| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 20:32:39 (+0700) | #1 | 267123 |
![[Avatar]](/hvaonline/images/avatar/4dd20f1e87dfb889bc97230e2c87c6a5.png "[Avatar]")
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
Ngày 19/07/2012 vào lúc 19h15, chúng tôi ghi nhận được tình trạng toàn bộ giao diện trang chủ của trang tin Kenh14.vn ( thuộc công ty VCCorp ) bị tấn công và deface.
Cập nhật 1
Phân tích nhanh: ( Phân tích dưới đây là quan điểm cá nhân của thành viên xnohat chứ không phản ánh quan điểm của HVA cũng như cộng đồng HVA - vui lòng thận trọng nếu cần trích dẫn )
Theo như tình trạng của trang tin điện tử tổng hợp Kenh14.vn (1) lúc bị tấn công (2). Thì người tấn công có vẻ vẫn chưa hoàn toàn kiểm soát được máy chủ web chứa trang tin Kenh14.vn, giao diện trang chủ của Kenh14.vn vẫn chưa bị thay thế hoàn toàn bằng một tập tin trang chủ khác, tức là thay thế trang index của CMS (3) bằng tập tin index chứa nội dung deface, giống như tình trạng xảy ra ở các cuộc tấn công của các nhóm tin tặc như Anonymous, Thổ Nhĩ Kỳ ... mà chỉ bị thay thế một số phần tin tức đã có trước đó
Nên nhiều khả năng người tấn công đã khai thác thành công một lỗ hổng nào đó trong CMS của kenh14.vn và truy cập được vào hệ quản trị Cơ sở dữ liệu của kenh14.vn, có thể là trang quản trị website hoặc chỉ là truy cập vào kết nối SQL của trang tin và chạy SQL query.
Dựa vào tình hình chung tại VN, thì nhiều khả năng là cuộc tấn công này được thực hiện qua các lỗi khai thác trên cổng 80 như:
- SQL Injection
- XSS
- Remote/Local File inclusion
Cập nhật 2: lúc 1:00 AM 20/07/2012 trang tin kenh14.vn đã được khôi phục tại địa chỉ www.kenh14.vn
Chúng tôi sẽ cập nhật khi có thêm thông tin
xnohat - HVA News
(1) Kenh14.vn không phải là Báo mạng
(2) tính từ lúc người dùng đầu tiên phát hiện và đưa lên mạng xã hội Facebook
(3) CMS - Content management system - Hệ thống quản trị nội dung |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
 |
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 20:36:21 (+0700) | #2 | 267124 |
![[Avatar]](/hvaonline/images/avatar/d55e099378323e5c909505306214abc9.jpg "[Avatar]")
|
xuanphongdocco
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 19/08/2009 08:25:03
Messages: 247
Offline
|
|
| Hiện trường đã được dọn dẹp. |
|
| Xuân Phong Nguyễn |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 20:54:53 (+0700) | #3 | 267126 |
mrmoonvn
Member
|
|
0 |
|
|
Joined: 25/06/2008 22:51:15
Messages: 1
Offline
|
|
Thông điệp này mới hay nè 
|
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 21:22:50 (+0700) | #4 | 267128 |
![[Avatar]](/hvaonline/images/avatar/6fdbffcb9af3d886e01de25da845e91e.png "[Avatar]")
|
lamdt
Member
|
|
0 |
|
|
Joined: 25/02/2012 11:00:01
Messages: 10
Location: nowhere
Offline
|
|
Mong các anh, các chú sớm có những giám định, nhận xét về vụ tấn công này  |
|
| Chân cứng, đá mềm |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:05:33 (+0700) | #5 | 267132 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
Cập nhật
Phân tích nhanh: ( Phân tích dưới đây là quan điểm cá nhân của thành viên xnohat chứ không phản ánh quan điểm của HVA cũng như cộng đồng HVA - vui lòng thận trọng nếu cần trích dẫn )
Theo như tình trạng của trang tin điện tử tổng hợp Kenh14.vn (1) lúc bị tấn công (2). Thì người tấn công có vẻ vẫn chưa hoàn toàn kiểm soát được máy chủ web chứa trang tin Kenh14.vn, giao diện trang chủ của Kenh14.vn vẫn chưa bị thay thế hoàn toàn bằng một tập tin trang chủ khác, tức là thay thế trang index của CMS (3) bằng tập tin index chứa nội dung deface, giống như tình trạng xảy ra ở các cuộc tấn công của các nhóm tin tặc như Anonymous, Thổ Nhĩ Kỳ ... mà chỉ bị thay thế một số phần tin tức đã có trước đó
Nên nhiều khả năng người tấn công đã khai thác thành công một lỗ hổng nào đó trong CMS của kenh14.vn và truy cập được vào hệ quản trị Cơ sở dữ liệu của kenh14.vn, có thể là trang quản trị website hoặc chỉ là truy cập vào kết nối SQL của trang tin và chạy SQL query.
