книги хакеры / журнал хакер / 065_Optimized

hiNt (exp@neora.ru)

Îднажды январским вечером, не предвещающим ничего необычного как в Сети, так и в реальной жизни, один из жителей славного города Санкт-

Петербурга с пеной у рта искал уязвимости в qmailadmin'еЗАБЫТЫЙ ПАРОЛЬ

- популярном средстве webадминистрирования почтовых серверов на базе qmail. За окном была непогода: сильный ветер гнул тяжелые ветки деревьев, мелкие, сухие и колкие крупинки снега били по лицам немногочисленных прохожих, которые боязливо жались к зданиям, то ли опасаясь причудливых теней, отбрасываемых ветвями деревьев, то ли просто спеша домой, к женам, детям, теплому ужину и ве- черним новостям. Взломщик любил ненастную погоду - в такие дни ему нравилось сидеть дома в теплом свитере, поглядывать из окна на прохожих и наслаждаться Сетью, не думая ни о чем, кроме виртуальных знакомых, переписки и полной цифрового творче- ства работы.

Но вернемся к занятию нашего героя, за которым мы его застали. Логично было бы предположить, что взломщик ищет уязвимость в популярном продукте ради корыст-

ЛУЧШЕЕ СРЕДСТВО ОТ СКЛЕРОЗА

Íе помнишь пароль от собственного почтового ящика, фтпаккаунта, телнет-сервера и расшаренного netbios ресурса?

Тогда тебе, пожалуй, нужно обратиться к невропатологу. Не беспокойся! Он пропишет тебе витамины и другие вкусные таблеточки, и все будет отлично! Если же пароль вспомнить ну никак не удается, на помощь приходит Brutus. Выбираешь сервис, с которого нужно начать перебор (к сожалению, одновременно и фтп, и мыло, и бутерброды он брутить не будет, если, конечно, не запустить несколько копий программы), производишь соответствующие для каждого протокола настройки. Для pop3, telnet и ftp - это тип сообщений, которые посылает сервер при удачной/неудачной попытке залогиниться, и прочие форматные установки. Т.е. user, pass - и т.д. и т.п. Для SMB (подборка пароля к shared ресурсам) это выбор, если необходимо, доменного имени для входа в сеть. Для оставшихся сервисов ничего особенного в настройках не наблюдается. Следующий шаг - выбор хоста, порта, списка логинов и passwordлиста. Если ты до сих пор не дружишь с ya.ru, то вот тебе хороший ресурс, откуда можно слить различные пассворд-листы: www.icqinfo.ru /soft_brute.shtml, а также соответствующий софт. Ассортимент действительно поражает: здесь тебе и английский лексикон, и труднопроизносимые немецкие слова, а про иврит я вообще молчу. Последним штрихом будет активизация опции "Use proxy", если ты, конечно, не хочешь неприятностей со своим провайдером или админом локалки. Один, но большой минус: софтина была написана давно, и поддержки списка прокси-листов нет, что значительно замедляет процесс "вспоминания" пароля, поэтому нужно искать/создавать более свежие и рациональные решения (читай статью про Fluxay в этом же номере - прим. ред.).

АДМИНИСТРИРУЕМ НЕАДМИНИСТРИРУЕМОЕ

зидентов. Согласись, здорово было бы совместить приятное с полезным: найти брешь в системе безопасности софтины, поиметь с ее помощью много интересных мыл-аккаун- тов, прочитав мимоходом личную переписку Наташи из Ростова и Poruche De Rzevsky из Бразилии, и получить в придачу полтысячи. Но это как раз и не входило в планы нашего героя. Читать чужие письма - не в его правилах, ему нужен был только лишь собственный пароль от почтового ящика, ну и 500 долларов тоже не помешали бы :). Переварив новые полученные факты, хакер решил пойти от обратного, то есть зарегистрировать новый почтовый аккаунт и начать систематизированные исследования и эксперименты. И действительно, хорошая мысль. Ведь если к могучей крепости нельзя подступиться снаружи, то нужно искать победный путь внутри! Правда, очередной преградой к успешному взлому или хотя бы к его началу стал тот факт, что регистрация на сервере была платная. Это очень удивило нашего героя. Похоже, вообще весь домен перешел во владение другого человека. Изменилось поч- ти все, в том числе и язык: он почему-то стал французским. Но самое интересное - нужный аккаунт все еще существовал.

