Май - Xakep Online

взлом
i
Пользуясь случаем,
выражаю огромную
благодарность
_1nf3ct0r_ за помощь
во взломе и написании
этой статьи :).
Эту статью стоит
рассматривать
исключительно как
материал для ознакомления.
Ни автор,
ни редакция не несут
ответственности за
применение ее в противозаконных
целях.
Следует помнить, что
если ты вдруг, начитавшись,
взломаешь
что-нибудь чужое, то
отвечать за все будешь
только ты один.
Мы тебя ни к чему
такому криминальному
не призываем,
наоборот, всячески
уговариваем не нарушать
законов.
http://
На нашем сайте
hellknights.void.ru ты
найдешь весь софт,
который помог мне
осуществить этот
нелегкий взлом.
http://medicalc.ua/index.
php?id=1+UNION+select+1,2
,3,4,5,6,user()/*
http://medicalc.ua/index.
php?id=1+UNION+select+1,2
,3,4,5,6,database()/*
http://medicalc.ua/index.
php?id=1+UNION+select+1,2
,3,4,5,6,version()/*
Чтобы не быть голословным, поясню: с
помощью первого запроса я узнал имя
пользователя БД, которая могла быть
доступна только с localhost; с помощью
второй — имя базы medicalc, а посредством
третьей — версию MySQL (так, на
всякий случай).
Со столбцами дело не шло — названия
угадать не удавалось никаким образом.
И тут я подумал: а вдруг получится прочитать
конфигурационный файл через
MySQL-функцию LOADFILE()? Привилегий
может и не хватить, но попытка не
пытка :). Кроме того, абсолютный путь
до сайта у меня есть. Скрестив пальцы,
я выполнил следующий запрос:
http://medicalc.ua/index.
php?id=1+UNION+select+1,2
,3,4,5,6,LOADFILE('/home/
medicalc/public_html/
medical/index.php')/*
Я подпрыгнул от радости — на экране
замелькали строчки кода из самого
index.php! Отлично! Я быстро нашел в
коде строку «include(«dbconfig.php»)»
и интуитивно понял, что там хранятся
логин и пароль к базе данных:
Далее я, естественно, решил залогиниться
в phpMyAdmin со связкой паролей:
«medicalc:AfLkYjii». Стоит ли говорить,
что пароли подошли и я уже вовсю
пользовался прелестями phpMyAdmin.
В базе данных ничего полезного я не
нашел, спам-базы даже на $1 бы не
хватило. И тут я задался вопросом: ну
попал в я phpMyAdmin, что дальше?
(ну пробил ты стенку головой, и что ты
будешь делать в соседней камере?
Примечание Forb’а). Пробую залогиниться
на FTP — «login incorrect».
Есть еще один способ выхода из этой
ситуации — получение шелла через
SQL-запросы типа «INTO OUTFILE».
Идея такова: сначала мы пишем в какуюнибудь
колонку таблицы нечто вроде «» или что-то
подобное. Например, «».
Единственный минус этого инклуда
— невозможность работы с GET-запросами.
Ну и ладно! Такие шеллы, как r57shell
от небезызвестной rst.void.ru, работают
исключительно с POST-запросами,
кроме того, известно, что POST сорит
в логах веб-сервера намного меньше,
чем GET, что является его неоспоримым
преимуществом для хакеров.
Что-то мы отвлеклись :). Итак, записываем
наш PHP-код, например, в таблицу
med_users, в колонку password с id,
равным 20. В итоге при запросе типа
«SELECT password FROM med_users
WHERE id=20» на экране должен появиться
тот самый PHP-код, который мы и
вбивали в БД. В MySQL есть флаг запроса
«INTO OUTFILE», который позволяет
вывести его результат в текстовый файл.
Я клоню к тому, что если выводить ответ
от SQL так: «SELECT password FROM
med_users WHERE id=20 INTO OUTFILE
'/home/medicalc/public_html/medical/
temp.php'», то можно без проблем залить
полноценный веб-шелл. Но и тут есть
свои подводные камни. Во-первых,
хватает ли у тебя привилегий SQL-юзера,
чтобы работать с INTO? И, во-вторых, не
забывай про права на запись в файлах и
папках. Но и тут мне повезло :). Правда,
не с первого раза. В корневую веб-директорию
залить ничего не получилось.
Но я не сдался и начал подбирать другие
папки, возможно, доступные для записи.
Такой папкой была /home/medicalc/
public_html/medical/guestbook.
Я выполнил запрос так:
SELECT password FROM
med_users WHERE id=20 INTO
OUTFILE '/home/medicalc/
public_html/medical/
guestbook/temp.php'
Перешел по адресу http://medicalc.
ua/guestbook/temp.php и увидел
веб-шелл! Моей радости снова не было
предела! Что касается операционки,
то это была FreeBSD 6.0. Поднимать
привилегии не имело смысла — как я и
предполагал, прав на чтение директории
самого обменника вполне хватало!
Я поспешил сделать дамп БД обменника
и всех скриптов этого сайта, но
тут был облом :). Поскольку на сервере
стоял Safe Mode, упаковать файлы в
tar-архив не получалось, так как было
невозможно выполнять команды (на то
это и Safe Mode).
Копипастить архивы было занятием для
мазохистов, кроме того, я боялся, что
в папке guestbook перезапишу старые
скрипты.
Тут на помощь пришел один из сценариев
DxGotoFTP, который ты можешь
найти на нашем сайте. Он занимается
тем, что заливает любые файлы из
заданной директории на удаленный
FTP-сервер, тоже в нужную тебе папку.
Скрипт удачно выполнил свою работу,
несмотря на ограничения подлого PHP.
Кстати говоря, сначала я хотел залить
perl'овый веб-шелл в папку /cgi-bin,
но, к сожалению, мои привилегии были
минимальны (nobody). Зайдя на свой
FTP, я сжал все скрипты в один архив и
слил себе на комп, нашел в сценариях
конфиг базы данных и быстренько
сотворил дамп MySQL обменника.
К слову сказать, система работала
практически на одних скриптах от
WebMoney. Почитать об этом можно в
сентябрьском «Хакере» за 2005 год в
статье nikitozz'a «Механика WM-процессинга»,
а мы сейчас опустим этот
момент.
Люди в сером
Короче, после того как я достал все, что
мне было нужно, я задумался над тем, а
стоило ли это делать. Ведь из-за какихто
жалких 500 WMZ (ну или больше,
рисковать — лезть в чужой кошелек — я
не стал) можно сесть за решетку, так
как это уже далеко не дефейс, а чистой
воды криминал. Я связался с администратором
и вместе с килограммами мата
в мою аську получил презент — энную
сумму денег в качестве благодарности.
Я с недоверием принял подарок и до
сих пор жду стука в дверь добродушных
ребят в сером. Смастерил убийцу
жестких дисков по инструкциям летнего
номера «X» и теперь, как говорится,
всегда готов :). z
/ 060
xàêåð 05 /101/ 07