Как взламывали Masterpro.ws

Оговорюсь сразу; есть планы сделать из небольшого этого сообщения - развернутую статью, предназначенную спецом для тех, кто только-только начинает изучать php либо основы интернет-security. Но пока, в рамках данного топика - лишь перечень предпринятых атак, в основе которых лежит манипулирование get-запросами и попытка удаленного включения некоего скрипта (include), образец которого также приведен.

Оговорка вторая: автор никому и ни в коей мере не рекомендует использовать описанный механизм атак... все, что вы здесь видите - представлено лишь с целью ознакомления. Иными словами - вы читаете данный текст лишь затем, чтобы понять, как делать не нужно.

Не нужно - в силу ряда причин; прежде всего - это не только незаконно, но и представляет из себя, так сказать, моветон маловоспитанного человека и полуграмотного кулхацкера, мнящего себя интернет-гением. Не нужно потому, что, применяя даннный механизм - вы расписываетесь в собственном неумении и непрофессионализме; вы открыто признаете, что более серьезная работа, не базирующаяся на попытках поиска давно закрытых дырок и уязвимостей безопасности - вам не по зубам.

Собственно, предисловие на этом закончено и переходим к деталям. Взгляните, они достаточно поучительны.
Итак, неизвестный злоумышленник предпринимает попытки удаленного включения файла... или, вероятно, попросту пытается прощупать php-директивы неизвестного хостинга:


Это могло быть даже вот так:


или так:


Самые любознательные могут набрать в Google что-нибудь вроде поисковой фразы "E-Store SQL Injection Vulnerability", а также по приведенной ссылке загрузить, раскодировать из base64 и попробовать осмыслить содержимое файла с расширением php. Это довольно познавательно.

Или же - можно попытаться отыграть в сторону JCE (очень немало уязвимостей, к слову, этот редактор в свое время мог содержать в своих скриптах, просто на удивление дырявый) либо VirtueMart:


К слову, приходится в очередной раз обратить внимание джумлаводов на то обстоятельство, с каким перманентным постоянством любимый многими JCE-редактор то и дело содержит крайне опасные уязвимости... мне казалось, что так было когда-то, но взгляните, относительно свежие вести с полей и сегодня в полной мере доступны на сайте разработчика либо в виде вот такого рода сообщений на различных интернет-форумах:

В последнее время участились случаи взлома сайтов на Joomla, использующих компонент Joomla Content Editor (com_jce).
Этот компонент имеет уязвимость вплоть до версии 2.0.10, которая позволяет злоумышленнику загружать на сайт произвольные файлы, в том числе, скрипты php.
Для заражения злоумышленники используют робота, который сканирует сайты на предмет наличия компонента jce и имеющейся в нём уязвимости. Наиболее часто встречающиеся симптомы такого заражения:
файлы wp-conf.php в корневой директории сайта ./public_html и в корневой директории аккаунта
файл со случайным названием вида w7792289n.php в ./public_html
многочисленные файлы index.php, залитые в случайные директории сайта
файлы с произвольным названием, в т.ч. с вполне осмысленным, залитые в случайные директории сайта.
Модификация файлов сайта в этом случае не производится, и зловредные файлы легко вычислить по дате изменения. Например, если взлом был осуществлён неделю назад, и если за эту неделю на сайте не менялись php-скрипты, то лечение сводится к следующей команде:
cd public_html
find . -type f -mtime -7 -name "*.php" -delete

Для предотвращения повторного взлома через эту уязвимость следует обновить компонент JCE.

Что именно инклюдится? - вариантов немало. Вы и сами можете, вообщем, взглянуть по содержащимся в коде ссылкам... только не забывайте, содержимое этих скриптов может меняться. Я же здесь приведу самый короткий код из всего увиденного... "Бегемот, покажи нам для начала что-нибудь простенькое", одним словом... взгляните, в случае, если бы попытка удаленного включения такого рода увенчалась успехом - злоумышленник получает полный веб-шелл к вашему аккаунту:



Ну, что же. В преддверии, как уже было сказано, развернутой статьи на тему - буду рад выслушать замечания в контексте приведенных примеров. Если они будут.

Хотелось бы добавить... проанализировав хронику описанных атак - крайне несложно уяснить для себя список наиболее "дырявых" расширений Joomla, чьи уязвимости могут быть поистине гибельны для сайта. Это VirtueMart, JCE, CronoContact. Разумеется, речь идет cугубо о старых версиях extensions, коль скоро дырки известны кулхацкерам - стало быть, давным-давно пофиксены разработчиками данных расширений.

Вашему вниманию - продолжение разговора о различных сценариях атак на сайты под управлением cms Joomla. Добро пожаловать в блог.