Dựa vào tình hình chung tại VN, thì nhiều khả năng là cuộc tấn công này được thực hiện qua các lỗi khai thác trên cổng 80 như:
- SQL Injection
- XSS
- Remote/Local File inclusion |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:15:31 (+0700) | #6 | 267135 |
phanledaivuong
Member
|
|
0 |
|
|
Joined: 23/05/2008 17:34:21
Messages: 315
Location: /dev/null
Offline
|
|
Dạo này các cháu 14 lớn nhanh lắm  |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:18:59 (+0700) | #7 | 267136 |
jang145
Member
|
|
0 |
|
|
Joined: 16/10/2011 03:04:45
Messages: 6
Offline
|
|
| Chờ anh em phân tích nguyên nhân. |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:19:27 (+0700) | #8 | 267137 |
trungdung4
Member
|
|
0 |
|
|
Joined: 28/06/2011 12:04:49
Messages: 17
Offline
|
|
| Đang chờ report chính thức từ HVA. |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:20:24 (+0700) | #9 | 267138 |
|
lamdt
Member
|
|
0 |
|
|
Joined: 25/02/2012 11:00:01
Messages: 10
Location: nowhere
Offline
|
|
| Còn chi tiết các site cùng cụm server với kenh14 như afamily, genk... đồng lọat thông báo bảo trì thì sao ạ anh xnohat. |
|
| Chân cứng, đá mềm |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:24:51 (+0700) | #10 | 267139 |
trungdung4
Member
|
|
0 |
|
|
Joined: 28/06/2011 12:04:49
Messages: 17
Offline
|
|
lamdt wrote:
Còn chi tiết các site cùng cụm server với kenh14 như afamily, genk... đồng lọat thông báo bảo trì thì sao ạ anh xnohat.
Do các website còn lại thuộc cùng 1 sever với kenh14 nên tất cả đồng loạt phải đ1ong cửa là điều dễ hiểu để tránh trường hớp lây lan .
p/s: Có nên loại trừ trường hợp bị Bruce force 1 số dịch vụ nào đó trên Sever ko anh xnohat |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 22:56:30 (+0700) | #11 | 267141 |
neoad
Member
|
|
0 |
|
|
Joined: 28/06/2006 17:14:17
Messages: 5
Offline
|
|
| Mình nghiêng về nguyên nhân quản trị website bị mất mật khẩu quản trị. |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 23:17:11 (+0700) | #12 | 267142 |
phanledaivuong
Member
|
|
0 |
|
|
Joined: 23/05/2008 17:34:21
Messages: 315
Location: /dev/null
Offline
|
|
https://www.facebook.com/ThongAssCong14ThanhCong?ref=stream
Vụ này có vẻ siêu hot trong vòng vài tiếng mà hội có hơn 22k like. |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 23:32:44 (+0700) | #13 | 267144 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
trungdung4 wrote:
p/s: Có nên loại trừ trường hợp bị Bruce force 1 số dịch vụ nào đó trên Sever ko anh xnohat
Do không nắm rõ các bước trong quy trình gởi và nhận bài, cách mà các administrator của kenh14.vn phân quyền hạn người dùng, cũng như các lớp bảo mật mà kenh14.vn đã áp dụng cho các website của họ trước đây nên tôi không dám lạm bàn sâu theo hướng đó. Dĩ nhiên, trong tình trạng chưa có đủ nguồn tin và cuộc tấn công xảy ra quá nhanh, quá chớp nhoáng như vầy thì, mọi khả năng đều được bỏ ngỏ. |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 23:36:35 (+0700) | #14 | 267145 |
tran_tien
Member
|
|
0 |
|
|
Joined: 28/05/2005 09:40:09
Messages: 16
Location: AFCVN
Offline
|
|
xnohat wrote:
Do không nắm rõ các bước trong quy trình gởi và nhận bài, cách mà các administrator của kenh14.vn phân quyền hạn người dùng, cũng như các lớp bảo mật mà kenh14.vn đã áp dụng cho các website của họ trước đây nên tôi không dám lạm bàn sâu theo hướng đó. Dĩ nhiên, trong tình trạng chưa có đủ nguồn tin và cuộc tấn công xảy ra quá nhanh, quá chớp nhoáng như vầy thì, mọi khả năng đều được bỏ ngỏ.