Многие бы, оказавшись на месте хакера, просто-напросто скардили бы себе новую учетную запись и быстро перешли бы к изуче- нию. В самом деле, что же эти "$5 per month" значат для толстосума из Каролины? Но хакера не привлекала кардерская романтика - он уже запустил Brutus (www.hoobie.net/brutus) с четкой целью позаимствовать на время чей-ни- будь аккаунт для испытаний. Уже через полча- са выяснилось, что Klara ничего сложнее, чем "mamont", в качестве пароля на свой ящик, придумать не смогла.

ПОЧУВСТВУЙ СЕБЯ ДИГГЕРОМ!

После того как взломщик залогинился под аккаунтом Клары, стало совершенно ясно, что она не крала у Карла кораллов :). Возможностей у нее было немного: только управление email forwarding'ом, но нашего героя не привлекала идея поменять адрес приходящих Кларе писем на какой-нибудь support@microsoft.com, и он стал думать дальше. Разложив идеи по полочкам, хакер решил во что бы то ни стало повысить собственные привилегии в системе. Благо здесь навстре- чу пошли разработчики qmailadmin'а: на их

Хочешь воспользоваться свеженькой дырочкой и поиметь сервачок? А нельзя! Это противоречит Законодательству РФ. Вот если бы взломы были разрешены, то для поиска жертвы тебе надо было бы всего лишь зайти в Яндекс и набрать "cgibin/qmailadmin/".

Не стоит забывать, что все действия хакера противозаконны, поэтому статья, которую ты читаешь, дана лишь в ознакомительных целях. За применение этого материала в каких-либо криминальных целях автор и редакция ответственности не несут.

официальном сайте http://mail.inter7.com/cgibin/qmailadmin был доступен тестовый аккаунт с правами постмастера: Login: postmaster / Domain name: test.com / Password: test.

Таким образом, взломщик смог сравнить интерфейсы, которые предоставляла система пользователям с различными правами. Тут уже было где развернуться: полное управление всеми почтовыми аккаунтами, возможность настройки переадресации писем, создания почтовых роботов и списков рассылки. Быстро прощелкав по каждому пункту меню, хакер сделал для себя единственный вывод - нужно попробовать поиграться с html формой входа в контрольную панель. Было интересно, каким образом и в каком месте система проверяет привилегии пользователя - лишь во время аутентификации или при попытке выполнить каждое действие? Предстояло еще очень многое выяснить. Увы, замена логина Клары на что-то другое в hidden-полях всех форм ее аккаунта ни к чему интересному не привела, этого, впрочем, и следовало ожидать. Тогда взломщик решил поиграться со страницей, откуда идет управление почтовой системой. Залогинившись снова с правами постмастера на тестовой страничке официального сайта, он сохранил страницу с администраторским интерфейсом на жесткий диск и тщательно рассмотрел ее в блокноте. Он решил попробовать использовать сохраненную с официального сайта системы панель управления с постмастеровскими правами, залогинившись под Кларой на coolmailserver.com. В самом деле, было интересно, каким именно образом и на каком этапе система откажет ему в выполнении како- го-либо действия. Каково же было удивление взломщика, когда через мгновение, из-под обычной учетной записи, не наделенной никакими администраторскими правами, при помощи администраторского интерфейса, ска- чанного с официального сайта системы, был создан новый почтовый ящик! Справившись с нахлынувшей радостью, хакер успокоился и решил проверить: на самом ли деле юзер создался и мыло работает. Надпись "Modify User: testttt@coolmailserver.com" окончательно убедила героя в правильности его умозаклю- чений, и он без проблем получил назад свой почтовый ящик с забытым паролем.