Анонс небольшой публикации на тему в блоге.

Вашему вниманию - статья Внимание, хакерские атаки в вебе . Сценарии стары как мир... но, по-видимому, вполне применимы и сегодня. Взгляните, это перечень web-ресурсов, выуженных мной из логов и содержащих на данный момент (либо в недалеком прошлом) злонамеренный программный код... за подробностями - welcome по ссылке.

Aleksej пишет: Вашему вниманию - статья Внимание, хакерские атаки в вебе .

open_basedir=/путь к каталогу tmp/

Не вполне понятно как правильно прописать open_basedir...

beginner пишет: Не вполне понятно как правильно прописать open_basedir...

For Windows:
For Linux:

Продолжение хроники пикирующего бомбардировщика.

Атаки продолжаются. Все столь же тупые и безрезультатные. Впрочем, судя по приведенному ниже синтаксису - атаки начинает принимать адресный характер; в get-запросах мелькает название шаблона и адрес вот этой самой странички. Кажется, некий анонимный неудачник-двоечник начинает проецировать негатив уже целенаправленно на этот самый сайт, оказавшийся ему явно не по зубам и совершенно не по способностям... негатив в Глобальной Сети - весьма забавная штука; берет начало, как мне кажется, от несколько более успешных попыток подрачить на маменьку в раннем своем детстве.




Я уж думаю, не подсказать ли, в каком направлении порыть, чтобы хоть как-то помочь взломать этот сайт и хоть как-то бедолаге наконец кончить. Впрочем, означенный кулхацкер настолько недееспособен, что навряд ли сумеет эту подсказку понять... я уж не говорю про остальное. Что же, мне остается только поблагодарить за контент для данного топика и пожелать дальнейших успехов... кстати, пользуясь случаем, хотелось бы передать привет его дражайшей маменьке. Интересно, она сейчас все так же игрива, как и в ранней молодости? :laugh:

не боитесь, что на самом деле ломанут сайт?

beginner пишет: не боитесь, что на самом деле ломанут сайт?

А вот зараз и проверим, насколько устойчива современная Joomla к хакерским атакам!

А если серьезно - нет, не боюсь.
Взгляните еще раз на запросы:



Все, на что хватает у этого идиота мозгов - это пытаться использовать старые, всем известные и давно перекрытые уязвимости. Наудачу; вдруг да повезет найти в Сети своего собрата, такого же бездаря. Придумать что-то свое, поискать самостоятельно - на это знания нужны, мозги опять же. А вот драчить - ума не надо, скопировал на гитхабе скрипт - и привет, типа хакер. Представилась возможность попытаться отбить в Сети те очки, которые безнадежно проиграны в реале, вот чел и ломанулся сквозь бурелом за орденами. Ничего не выйдет, дело закончится, к бурному его удовольствию, мутными пятнами на штанах.

Гы, рад видеть, что тебя еще пока не взломали, aleksej. Не всем так везет, вот у моего работодателя пару сайтов ломанули недавно. :laugh:

savage пишет: Гы, рад видеть, что тебя еще пока не взломали, aleksej. Не всем так везет, вот у моего работодателя пару сайтов ломанули недавно. :laugh:

Вашими молитвами, savage.
Живем пока, почему бы и нет. Кстати, интенсивность атак сильно снизилась, горе-кулхацкер, походу, выдыхается. А может, мозоли на руках. "Рука бойцов др*чить устала", это если чуть перефразировать классика.

Причем, что интересно. На сайте не одна тысяча страниц... а некоторая, весьма немалая, доля атак нацелена, судя по логам, именно вот на эту самую, с рассказом о бездарном господине, мнящем себя хакером. Не все по зубам такому хакеру, как выясняется.... боги мои, яду мне, яду.. этому чмудаку - joomla, как выясняется, не взломать. Позорище. :laugh:

Я не раз отмечал (ну, знакомых-то немало по жизни, всяких-разных), что именно такие непризнанные горе-специалисты, перенесшие свои амбиции/обидки из реала в инет - на редкость ранимы, до смешного обидчивы. Это объясняет, по логике вещей, многочисленные get-запросы именно к данной странице... что же, добавим еще одну обидку к длинному перечню уже несправедливо нанесенных. Пришло время опубликовать очередной список сайтов, замеченных в нездоровой активности. Повторюсь, вся инфа выужена из логов, убедиться в ее достоверности несложно; нужно лишь посмотреть, что там такое по ссылке. Проверьте лицензию у вашего Каспера, и вперед. Хотелось бы надеяться, что специалистов "отдела К" той или иной страны данный list рано или поздно заинтересует.


Увы, список совсем небольшой. Вточняк у парня рука отсыхает. Зато сколько протекло меж пальцев удовольствия!