность. Я решил для проверки выполнить несложный скрипт:

#!/usr/bin/perl $| = 1;

open (R, «<README.txt"); open (W, «>test.txt"); while (<R>) {

print W;

}

close(R);

close(W);

exit;

О, чудо! В директории появился файл test.txt с содержимым README.txt. Отлично, факир был трезв, и фокус удался :). Теперь осталось лишь немного дописать скрипт. Добавляем функцию opendir(), создаем примитивный цикл, и вот мы уже можем шариться по файловой системе с рутовыми правами. А значит, сервер взят, бастионы защиты рухнули, админ идет нервно курить в коридор, помахивая по пути белым флагом.

Разумеется, можно было задефейсить все сайты сервера (а их там было немало) с помощью примитивного скрипта, но это было

Сначала я хотел сделать копию системы и посадить админа в chroot, так, чтобы он думал, что он в основной системе, и, делая там изменения, долго удивлялся, почему они не применяются. Но места на дисках оказалось мало, поэтому я написал маленькую прогу, которая создала копию всех файлов системы, но пустых в /chroot/lame/admin. Создал там файлы паролей, некоторые конфиги. Поднял второй sshd, настроил файрвол так, что только с моего ip (который на тот момент был японским :)) можно было зайти в систему, всех остальных перебрасывало на второй sshd в chroot. Мне остается только догадываться, каково было удивление админа, обнаружившего, что длина большинства файлов его файловой системы равна нулю :).

P.S.

Хостинг, разумеется, представлял из себя огромную сеть серверов, которая обслуживала SQL-клиентов, почтовый трафик и многое другое. Но все это - уже другая история, и рассказывать тебе об этом сегодня я не буду.

С Новым годом! z

TIPS&TRIÑKS

Хочешь увидеть свои советы в журнале? Присылай их на адрес Sklyarov@real.xakep.ru. Ведущий рубрики Tips&Tricks Иван Скляров.

Недавно у одного моего приятеля после переустановки всего софта с нуля и установки Win2000 Rus произошла вот какая история. Не хотела инсталлироваться одна специфически-экзотическая софтина. Просто прекращалась инсталляция и вываливалась обратно в Windows безо всяких сообщений об ошибке. После долгих мучений, которые ни к чему не привели, мне пришла в голову мысль, что софтина эта не локализованная, а работали мы под учетной записью «Администратор". Таким образом, я предположил, что при обращении к домашнему каталогу пользователя софтина не может справиться с русскими буквами в именах файлов в пути к профилю пользователя. И я завел еще одного пользователя, назвал его «1" и наделил правами администратора. Залогинился под ним. Инсталляция прошла успешно.

Кстати, иногда помогает смена языка операционной системы или смена региона. Например, если прога защищена от копирования и предназначена для работы только в каком-то географическом регионе.

Вова Корзунин

КОНКУРС Õ

Bloodex (konkurs@real.xakep.ru)

mindw0rk (mindw0rk@gameland.ru)

Официальный сайт TSRH: http://zor.org/tsrh

Лучший hex-editor

ЛЕГЕНДЫ СЦЕНЫ

mindw0rk (mindw0rk@gameland.ru)