ФАТАЛЬНЫЕ ПОСЛЕДСТВИЯ

Как можно заметить, очень часто разработ- чики софта продумывают множество вариантов взлома, кодят грамотную защиту, но забывают о мелочах. В нашем случае такая

Простенькая панель управления postmaster'а

"мелочь", вернее огромнейшая дыра, дала хакеру в руки руль от всех почтовых аккаунтов сервера. В февральском номере Х описывалась бага бигфута (www.bigfoot.com), при помощи которой, не зная пароля, можно было привязать любой форвардинг адрес к мылу, а затем (кстати, это была моя идея) выслать на него пароль через соответствующий сервис "forgot password?". Очень хорошо, если человек умеет мыслить нестандартно и искать не только "продвинутые" уязвимости, но и примитивнейшие, даже не приходящие в голову из-за своей простоты. Остается только утешить тех тупоголовых программистов, которые решили ограничивать права пользователей, лишь урезая интерфейсную часть, но не отказывая в доступе ко всем системным функциям. На момент написания статьи уязвимость не была нигде опубликована. То есть официально она еще не обнаружена, а на просторах инета есть много серверов с установленным qmailadmin'ом. И если недалекий человек ограничится прочтением чужой почты, то хитроумный мошенник может использовать брешь в своих темных делишках. Так, например, злоумышленник может через мыло получить доступ ко многим инет-сервисам, пароль от которых можно получить на мыло: icq, mp3, xxx, vip, ebay etc. К счастью, в наши дни в Сети уже не осталось платежных систем, доступ к деньгам в которых можно получить, просто украв у че- ловека мыло. Теперь идентификация тщательно продумана, а задача сетевого (а в данном случае настоящего) вора сильно усложняется. На мой взгляд, самое опасное применение криворукости кодеров qmailadmin'а - это социнженерия. Попросить у друга жертвы пару сотен WMZ взаймы по почте (не забыв вставить несколько словечек, которые употребляет жертва взлома в повседневной переписке, чтобы все выглядело натурально)? Запросто. Украсть важную информацию

èпродать за деньги? Реально. Прибыльно. Послать всех знакомых врага от его имени на ординату, абсциссу и еще кое-куда? Приятно. А самое страшное - просто. Но ты же будешь использовать эту статью только как средство самозащиты от киберпреступников,

èни в коем случае не расцениваешь ее как побуждение к действиям и ничего подобного делать не собираешься, верно? :)

КОНЕЦЪ

За окном свирепствовала непогода: завывал холодный ветер, снег почти перестал сыпать, и по всему было видно - холодает. Хакер подошел к окну. Светало. Восточная часть горизонта быстро меняла цвет: снача- ла серый, грязно-коричневый, фиолетовый, а затем нежно-розовый, алый и оранжевый. Наконец первый лучик солнца коснулся самых высоких зданий. Взломщик очень любил это время, уставший за ночь мозг работает как-то особенно остро, и самые обыденные явления воспринимаются иначе, чем днем и кажутся просто удивительными. Вот и стакан с соком самым неожиданным и удивительным образом заскользил по столу и выплеснул остатки жидкости прямо на клавиатуру. "Пора спать", - подумал взломщик и засобирался в институт, на лекцию. z

да, в тот вечер заняться кардингом нам не грозило, мы отправились развлекаться в город. Но спустя несколько дней я вернулся к этой мысли и уже вплотную подошел к вопросу о добыче кредиток. Первым делом нужно было найти жертву, магазин, который я буду ломать. Это не должен быть крупный проект типа amazon.com, но и с захудалой неработающей лавчонки толку тоже будет мало. Лучше всего работать с магазинами средней руки - их в интернете очень много, дневной оборот средств в них не слишком велик, но информации о кредах в таких системах хранится немало.

Самый верный способ найти себе подобного клиента - порыться в различных каталогах типа shopping.yahoo.com, там представлены тысячи буржуйских е-шопов. Но это как раз и не входило в мои первоначальные планы. Размышляя, кого и как я буду ломать, я сразу захотел похалявить. Я зашел на securityfocus.com и усиленно принялся искать опубликованную в багтраке информацию об уязвимостях в популярных корзинах покупок. Вывалилось море инфы, но вся она, увы, оказалась устаревшей: заезженный cart32 древних версий и куча малораскрученных корзинок с багами 2001 года. Поискав через гугл баж-

ные магазины, я понял, что из этого мало что получится - всех, кого можно было сломать, уже по 10 раз сломали, соответственно, оставались те, которых при помощи инфы из багтрака сломать нельзя, - халява на этот вечер отменялась. Первым делом я отправился на гугл и нарыл десяток сайтов, которые и принялся изучать.

