BLACKHOLE.sk

Tento blog pojednava o moznosti utoku na web server za situacie, aka moze nastat (a aj nastala) v praxi. Pridavam jeden ukazkovy priklad, ako sa da preburat na server a uplne ho ovladnut.

Nestastnik, ktory si to uzil je svajciarska webhostingova spolocnost www.dfi.ch (www.dfinet.ch). Obetou sa stal jeden ich server, ktory hostuje cca 280 webov.
Pokusim sa popisat, ako som na to siel ja. Netvrdim, ze to bol najlepsi sposob, ale pre mna najjednoduchsi.
Po oskenovani servera mi nmap vyplul otvorene porty 21, 80, 443. Takze zakladom je ziskanie ftp pristupu aspon jedneho z webov beziacich na serveri. Moznosti, ako to urobit je viacero: odchytit heslo, ukradnut ho z poznamok konkurenta :), pripadne pouzit tuto (alebo podobnu) chybu, ktora sa moze vyskytnut na niektorom z hostovanych webov, alebo si objednat webhosting u firmy...

Ale co s tym, ked uz mame ftp pristup (a ja som mal ;))? Urcite sa da zhodit alebo prepisat stranka, ale v prvom rade je dobre zistit, aky OS bezi na masine, verziu kernelu a ine uzitocne informacie.
Pri bruzdani na nete som neraz natrafil na derave stroje, ktore predomnou navstivil uz niekto iny a zanechal si tam samozrejme nejake tie zadne vratka. Je to velmi poucne skumanie roznych skriptov, zdrojakov a inej havede :).
Takto som objavil jeden dobry php skript od *rumunskych hackerov. Vola sa c99madshell a dokaze kopec skvelych veci.
Po uploadnuti tohoto (prip. podobneho) skriptu sa nam otvori kopec moznosti na stranke. Mozeme pouzit obmedzeny prikazovy riadok priamo cez web, obmedzene citat a zapisovat subory (pod uctom nobody alebo inym uctom, pod ktorym bezi web sluzba), pripojit sa k mysql, zistit kopec uzitocnych informacii atd.

Prve, co mi vsak udrelo do oci, bola verzia kernelu 2.6.18-1.2239.fc5xen. Ludia, co sa trosku zaujimaju o IT security vedia, ze na tento kernel existuje krasny vmsplice local root exploit, ktory bol publikovany nedavno na nete.
Skusil som este, ci bude fungovat gcc... Tak nie. Po par pokusoch mi to hodilo hlasku, ze kompilovat smie len root a grupa na to urcena. Samozrejme nebol problem si zdrojak skompilovat na vlastnej masine a binarku hodit na server. Ale ako ju spustit?
Problem som vyriesil skor, ako som si polozil tuto otazku :). Pozriem ci frci perl... ide, fajn. Je tam kde ma byt (/usr/bin/perl). Napisal som kratky perl skript, ktorym som sa pripojil na moju sunku.
V kratkosti naznacim funkcionalitu a filozofiu skriptu: staci si len otvorit nejaky lubovolny port na svojom stroji (man nc) a perl skriptom nan hodit shell z hacknutej masiny :).
Videl som dokonca servre, ktore dovolili uctu s nizkymi pravami vyhodit shell na vysokom porte hacknuteho stroja, akoby sa nechumelilo. Tento stroj k nim nastastie (a moje nestastie) nepatril. Bola to riadne zafirewallovana masina :).
Takto som ziskal funkcny prikazovy riadok aj bez ssh pristupu. Nakoniec bolo treba spustit uz len binarku exploitu. Na 3-ti pokus presiel bez segmentation fault-u a ...
Bol som pravy, nefalsovany root :). Samozrejme hned to bolo treba vyuzit. Cumneme rootovi do homediru, /sbin/iptables -L, ls ../virtuladomains/, cat /root/.bash_history, cat /root/.mysql_history, atd. No proste zabava...
Kedze som bol vzdy dobry chlapec (aspon mama to o mne tvrdi :)), jedine na co som sa zmohol, bolo vytvorenie odkazu, kde som zanechal kontakt na seba a ponukol adminom pomoc pri odstraneni problemu.
Nasledne uz len upratat, umyt zuby a podho rovno do postele.
Samozrejme onedlho ma kontaktoval p. Philippe Gurret, Ingénieur Système :), za ucelom povyzvedat co a ako. Slusne podakoval za pomoc a tvrdil, ze "You were just 1 week early on the scheduled kernel upgrade"... No mozem mu verit aj nemusim :).

Takze nakoniec to ani nebolo take zlozite... A poucenie???
...Jedna strana by mala vzdy udrziavat stroje aktualizovane a opatchovane (nikdy nepodcenovat bezpecnost a zvlast hackerov) a druha strana (tyka sa hlavne zaciatocnikov a roznych "skusacov" ci spekulantov) nesmie zufat, lebo aj v dnesnej dobe tvrdych IT profikov sa da ovladnut server a pritom ziskat najvyssie prava...

*thnx: ehmo