Bài viết cũ:Case Study How I Hacked Www_blackhatvn_org.TG:mrro

English | Vietnamese

Rules

Main Forum

Portal

Member Listing

Statistics

Search

Reading Room
[Register]

Login [ | https ]

Forum Index

Thảo luận thâm nhập

Bài viết cũ:Case Study How I Hacked Www_blackhatvn_org.TG:mrro

[Article] Bài viết cũ:Case Study How I Hacked Www_blackhatvn_org.TG:mrro	08/01/2007 23:56:23 (+0700) \| #1 \| 35044

komodo01
Member

Joined: 08/01/2007 07:01:49
Messages: 24
Offline

Hello bà con,

mrro nhận được khá nhiều yêu cầu từ phía bạn bè và ... gia quyến , cho nên hôm nay quyết định chấp bút làm một cái case study về cái vụ hack BlackHat Ass. Điểm đặc biệt trong case study này là mrro chỉ dùng web browser + putty thôi.

Trước tiên, mrro vào http://uptime.netcraft.com/up/graph?site=www.blackhatvn.org để xác định nơi Blackhatvn.org đăng kí hosting (độ chính xác thì khoảng 30% thôi nhưng có còn hơn không ).

Netcraft đưa ra một số thông tin như IP address của BHA là 12.168.32.212, và IP này thuộc sở hữu của ai. Truy cập vào địa chỉ này IP này, nó hiện ra trang default của Plesk, cùng địa chỉ email là support@ucvhost.com. Cùng với kết quả của Netcraft, mrro biết được Ucvhost.com có vẻ là nơi BHA đăng kí hosting và đây là một Windows 2000 server.

Tiếp sau đó, mrro truy cập vào Ucvhost.com. Ở đây nó có một cái Control Panel tại địa chỉ http://12.30.241.66/cp/ . Và control panel này bị sql injection rất nặng. mất khoảng 15' thì mrro đã own được cái server chứa hosting của Ucvhost.com. Tuy nhiên, hic, không may mắn là trong đó lại không có account của BHA (tại sao ?)

Khi quan sát Ucvhost.com, công ty này nhận host trên Windows và Linux, đồng thời họ cung cấp Instant Access to account, có nghĩa là vừa mua hosting ra sẽ có thể truy cập vào ngay được liền. Tất cả việc đăng kí account, dù Linux hay Windows, đều được thực hiện trên cái site www.ucvhost.com, một site chạy Windows. Như vậy có nghĩa là gì ? hic, mrro buồn ngủ quá, nên phải đi ngủ .

Tối hôm sau, mrro lại có free time để having fun with BHA. Nhớ lại cái cách setup account của UCVhost hôm trước, mrro thắc mắc một điều là làm sao từ một cái script bên Windows lại có thể setup account trên một cái server Linux ? Chỉ có một cách duy nhất là trên server Linux có đặt một script bí mật, khi truy cập vào script đó, đưa các options cụ thể, nó sẽ tạo account trên Linux cho mình. Như vậy mục tiêu bây giờ là tìm cái script đó, muốn vậy đơn giản chỉ cần tìm cái script dùng để setup account Linux trên server Windows (mà mrro đã own). Chỉ mất chưa đầy 5', mrro đã tìm ra tên cái script nixcontrollercreatesite.asp và trong script đó quả thật chứa những gì mrro đang chờ đợi:

QUOTE

https://12.168.32.212:8443/cgi-bin/addy.cgi

Chỉ cần đưa các options thích hợp khi gọi cái script đó, mrro có thể dễ dàng tạo được một account trên cái server Linux. mrro tạo ngay một account, sau đó, dùng putty để ssh vào cái server 12.168.32.212. Bingo, nó không cho ssh . mrro lại quay sang login vào cái Plesk https://12.168.32.212:8443/ với hi vọng trong đấy sẽ có một cái webshell. Plesk nó có một trình quản lí file là file_manager.php3, nhưng nó restrict không cho access qua các thư mục khác. Pó tay !

Buồn đời không hack được , mrro quay lại xem tin tức (www.tuoitre.com.vn smilie

), check mail. Vô tình trong hộp mail của mrro có một email thông báo account được tạo ra gửi đến từ địa chỉ support@instaspace.com (do là trong lúc tạo account ở bước trên, mrro đã dùng một email có thật của mình). Vậy là BHA thật sự host ở www.instaspace.com chứ không phải www.ucvhost.com (thật ra 2 thằng này là 1). Vậy thì lý do tại sao không có account BHA trong database của ucvhost.com có vẻ đã rõ, và chắc la trong database của instaspace.com sẽ có .

mrro lại quay vào tấn công vô cái Control Panel của instaspace.com, và một lần nữa lại thất vọng, không có account BHA trong đó (không biết có bị hoa mắt hông ? ). Hic, buồn ngủ quá, khò khò...zzz...zzz !

Tối ngày hôm sau nữa, mrro vào trang www.instaspace.com. Thấy rõ ràng nó quảng cáo là account Linux sẽ có ssh, hic vậy tại sao mrro ko ssh vào được trời ?
Quanh đi quẩn lại, mrro tìm hiểu kĩ hơn cái cách mà instaspace.com gọi cái script addy.cgi.

QUOTE

https://12.168.32.212:8443/cgi-bin/addy.cgi?script=client_pref.pl
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=domain.pl
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=domain_pref.pl
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=client.pl

Phân tích ra thì mrro thấy, cái script addy.cgi chỉ là cầu nối để cho cái server Windows truyền paramater cho những cái script như domain.pl (dùng để tạo domain ? ) và chính những cái script này sẽ tạo ra account trên Linux...Một số paramater-value có dạng "php=true&ssl=true", do đó mrro thêm đại vào shell=true, nhưng cái script lại báo là option not found. Trong thông tin lỗi trả về có một điểm đáng chú ý là những cái Perl script này nằm ở thư mục /usr/local/psa/bin (correct me if I'm wrong). Có lẽ những script này là một phần của Plesk (tại vì account tạo bằng các script này có thể login vào Plesk được) ? mrro nghĩ chắc chắn trong các perl script này có option để thêm ssh cho một account. Do đó, vấn đề bây giờ là tìm source code của chúng.

Hehe, nãy giờ mrro chưa sử dụng một công cụ rất quan trọng khi hack đó là...www.google.com (it's my best friend, dudes ). Làm vài phát search cái tên script client_pref.pl (hehe, mrro chọn cái script này vì cái tên nó có vẻ unique), người bạn tốt google.com đưa về kết quả trọn bộ script client_pref.pl, client.pl, domain.pl, domain_pref.pl nằm trong một plug-in của Plesk đúng như mrro dự đoán. Bravo !

Download cái bộ plug-in đó về, source code đã nằm trong tay, hehe, chỉ khoảng 5' mrro đã tìm ra cái option đó, hóa ra nó là ssh=/bin/bash (hic, sao lúc thử không thử ssh=true mà lại thử shell=true trời ? ).

Thêm cái option đó vào, account mới do mrro tạo ra ssh vào được liền hehe.

Phần còn lại rất dễ, forum của BHA sử dụng flatfile để lưu dữ liệu, mrro đọc file huyremy.cgi, lấy account admin, login vào diễn đàn và bùm !

hết.

Go to:

Users currently in here
1 Anonymous