JIT SPRAY АНАЛИЗ TDSS - Xakep Online

ВЗЛОМ
Китайский магазин обуви содержит уязвимость
Reiluke! ExploitScanner помогает массово искать
уязвимые сайты
на что они отреагировали благодарностью), который располагается на
сайте Канадской ассоциации производителей окон и дверей (почему
именно этот сайт — не спрашивай. Нравится мне спокойная Канада,
однако торговля окнами и дверями — слишком скучное занятие, и оно
не может остаться безнаказанным :)). Сначала проверим, действительно
ли имеется уязвимость. В качестве параметра «userID» используем
апостроф, что приведет к появлению сообщения
«Error: You have an error in your SQL syntax; check
the manual that corresponds to your MySQL server
version for the right syntax to use near '\'' at line
6»
в шапке сайта.
Приступим к работе с SqliHelper. Откроем программу, в поле «Target»
введем полученную при помощи REILUKE! Exploit Scanner ссылку,
нажмем на кнопку «Inject». В поле, расположенном внизу экрана,
появятся строки, и в конце концов мы получим сообщение: «Mysql
version 5 OK - Please Get Database». Нажимай на «Get Database», и
в поле «Database Name» отобразятся названия трех найденных баз
данных: «information schema», «CWDMA», «EBCTest». Первая база,
очевидно, не содержит ничего полезного, поэтому выбираем вторую
и нажимаем на кнопку «Get Tables». Дождись окончания подбора
таблиц. Удивительно, но здесь есть чем поживиться — база содержит
таблицу «Users», скрывающую столбцы с именами «Company»,
«Address1», «Address2», «City», «Province», «Country», «Phone» —
кардеру есть где разгуляться. Да, чтобы получить набор столбцов,
входящий в таблицу, необходимо выбрать имя последней и нажать
на кнопку «Get Columns». Сдампить же таблицу можно, выделив
необходимые столбцы и нажав на «Dump Now». Думаю, не нужно распространяться
о том, какие данные можно получить, если взять «на
прицел» интернет-магазины, онлайн-казино или сайты всевозможных
биллинговых систем :).
Итак, всего лишь три минуты достаточно несложной работы, и в нашем
распоряжении появилось много интересных сведений, а Интерпол,
наверное, уже засек IP-адрес (кстати, не забудь обеспечить себя
приватными прокси, соксами, VPN’ами и прочими необходимыми и не
очень вещами; на крайний случай возьми бесплатные прокси при помощи
Forum Proxy Leecher, а в админки взломанных ресурсов заходи
через TOR).
ÓÊÐÀÄÅÌ ÀÄÌÈÍÊÓ È ÍÀÓ×ÈÌÑß
ÍÀÑÒÎßÙÅÉ ÌÀÑÑÎÂÎÑÒÈ
Для того, чтобы получить как можно большую отдачу, рекомендую
действовать следующим образом: запускай REILUKE! Exploit Scanner,
060
получай с его помощью 10-15 ссылок на уязвимые скрипты, после чего
каждую ссылку проверяй при помощи запущенной копии Pangolin или
SqliHelper. Это на порядок сокращает время, необходимое для поиска
уязвимого сайта,.
Если ты думаешь, что все «крупные рыбы» давно «выловлены», то
ошибаешься. Например, совсем недавно таким образом был получен
доступ к базе данных одной крупной компании, производящей бытовую
технику. Не раскрывая подробностей, скажу лишь, что администрация
сайта была вовремя предупреждена об опасности, и все
уязвимости были оперативно устранены.
Именно так твой покорный слуга получил доступ к сотням сайтов, в том
числе и к ресурсам, содержащим конфиденциальную информацию.
Очередной пример — уязвимость, найденная при помощи сканера
безопасности NetDevilz Scanner (в некоторых случаях он отказывался
работать из-за неожиданного исключения, что не умаляет его
достоинств). Скачать его можно по ссылке http://my-symbian.com/
uiq/software/category.php?fldAuto=6. Чтобы воспользоваться утилитой,
открываем Pangolin, в поле «URL» вбиваем ссылку и запускаем
сканирование нажатием на зеленый треугольник, похожий на кнопку
«Play». После окончания процесса переходим на вкладку «Data»,
жмем «Tables». Найдено огромное количество таблиц, нас интересует
лишь несколько из них, в частности, «b2users». Выделяем ее, жмем на
кнопку «Columns». Какая ценная находка! Таблица содержит уйму интереснейших
данных — не только логины и пароли пользователей, но
их IP-адреса, номера ICQ и других мессенджеров. Как воспользоваться
базой, слитой с достаточно посещаемого ресурса, решать тебе. Я же
предпочитаю не испытывать судьбу, благосклонность Фемиды, и сразу
сообщаю об уязвимостях владельцам или администраторам сайтов.
Однако все-таки попробуем проверить актуальность данных: отмечаем
«флажками» все найденные столбцы таблицы, после чего нажимаем
на кнопку «Datas». Оказывается, что таблица содержит совсем не ту
информацию, о которой мы мечтали, она содержит еще более ценные
данные: учетную запись администратора сайта!
Остается только найти админку, и дело сделано — доступ к сайту получен.
Интересен ли данный ресурс? Безусловно — об этом красноречиво
говорит поддомен shop.my-symbian.com.
ÍÀ ÏÎÈÑÊÈ ÀÄÌÈÍÊÈ
Тебе может потребоваться и метод автоматического поиска админки
сайта. Я рекомендую для этих целей утилиту REILUKE! Login Finder —
она способна быстро перебирать множество типовых путей к административной
панели. Если же утилита бессильна, воспользуйся одним
из многочисленных сканеров структуры веб-сайта. Прошерсти найденные
директории — наверняка извлечешь что-то полезное! В конце
концов, на помощь может прийти список закрытых для индексации
файлов и папок, содержащийся в ROBOTS.TXT, но хочется надеяться,
что до ручного поиска дело не дойдет, и вся процедура взлома ока-
XÀÊÅÐ 09 /140/ 10