Hình như là qua VPN bác ạ, tuy nhiên nếu tấn công qua đường này thì khắc phục sẽ rất nhanh và đơn giản. Chỉ cần ngắt quyền, khôi phục bài viết là đc. |
|
| Ngoại trừ bạn đến từ một hành tinh xa xôi, thông tin "Từ" của bạn quá dài. |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
19/07/2012 23:55:39 (+0700) | #15 | 267146 |
![[Avatar]](/hvaonline/images/avatar/9988d6d2a3fb6644c433c146483304d4.jpg "[Avatar]")
|
amorousmartin
Member
|
|
0 |
|
|
Joined: 29/10/2009 12:05:59
Messages: 17
Offline
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 07:30:41 (+0700) | #16 | 267149 |
lehoabc
Member
|
|
0 |
|
|
Joined: 14/02/2012 17:52:09
Messages: 4
Offline
|
|
| Đúng là VC Corp, chỉ sau một đêm mọi thứ lại hoạt động như thường? Không biết Genk , Afamily có bị hacker không? Hi vọng tay hacker này tung dữ liệu lên mạng... |
|
-----------------------------------
http://www.digitimes.vn
Cập nhật thông tin công nghệ |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 08:12:25 (+0700) | #17 | 267152 |
|
lamdt
Member
|
|
0 |
|
|
Joined: 25/02/2012 11:00:01
Messages: 10
Location: nowhere
Offline
|
|
Genk, kenh14, afamily cùng 1 CMS mà.
Kenh14 đã hoạt động lại bình thường, các trang kia cũng thế. Có thể các lỗ hổng trên CMS như anh xnohat nói đã được fix rồi.
Mình nghĩ hacker không can thiệp được vào sâu trong hệ thống (Chỉ dừng lại ở việc thay đổi được 1 phần nội dung trang index) nên không có trò vui gì đâu |
|
| Chân cứng, đá mềm |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 08:22:40 (+0700) | #18 | 267154 |
style_tn
Member
|
|
0 |
|
|
Joined: 06/01/2011 10:50:52
Messages: 3
Offline
|
|
| sao mình vào genk.vn vẫn thấy kêu đang bảo trì nhỉ. có trang autopro là vào lại được bình thường. :-| |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 08:25:11 (+0700) | #19 | 267155 |
saxvai
Member
|
|
0 |
|
|
Joined: 19/05/2008 23:44:23
Messages: 4
Offline
|
|
Hehe, lâu cũng được vụ hot, mà nhanh chóng tắt rùi nhỉ.
Chờ xem tập hai |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 08:46:43 (+0700) | #20 | 267158 |
LOFWI
Member
|
|
0 |
|
|
Joined: 10/12/2011 00:05:43
Messages: 3
Offline
|
|
| Mình cảm thấy hình như hacker tấn công bằng SQL Injection thì phải |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 08:56:16 (+0700) | #21 | 267160 |
ga_cum06
Member
|
|
0 |
|
|
Joined: 04/05/2008 19:01:15
Messages: 29
Offline
|
|
| có cả 1 hội những người ghét kênh 14 này : https://www.facebook.com/pages/H%E1%BB%99i-nh%E1%BB%AFng-ng%C6%B0%E1%BB%9Di-gh%C3%A9t-k%C3%AAnh-14/190200307680911. |
|
| ...Ước mơ xây trường học cho trẻ em nghèo Việt Nam |
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 09:25:35 (+0700) | #22 | 267163 |
jang145
Member
|
|
0 |
|
|
Joined: 16/10/2011 03:04:45
Messages: 6
Offline
|
|
| Đang có một số ý kiến cho rằng sự việc tối qua do Kênh 14 tự sướng. Theo em thì k phải vậy. Nếu nó tự sướng thì nó cần ếch gì làm ảnh hưởng đến các website cùng server khác kia chứ. |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 11:14:32 (+0700) | #23 | 267180 |
ilovelife
Member
|
|
0 |
|
|
Joined: 19/07/2012 19:42:03
Messages: 17
Offline
|
|
LOFWI wrote:
Mình cảm thấy hình như hacker tấn công bằng SQL Injection thì phải
Mình không nghĩ là nó dính SQLi, lúc trước dùng Acunetix (version 8 mới nhất ấy) thì mình không phát hiện ra lỗi lớn nào trừ lỗi ASP .Net Oracle padding mà mrro phát hiện.
Theo mình thì hacker brute-force được một trong các tài khoản quản trị (vì trang web trị bị "deface" một phần ở các bài tin chứ không phải cả website như kiểu Hacked by...) Hoặc hacker hack vào máy mrro/chui vào bình nước Thái Dương (admin tha tội) rồi lấy exploit code để attack dựa vào ASP.NET Oracle Padding Vulnerability (cái này cũng có thể dùng Padbuster) |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 13:21:55 (+0700) | #24 | 267191 |
kikilua
Member
|
|
0 |
|
|
Joined: 28/06/2007 23:30:58
Messages: 13
Offline
|
|
| mình cũng nghĩ là hacker không hack qua SQLi để querry mà đã chiếm quyền user ( ở đây mình nghĩ user trên chỉ có quyền đăng bài???) vì các Ads vẫn hoạt động bình thường và không có dấu hiệu cang thiệp. |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 13:54:38 (+0700) | #25 | 267195 |
ilovelife
Member
|
|
0 |
|
|
Joined: 19/07/2012 19:42:03
Messages: 17
Offline
|
|
kikilua wrote:
mình cũng nghĩ là hacker không hack qua SQLi để querry mà đã chiếm quyền user ( ở đây mình nghĩ user trên chỉ có quyền đăng bài???) vì các Ads vẫn hoạt động bình thường và không có dấu hiệu cang thiệp.
