этом - Xakep Online

17ÝÊÑÏËÎÉÒÀ ÏÎÄ ÊÀÊÎÅ ËÈÁÎ ÏÐÈËÎ-ÆÅÍÈÅ ÏÐÎÏÎÐÖÈÎÍÀËÜÍÎ ÏÎÏÓËßÐ-ÍÎÑÒÈ ÄÀÍÍÎÃÎ ÏÐÈËÎÆÅÍÈß;—  ÑËÓ×ÀÅ ÑÀÌÎÏÈÑÍÛÕ ÑÊÐÈÏÒÎÂÍÅÎÁÕÎÄÈÌÎ ÏÎËÓ×ÈÒÜ ÈÑÕÎÄÍÛÉÊÎÄ ÖÅËÅÂÎÃÎ ÏÐÈËÎÆÅÍÈß ÄËß ÑÀ-ÌÎÑÒÎßÒÅËÜÍÎÉ ÏÐÎÂÅÐÊÈ ÍÀ ÍÀËÈ-×ÈÅ ÁÀÃÎÂ.2 ÐÀÑÑÌÎÒÐÅÍÈÅ ÑÖÅÍÀÐÈÅÂ, ÒÐÅÁÓÞ-ÙÈÕ ÂÂÎÄ ÄÀÍÍÛÕ ÏÎËÜÇÎÂÀÒÅËß.— ÏÐÎÂÅÐÈÒÜ, ÐÀÁÎÒÀÅÒ ËÈ ÁÐÀÓÇÈÍÃÄÈÐÅÊÒÎÐÈÉ;— ÏÐÎÂÅÐÈÒÜ ÍÀ ÑÓÙÅÑÒÂÎÂÀÍÈÅÈ ÄÎÑÒÓÏÍÎÑÒÜ ÎÁÙÅÏÐÈÍßÒÛÅÔÀÉËÛ È ÄÈÐÅÊÒÎÐÈÈ (/ETC, /BIN, /SBIN,/ETC/RESOLV.CONF, /ETC/SERVICES,/ETC/PASSWD È ÒÀÊ ÄÀËÅÅ).3 ÂÛßÑÍÅÍÈÅ ÒÎÃÎ, ÊÀÊ ÑÖÅÍÀÐÈÈÎÁÐÀÁÀÒÛÂÀÞÒ ÂÂÎÄÈÌÛÅ ÄÀÍÍÛÅ.ÝÒÎ ÌÎÆÅÒ ÁÛÒÜ:— ÇÀÏÈÑÜ Â ÁÀÇÛ ÄÀÍÍÛÕ ÈËÈ ÔÀÉËÛ;— ÂÛÂÎÄ ÄÀÍÍÛÕ ÎÁÐÀÒÍÎ ÏÎËÜÇÎÂÀÒÅËÞ;— ÂÛÏÎËÍÅÍÈÅ ÊÎÌÀÍÄ.4 ÂÛßÑÍÅÍÈÅ ÒÎÃÎ, ÊÀÊ ÏÐÈËÎÆÅÍÈßÔÈËÜÒÐÓÞÒ ÂÂÎÄÈÌÛÅ ÄÀÍÍÛÅ.ÏÎÏÛÒÀÒÜÑß ÎÁÎÉÒÈ ÝÒÈ ÔÈËÜÒÐÛ.5 ÈÑÏÎËÜÇÎÂÀÍÈÅ ÓÍÈÂÅÐÑÀËÜÍÎÃÎWEB-ÔÈËÜÒÐÀ PROXOMITRON ÈËÈ ÏÎ-ÄÎÁÍÎÉ ÓÒÈËÈÒÛ, ÏÎÇÂÎËßÞÙÅÉÏÐÎÑÌÀÒÐÈÂÀÒÜ HTTP-ÇÀÃÎËÎÂÊÈÑÎÎÁÙÅÍÈÉ.6 ÈÑÏÎËÜÇÎÂÀÍÈÅ GOOGLE ÄËß ÑÁÎÐÀÈÍÔÎÐÌÀÖÈÈ.Ïîñëåäíèé ïóíêò ìîæíî ðàññìàòðèâàòü îòäåëüíîîò ïðèâåäåííîé êëàññèôèêàöèè, ïîñêîëüêó îí ïî ïðàâóçàñëóæèâàåò îñîáîãî âíèìàíèÿ.Google êàê èíñòðóìåíò õàêèíãà. Êàê èçâåñòíî,åñëè íóæíî ÷òî-òî íàéòè — google it! Ýòîò ïðèíöèïìîæíî îòíåñòè è ê ïîèñêó óÿçâèìûõ web-ïðèëîæåíèé.Ïîïðîáóåì ââåñòè â ñòðîêó ïîèñêà Googleçàïðîñ òèïà: inurl:"index.php?page=".