¦þ¹ ¼³¾Šł

Âçëîì
ÕÀÊÅÐ\¹53\Ìàé\2003
ÏÀÐÎËÜ "ÐÛÁÀ-SHIT"
Master-lame-master
ÏÀÐÎËÜ «ÐÛÁÀ-SHIT»
ÐÅÀËÜÍÛÅ ÈÑÒÎÐÈÈ ÍÀØÓÌÅÂØÈÕ ÂÇËÎÌÎÂ
Âñå ìû ñìîòðåëè áåññìåðòíûå ôèëüìû ïðî õàêåðîâ: Õàêåðû, Ìàòðèöà, Ïàðîëü "Ðûáà-Ìå÷" è ò.ï.
 íèõ, êîíå÷íî æå, âçëîì ñåêóðíûõ ñåðâåðîâ ïðîèçâîäèëñÿ çà ñ÷èòàííûå ñåêóíäû è âñåãäà óñïåøíî.
Ýòî âûçûâàëî ëèøü ãðèìàñû íà ëèöàõ ëþäåé, èìåþùèõ õîòü íåáîëüøîå ïðåäñòàâëåíèÿ î âçëîìå.
Âåäü ïðîöåññ õàêà ìîæåò äëèòüñÿ íåäåëÿìè, à òî è ìåñÿöàìè, è äàëåêî íå âñåãäà óñïåøíî. Êîìó,
êàê íå õàêåðàì, çíàòü, ÷òî âçëîìùèê ÷àñòî âçäðàãèâàåò îò òåëåôîííûõ çâîíêîâ è íåæäàííûõ
ãîñòåé. Ïàðàíîéÿ äëÿ õàêåðîâ îáû÷íîå ÿâëåíèå, è ñ ýòèì íè÷åãî íåëüçÿ ïîäåëàòü...
Íî õâàòèò î ãðóñòíîì. Âçëîì ñàì ïî ñåáå î÷åíü
àçàðòíàÿ øòóêà. Îí ïîõîæ íà ýêñòðåìàëüíûé âèä
ñïîðòà - â ëþáîé ìîìåíò õàêåðà ìîãóò çàñå÷ü, è
âñå áåññîííûå íî÷è, ïîòðà÷åííûå íà ñáîð äàííûõ,
ñêàíèðîâàíèå, âòîðæåíèå, îêàæóòñÿ íàïðàñíûìè.
Íî åñëè õàêåð âñå æå âçëàìûâàåò ñåðâåð,
ýòî ïîäîáíî ïîêîðåíèþ ãîðíîé âåðøèíû è ñðàâíèìî
ñ ïîáåäîé â ñëîæíîì ïîåäèíêå.
ÝÒÞÄ ÏÅÐÂÛÉ: ÂÇËÎÌ ÁÈËËÈÍÃÎÂÎÉ
ÑÈÑÒÅÌÛ WWW.ICBILL.COM
Äîñèæèâàÿ íî÷ü â ñåòè è îñîçíàâàÿ, ÷òî ïîðà ëîæèòüñÿ
ñïàòü, îäèí õàêåð êðàåì ãëàçà çàìåòèë çàãàäî÷íûé
ïðèâàò â IRC. Êàê îêàçàëîñü, åãî ñîáåñåäíèêó
óæ î÷åíü ïðèãëÿíóëñÿ php-äâèæîê íåêîòîðîé
áèëëèíãîâîé êîìïàíèè. Âçëîìùèê õîòåë
áûëî çàáèòü íà åãî ïðîñüáó - äîñòàòü ýòè ñàìûå
php-ñêðèïòû, íî òîò ïðîäîëæàë óïðàøèâàòü, ñîáëàçíÿÿ
íåõèëîé ñóììîé â ñëó÷àå óñïåõà. "Ýòî
ìåíÿåò äåëî", - ïîäóìàë õàêåð è îêîí÷àòåëüíî çàáèë
íà âñå îñòàëüíûå äåëà. Çàêàç÷èê îñòàâèë
ñâîé e-mail è ïîïðîñèë ñâÿçàòüñÿ ñ íèì, êîãäà âñå
áóäåò ãîòîâî.
ÑÁÎÐ ÄÀÍÍÛÕ Î ÏÐÎÒÈÂÍÈÊÅ
Âîîðóæèâøèñü nmap'îì, âçëîìùèê áåðåæíî ïîùóïàë
ñåðâåð ñî âñåõ ñòîðîí. ×åðåç äåñÿòü ìèíóò
stealth-ñêàíà, nmap âûäàë ïðèìåðíî ñëåäóþùåå:
Íåìíîãî ïîäóìàâ, õàêåð ðåøèë ïðîâåðèòü ñåðâåð
íà îøèáêè â httpd. Ñäåëàë çàïðîñ "HEAD /
Starting nmap V. 3.00 (
www.insecure.org/nmap/ )
Interesting ports on www.icbill.com
(213.43.4.23):
(The 1580 ports scanned but not shown below
are in state: closed)
Port State Service
21/tcp open ftp
22/tcp open ssh
23/tcp open telnet
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop-3
143/tcp open imap2
3306/tcp open mysql
Nmap run completed -- 1 IP address (1 host
up) scanned in 610 seconds
HTTP/1.0" è ïîíÿë, ÷òî àäìèíû íå ëûêîì øèòû -
àïà÷ áûë ïîñëåäíåé âåðñèè, ñóùåñòâîâàâøåé íà
òîò ìîìåíò. Òîãäà õàêåð ïîëåç èñêàòü ðàáî÷óþ
ïðîêñþ íà www.proxycheck.spylog.ru, à ïîòîì ñòàë
îñìàòðèâàòü ñàìó ñòðóêòóðó äâèæêà. Âñòàâêà ýêçîòè÷åñêèõ
ïåðåìåííûõ â QUERY_STRING íå äàëà
íèêàêèõ ðåçóëüòàòîâ. Âîçíèêëà ìûñëü, ÷òî ó çàêàç÷èêà
ýòîãî äâèæêà äåéñòâèòåëüíî õîðîøèé
âêóñ. Ïîáðîäèâ òàêèì îáðàçîì ïî âåáó â òå÷åíèå
ìèíóò äâàäöàòè, íàø ãåðîé óæ áûëî îò÷àÿëñÿ â
óñïåõå, êàê âäðóã âñïîìíèë, ÷òî äîïóñòèë îøèáêó
â ñáîðå ìàòåðèàëà - îí åùå äàæå íå çíàë îïåðàöèîííîé
ñèñòåìû, ïîä êîòîðîé ðàáîòàåò ýòîò äâèæîê.
Fingerprint nmap'à íå ñêàçàë íè÷åãî âðàçóìèòåëüíîãî,
à âîò áàííåðû îòêðûòûõ 21 è 22 ïîðòîâ
ìîãëè çàïðîñòî âûäàòü îïåðàöèîíêó. Äëÿ ýòîãî îí
âîñïîëüçîâàëñÿ óòèëèòîé netcat:
[root@shell root]# nc icbill.com 21
220 ProFTPD 1.2.6 Server (ProFTPD on
www.icbill.com) ready
^C punt!
[root@shell root]# nc icbill.com 22
SSH-1.99-OpenSSH_2.3.0 FreeBSD localisations
20010713
ÂÒÎÐÆÅÍÈÅ È ÏÎÈÑÊ
Âóàëÿ! Âîò è èíòåðåñíàÿ èíôîðìàöèÿ. Íàø äåÿòåëü
áûñòðî äîãàäàëñÿ, ÷òî íà ñåðâåðå óñòàíîâëåíà
FreeBSD. Ïîäóìàâ åùå ïàðó ìèíóò è âçâåñèâ âñå ïîëó÷åííûå
äàííûå, îí ïîðûëñÿ â ñâîåì àðõèâå è íàøåë
äîâîëüíî ñòàðûé ýêñïëîèò äëÿ äûðÿâûõ âåðñèé
telnetd. Ñóòü åãî çàêëþ÷àëàñü â ïåðåñûëêå 16-ìåãàáàéòíîãî
òðàôèêà íà 23 ïîðò, ïîñëå ÷åãî ñèñòåìà
äîëæíà áûëà ñäàòüñÿ è ïðîòÿíóòü Remote-Root-
Access. Õàêåðà ìó÷èëè ñìóòíûå ñîìíåíèÿ, ò.ê. ýòèì
ñïëîèòîì óæå ïðàêòè÷åñêè íè÷åãî íåëüçÿ áûëî ïîõàêàòü.
Íî îí âñå æå ïîïðîáîâàë... È ê åãî óäèâëåíèþ
ýêñïëîèò âûäàë ñëîâî PASSED, ÷òî îçíà÷àëî ñîâïàäåíèå
îïåðàöèîíêè ñ ëîìàâøåéñÿ îñüþ. Òåïåðü
ìîæíî áûëî íåìíîãî âçäðåìíóòü â êðåñëå. Ñîçíàíèå
ïðîáóäèëîñü ïðè ïîÿâëåíèè íàäïèñè "uid=0(root)
gid=0(root)" â êîíñîëè. Äà, äà! Âîò îíà óäà÷à! Âñå-
1 2 3 4
56 Íüþñû Ôåððóì Inside PC_Zone Âçëîì