Đúng vậy, chỉ chiếm được quyền của biên tập viên thôi, có thể bằng cách Brute-force (như đã nêu trên) , hoặc lừa mấy ông đấy vào trang web có mã độc xong bắn virus/spy. Mình vừa xem file crossdomain.xml thì thấy:
<cross-domain-policy>
<allow-access-from domain="*"/>
</cross-domain-policy>
Rõ ràng là để cross domain như thế là hơi không an toàn, và có thể bị tấn công bằng hình thức CSRF (Cross-site request forgery)
----
Sáng nay lên fan page thong@ss gì gì đó của "bạn" hacker thấy cái ảnh chụp bên http://www.hackertyper.com/ xong nói là exploit code, theo mình thì hacker với kiểu ăn nói, chém gió ba hoa như vậy thì khi khai thác lỗ hổng của kênh 14 là không có gì là quá cao siêu (hoặc hacker là người khác). |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
20/07/2012 23:16:35 (+0700) | #26 | 267212 |
trantuan_bkhcm
Member
|
|
0 |
|
|
Joined: 25/11/2004 07:01:30
Messages: 6
Offline
|
|
00:15 21/7/2012 (GMT +7)
ddth.com cũng chịu chung số phận ???? |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
21/07/2012 01:22:22 (+0700) | #27 | 267213 |
concobe
Member
|
|
0 |
|
|
Joined: 27/04/2007 19:30:07
Messages: 56
Offline
|
|
mới tuần trước hcegroup thấy có bé thảo luận làm sao chơi đươc những trang như kenh14, có vài chú vào nói đã chơi được rồi + chỉ ra vài sơ hở dạng gợi ý không ngờ nay vào thấy tin này, lẽ nào các chú ấy ngứa tay ta???
Kenh14 cứ reverse ra xem mấy trang khác ý
Đừng dại kiếm bug trên mấy trang chủ , lâu mà tốn kém time với trình độ chưa cao ?
Gợi ý : Chú ý trang yeuloptoi của kenh14
<sessionState mode="SQLServer" sqlConnectionString="data source=192.168.3.111;user id=sa;password=sfsdf12xxxxxx"
Have fun
nội dung mà chú ấy đã share để show hàng nè.
-> có thể anh xnohat đúng khi nói rằng kenh14 bị sqli, dù sao đây cũng chĩ là phỏng đoán phải đợi bên kenh14 họ thông báo thì mới biết chính xác được.hy vọng sẽ học thêm được một số bài học nữa như các topic của những vị hack trước |
|
|
|
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
21/07/2012 07:01:56 (+0700) | #28 | 267216 |
![[Avatar]](/hvaonline/images/avatar/f2aa5725662d9ec86cbdec99ab8f55aa.png "[Avatar]")
|
9aa6
Member
|
|
0 |
|
|
Joined: 08/01/2012 21:50:50
Messages: 30
Location: bờ đê lộng gió ,,,,
Offline
|
|
| cms này là của vn hay mua nước ngoài hả các bác |
|
Đừng tưởng xinh gái mà vội kiêu
có tý nhan sắc vẫn chưa siêu
mà này anh bảo cho mà biết
khi nào mát trời anh sẽ yêu |
|
| [News] HVA News - Trang tin Kenh14.vn bị deface |
22/07/2012 16:52:19 (+0700) | #29 | 267288 |
![[Avatar]](/hvaonline/images/avatar/9f646e957ec710c04f84fe8f8828a83c.jpg "[Avatar]")
|
muathulabay
Member
|
|
0 |
|
|
Joined: 16/06/2011 21:19:21
Messages: 2
Offline
|
|
| This post is set hidden by a moderator because it may be violating forum's guideline or it needs modification before setting visible to members. |
|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thông tin new bugs và exploits
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[Email]](/hvaonline/templates/viet/images/icon_email.gif "[E-mai]"){kind=icon}
![[WWW]](/hvaonline/templates/viet/images/icon_www.gif "[www]"){kind=icon}
![[Yahoo!]](/hvaonline/templates/viet/images/icon_yim.gif "[YIM]"){kind=icon}
![[MSN]](/hvaonline/templates/viet/images/icon_msnm.gif "[MSN]"){kind=icon}
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")