КОНЦЕПТ

При поиске уязвимостей в каких-либо скриптах взломщик, не имея исходных кодов этих программ, обычно пытается таким образом модифицировать передаваемые скрипту параметры, чтобы сценарий аварийно прекратил свое выполнение и вывел хоть какие-то сведения. Для этого нужно иметь некоторое представление о работе ломаемой системы. В рассматриваемом примере интернет-мага- зина вся информация о товарах обычно хранится в базе данных. Соответственно, когда юзер заходит в какой-то раздел магазина, скрипт выбирает из таблицы нужные товары и выводит пользователю эту информацию. Для этого сценарию передается параметр, указывающий, товары из какого раздела интересны посетителю. Часто такая переменная носит характерное имя типа "сategory",

КАРТОФЕЛЬ ФРИ

глотает и пытается выполнить запрос. Теперь можно сколько угодно модифицировать данные, можно снести им все таблицы или сразу текущую базу данных. Есть только одна серьезная проблема - мы пока не знаем названия ни одной таблицы и ни одного поля. Вернее, что-то можно угадать (ну, например, логично, что таблица с товарами может называться "Products" и т.д.), но это не наши методы, мы, хакеры, любим точность :). Кроме того, мы пока не научились извлекать сведения из таблиц, а это, напомню, и есть наша первоочередная задача.

ДОСТУПНАЯ ИНФОРМАЦИЯ

Факт остается фактом. Чтобы двигаться дальше, мне нужны полноценные и точные сведения о названиях и структуре всех таблиц этой базы данных. Ведь пока я вообще ничего не знаю! В большинстве случаев, с которыми я сталкивался, мне легко удавалось получать такие сведения из сообщений об ошибках, но не в этот раз. Я долго лазил по сайту, работая с самыми разными скриптами, но мне ничего не удавалось - выводимые сведения были слишком скупы. Уже от- чаявшись, я внезапно вспомнил, что информация о названиях всех таблиц и их полей в MSSQL хранится в какой-то системной структуре, названия которой я не помнил. Быстро найдя соответствующую документацию, я узнал, что информация обо всех таблицах хранится в INFORMATION_SCHEMA.TABLES, инфа о полях таблиц - в INFORMATION_SCHEMA.COLUMNS. Отлично, теперь нужно было каким-то образом извлечь необходимые сведения. Но только вот как это сделать? В голову сразу пришла мысль поступить банально, при помощи предложения union попробовать объединить вывод собственного запроса с обрабатываемым программистом потоком - в этом слу- чае программа сама покажет мне все, что я потребую. Однако как же это реализовать, не зная ровным счетом ничего о структуре и даже названии таблиц ломаемой системы? :( Получается замкнутый круг, как в старом анекдоте: драйвер от модема на cd, а от cdrom - в интернете. Надеясь на удачу, я решил действовать методом тупого подбора - может быть, что-то придет в голову в процессе, или неожиданно всплывет какая-то дополнительная информация. Ок, пускаю: 1234' union select table_name from INFORMA-

TION_SCHEMA.TABLES. Скрипт ругается: "All queries in an SQL statement containing a UNION operator must have an equal number of expressions in their target lists". Скрипт жалуется на то, что в объединяемых потоках не совпадает количе- ство полей, чего быть ну никак не должно. Что ж, уже неплохо - теперь, увеличивая количество выбираемых вторым запросом полей, я рано или поздно добьюсь устранения этой ошибки и, оче- видно, получу другую, ко-

Здесь ты найдешь кучу документов по MSSQL: http://msdn.micros oft.com.

В одном из ближайших номеров жди материал о реализации sqlinjection атак для самых разных серверов БД, включая Oracle и Postgres

Вся приведенная в статье история на самом деле является частью нового художественного романа Федора Михайловича и не имеет к земной реальности никакого отношения. Все права соблюдены.