Äàííûé çàïðîñ äàåò ïîíÿòü ïîèñêîâîìó äâèæêó,÷òî ìû çàïðàøèâàåì ëþáóþ ñòðàíèöó, ñîäåðæàùóþñòðîêó «index.php?page=» â êàêîì-ëèáî url. Òàêèìîáðàçîì, ðåçóëüòàòîì ïîèñêà áóäóò ñòðàíèöû, ñîäåðæàùèåèñêîìóþ ñòðîêó, âíå çàâèñèìîñòè îò òîãî,êàêîå çíà÷åíèå ïåðåäàåòñÿ ïàðàìåòðó «page».Ïîòåíöèàëüíûå æåðòâû îáíàðóæåíû. Òåïåðüíàäî âûäåëèòü öåëåâûå ñàéòû. Õîðîøåé ïðîâåðêîéòîãî, ÿâëÿåòñÿ ëè web-ñàéò äåéñòâèòåëüíî óÿçâèìûì,áóäåò, íàïðèìåð, ïðèñâîåíèå çíà÷åíèÿ www.google.comïàðàìåòðó «page»: www.site.com/index.php?page=www.google.com. èòîãå, åñëè âìåñòî äàííûõ ïðîâåðÿåìîãî ñàéòàïîÿâëÿåòñÿ ñòðàíè÷êà google.com, web-ñàéò óÿçâèì.ðàçáîð è ðåäàêòèðîâàíèå èñõîäíèêîâ webñòðàíèö.Èíîãäà áûâàåò ïîëåçíî ïðîñìîòðåòü èñõîäíûéêîä web-ñòðàíèöû. Îáû÷íî ýòî ìîæíî ñäåëàòü÷åðåç êîíòåêñòíîå ìåíþ «Ïðàâûé êëèê (RightClick)»!«Ïðîñìîòð èñõîäíîãî êîäà ñòðàíèöû (ViewSource)» èëè ÷åðåç ìåíþ «Âèä (View)» ïóíêòà «Èñõîäíûéòåêñò ñòðàíèöû (Source)». Ïðàâäà, òàêèì ñïîñîáîììîæíî ïðîñìîòðåòü òîëüêî èñõîäíûå êîäûHTML-ñòðàíèö. Êîä web-ïðèëîæåíèé, íàïèñàííûõ íàPHP, Perl, ASP è äðóãèõ èíòåðïðåòèðóåìûõ ÿçûêàõóâèäåòü íåëüçÿ, ïîñêîëüêó îí âûïîëíÿåòñÿ íà ñòîðîíåñåðâåðà, à íà ñòðàíèöó âûâîäÿòñÿ òîëüêî ðåçóëüòàòûðàáîòû ñöåíàðèÿ. Òàêèì îáðàçîì, ìîæíî ëèøüïîïûòàòüñÿ íàéòè óÿçâèìîñòü, ïîçâîëÿþùóþ ïîëó-÷èòü ñîäåðæèìîå òîãî èëè èíîãî ôàéëà.Ðàññìîòðèì ïðèìåð òîãî, êàê ìîæíî èçìåíÿòüïàðàìåòðû ýëåìåíòîâ web-ñòðàíèöû. Ïðåäïîëîæèì,ìû çàøëè íà ñòðàíèöó, ñîäåðæàùóþ ôîðìóäëÿ ââîäà èìåíè è ïàðîëÿ ïîëüçîâàòåëÿ. Îòêðûâòåêñò ñòðàíèöû, óâèäèì ïðèìåðíî ñëåäóþùåå: