книги хакеры / журнал хакер / 084_Optimized

PC_ZONE

ИМПЛАНТ

[ВЗЛОМ]

СЦЕНА

UNIXOID

КОДИНГ

КРЕАТИФФ

ЮНИТЫ

[свежий взгляд] Вернувшись на сайт, буквально сразу же я заметил неприглядную кнопочку переключения языка: были доступны русский и английский. Естественно, я не обратил на нее внимание с самого начала, ведь серфить на русском куда привычнее. Я загрузил английскую версию сайта и заметил, что url страницы сменился на www.nbt.tj/en. Наверное, у них просто сохранена точ- ная структура сайта в папке /en. В который раз, пройдясь по линкам английской версии сайта, я убедился, что структура осталась прежней. Стоп! Раз структура сохранилась, значит, должна сохраниться и админка. Каково же было мое удивление, когда, обратившись к www.nbt.tj/en/admin, я увидел, что английская версия админки не была запаролена! Чем это объяснить? Тут можно только гадать, так как никто не подозревал, что ей будут пользоваться, ведь, скорее всего, сайтом управляют русскоязычные сотрудники, или же это просто критический недочет web-мастера. Но сейчас это не главное, сейчас я внутри. Интерес сильнее осторожности :).

[косяк админа] С первых же секунд я принялся изучать возможности, доступные из админки. Первые несколько пунктов несли разочарование — из функций были лишь просмотр и редактирование статей, размещенных на сайте. Моя попытка исполнить phpскрипт в теле статьи не увенча- лась успехом — я лишь увидел его исходный код. Можно было бы поставить снифер и попытаться поймать сессию админа, но что бы это дало? Я сомневался, что возможности русифицированной админки больше, чем английской. Дальше — больше: раздел Files

— просмотр архива всех статей и загрузка файлов. Все — вот оно. Нетерпеливо кликнув по ссылке для перехода к файл-ме- неджеру, я вновь получил отказ. Мне вежливо предложили залогиниться и даже уже вписали за меня логин: nbtjftp. Теперь оставалось угадать пароль, и я практически получаю веб-шелл.

Пара отчаянных попыток отгадать пароль с лета не увенчались успехом. Я остановился и начал соображать: сообщение над строкой формы логина гласило: Simple File Manager — Login.

Âтот же момент я обратился к багтракам. Не один из них не знал такого скрипта и не содержал упоминаний как о данной версии, так и о предыдущих релизах. Мои надежды на удачный взлом таяли с каждой минутой, от безысходности я вновь вернулся к авторизации.

Âправом нижнем углу был линк на сайт разработчика, откуда впоследствии я скачал исходники скрипта. Автор распространял его бесплатно, и, что самое интересное, он был еще в стадии альфа тестирования, а зна- чит, шансы на то, что скрипт содержит недоработки, резко увеличивались. Я решил искать уязвимости сам.

[кодерский косяк] Решив ознакомиться с принципом работы скрипта и посмотреть, какие возможности кроются внутри, я залил его на свой сервер и залогинился под известным мне аккаунтом, предлагаемым разработ- чиком для тестирования: guest:demo. Данные о пользователе хранились в самом скрипте fm.php. Полазав по своим папкам, я нажал пимпу logout и вернулся к процессу авторизации. Вот что я заметил, проделав операцию логина еще раз: данные о пользователе передавались скрипту методом POST в переменных $user и $password. Если авторизация прошла успешно, то скрипт пропускал меня внутрь. Что самое интересное, в адресной строке после этого добавлялась переменная $u=guest. Таким образом, скрипт следил за тем, какой пользователь залогинен в данный момент. Если поменять значение переменной $u, то скрипт заругается и отправит меня к форме авторизации. Так вот же она моя бага, подумал я! Сделав логаут, я вновь очу- тился перед окошком ввода логина и пасса, только на этот раз я сообщил скрипту переменную $u, содержащую мой логин, который, кстати, автомати- чески прописывается в поле формы. После обновления страницы я добился того, чего хотел: авторизация была успешно обманута. Посмотрев исходники скрипта, я лишь только убедился в своей правоте: скрипт давал возможность редактировать переменную $u, которая была как бы флагом авторизации посредством GET запроса:

if (isset($_REQUEST['u'])) { $u = $_REQUEST['u']; }

else { $u = ""; }

Эта строчка и позволяла мне беспрепятственно изменить значение переменной, объявив скрипту, что я честно прошел процедуру авторизации и мне можно доверять. Критическая ошибка прог- раммиста-утырка сыграла мне на руку! Уверенный в своей удаче, я решил на- конец-таки разобраться с сайтом банка до конца.

Перейдя к файл-менеджеру по адресу www.nbt.tj/en/files/fm.php, я очутился перед знакомым окошком. Как и полагается, логин пользователя был уже прописан в своем поле, а это все, что мне было нужно. Я быстро переправил урл на www.nbt.tj/ en/files/fm.php?u=nbtjftp, и скрипт с удовольствием авторизировал меня.

На нашем диске ты найдешь все программы, описанные в статье, а также видеоиллюст-

рацию к этому взлому. Чтобы всякие утырки не говорили, что все это мы придумали сами.

[вместо заключения] Все просто элементарно. За несколько часов работы я поимел все онлайн-представитель- ства целой страны. Возможно, некоторые скажут, что взлом во многом примитивен: пустой пароль в скрытой админке, элементарный баг воспаленного программерского мозга, маразматич- ное решение администратора записать пароли пользователей в комментариях конфига ftp-сервера. Однако такое положение дел во многом показательно, не следует думать, что такое «разгвоздяйство» — единичный случай. Многие администраторы, особенно на постсоветском пространстве, относятся к возможности взлома, как к ÷åìó-òî сверхъестественному, что происходит с кем угодно, но только не с ними.

Как показал мой пример, внедряя хайтек, нужно быть очень осторожным. А то получится такой же косяк, как и у точикистонцев

smart country

Следует понимать, что все, что я проделал — это противозаконно.

Эта статья дана лишь для ознакомления и организации эффективной защиты. За применение материала в незаконных целях, несешь ответственность только ты сам. Соблюдай законы своей страны.

веб-шелл не должен выделяться среди остальных файлов

та самая форма авторизации

кривая админка. Отсюда все и началось