Август - Xakep Online

взломРабота первого автореггера/etc/passwd на главной странице порталаНемного поизучав новых пациентов, я наткнулся на их форумы (http://forum.korrespondent.net и http://ricardo.com.ua/forum). Наметанныйглаз сразу узнал скрипты борды. И там, и там стоял Phorum. Но, чтобыначать какие-либо хакерские действия, необходимо было узнать версиюфорума. Пройдя по ссылке http://forum.korrespondent.net/admin.php, яобнаружил надпись: «Version 5.1.16a». Для нее, конечно, были известныебаги, но паблик-сплоитов под них не существует, а ковыряться с blindSQL-injection не позволяла лень. Смотри сам, небольшой PoC-сплоит(работающий, конечно, после логина на форум и подстановки существующихid форума и темы):на http://blog.korrespondent.net, на главной странице которого в самомнизу было написано: «Блог Korrespondent.net работает на WordPress».Увидев эту надпись, я обрадовался, поскольку WordPress — крайнедырявый движок, следовало только узнать его версию, для чего я прошелпо ссылке http://blog.korrespondent.net/readme.html. На открывшейсяпаге гордо красовалась вторая обрадовавшая меня за последние несколькоминут надпись: «WordPress 1.5» :). Я ринулся на http://milw0rm.com, вбилтам в поиск название движка и увидел кучу очень неплохих сплоитов,из которых выбрал Wordpress query("UPDATE $wpdb->users SET user_login = '$new_user_login', user_firstname = '$new_firstname', $updatepassword user_lastname='$new_lastname', user_nickname='$new_nickname',user_icq='$new_icq', user_email='$new_email', user_url='$new_url', user_aim=’$new_aim’, user_msn='$new_msn', user_yim='$new_yim', user_idmode='$new_idmode',user_description = '$new_description', user_nicename ='$new_nicename' WHERE ID = $user_id");Итак (трубят фанфары)... У нас на операционном столе — новыйприватный баг WordPress, найденный твоим покорным слугой :).Для его использования необходима регистрация на уязвимом блоге.Вообще он находится в файле wp-register.php, но на Korrespondent.netбыла сделана общая регистрация для всех сервисов сайта, поэтому,зарегавшись и залогинившись на сайте, я прошел по ссылке http://korrespondent.net/wp-admin/user-edit.php и сохранил страничку себена винт. Далее, открыв ее в блокноте, я нашел следующий участокhtml-кода:xàêåð 08 /104/ 07075