Hack blackhatvn

Hack blackhatvn.org
trang này đã được đọc lần
mrro nhận được khá nhiều yêu cầu từ phía bạn bè ... , cho nên hôm nay quyết định chấp bút làm một cái
case study về cái vụ hack BlackHat Ass. Điểm đặc biệt trong case study này là mrro chỉ dùng web browser +
putty thôi.
Trước tiên, mrro vào để xác định nơi
Blackhatvn.org đăng kí hosting (độ chính xác thì khoảng 30% thôi nhưng có còn hơn không ).
Netcraft đưa ra một số thông tin như IP address của BHA là 12.168.32.212, và IP này thuộc sở hữu của ai.
Truy cập vào địa chỉ này IP này, nó hiện ra trang default của Plesk, cùng địa chỉ email là
Cùng với kết quả của Netcraft, mrro biết được Ucvhost.com có vẻ là nơi BHA đăng kí
hosting và đây là một Windows 2000 server.
Tiếp sau đó, mrro truy cập vào Ucvhost.com. Ở đây nó có một cái Control Panel tại địa chỉ
http://12.30.241.66/cp/ . Và control panel này bị sql injection rất nặng. mất khoảng 15' thì mrro đã own được
cái server chứa hosting của Ucvhost.com. Tuy nhiên, hic, không may mắn là trong đó lại không có account
của BHA (tại sao ?)
Khi quan sát Ucvhost.com, công ty này nhận host trên Windows và Linux, đồng thời họ cung cấp Instant
Access to account, có nghĩa là vừa mua hosting ra sẽ có thể truy cập vào ngay được liền. Tất cả việc đăng kí
account, dù Linux hay Windows, đều được thực hiện trên cái site www.ucvhost.com, một site chạy Windows.
Như vậy có nghĩa là gì ? hic, mrro buồn ngủ quá, nên phải đi ngủ .
Tối hôm sau, mrro lại có free time để having fun with BHA. Nhớ lại cái cách setup account của UCVhost hôm
trước, mrro thắc mắc một điều là làm sao từ một cái script bên Windows lại có thể setup account trên một cái
server Linux ? Chỉ có một cách duy nhất là trên server Linux có đặt một script bí mật, khi truy cập vào script
đó, đưa các options cụ thể, nó sẽ tạo account trên Linux cho mình. Như vậy mục tiêu bây giờ là tìm cái script
đó, muốn vậy đơn giản chỉ cần tìm cái script dùng để setup account Linux trên server Windows (mà mrro đã
own). Chỉ mất chưa đầy 5', mrro đã tìm ra tên cái script nixcontrollercreatesite.asp và trong script đó quả thật
chứa những gì mrro đang chờ đợi:
https://12.168.32.212:8443/cgi-bin/addy.cgi
Chỉ cần đưa các options thích hợp khi gọi cái script đó, mrro có thể dễ dàng tạo được một account trên cái
server Linux. mrro tạo ngay một account, sau đó, dùng putty để ssh vào cái server 12.168.32.212. Bingo, nó
không cho ssh . mrro lại quay sang login vào cái Plesk https://12.168.32.212:8443/ với hi vọng trong đấy sẽ
có một cái webshell. Plesk nó có một trình quản lí file là file_manager.php3, nhưng nó restrict không cho

access qua các thư mục khác. Pó tay !
Buồn đời không hack được , mrro quay lại xem tin tức (www.tuoitre.com.vn ;) ), check mail. Vô tình trong
hộp mail của mrro có một email thông báo account được tạo ra gửi đến từ địa chỉ
(do là trong lúc tạo account ở bước trên, mrro đã dùng một email có thật của mình). Vậy là BHA thật sự host
ở www.instaspace.com chứ không phải www.ucvhost.com (thật ra 2 thằng này là 1). Vậy thì lý do tại sao
không có account BHA trong database của ucvhost.com có vẻ đã rõ, và chắc la trong database của
instaspace.com sẽ có .
mrro lại quay vào tấn công vô cái Control Panel của instaspace.com, và một lần nữa lại thất vọng, không có
account BHA trong đó (không biết có bị hoa mắt hông ? ). Hic, buồn ngủ quá, khò khò...zzz...zzz !
Tối ngày hôm sau nữa, mrro vào trang www.instaspace.com. Thấy rõ ràng nó quảng cáo là account Linux sẽ
có ssh, hic vậy tại sao mrro ko ssh vào được trời ?
Quanh đi quẩn lại, mrro tìm hiểu kĩ hơn cái cách mà instaspace.com gọi cái script addy.cgi.
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=client_pref.pl
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=domain.pl
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=domain_pref.pl
https://12.168.32.212:8443/cgi-bin/addy.cgi?script=client.pl
Phân tích ra thì mrro thấy, cái script addy.cgi chỉ là cầu nối để cho cái server Windows truyền paramater cho
những cái script như domain.pl (dùng để tạo domain ? ) và chính những cái script này sẽ tạo ra account trên
Linux...Một số paramater-value có dạng "php=true&ssl=true", do đó mrro thêm đại vào shell=true, nhưng cái
script lại báo là option not found. Trong thông tin lỗi trả về có một điểm đáng chú ý là những cái Perl script
này nằm ở thư mục /usr/local/psa/bin (correct me if I'm wrong). Có lẽ những script này là một phần của Plesk
(tại vì account tạo bằng các script này có thể login vào Plesk được) ? mrro nghĩ chắc chắn trong các perl
script này có option để thêm ssh cho một account. Do đó, vấn đề bây giờ là tìm source code của chúng.
Hehe, nãy giờ mrro chưa sử dụng một công cụ rất quan trọng khi hack đó là...www.google.com (it's my best
friend, dudes ). Làm vài phát search cái tên script client_pref.pl (hehe, mrro chọn cái script này vì cái tên nó
có vẻ unique), người bạn tốt google.com đưa về kết quả trọn bộ script client_pref.pl, client.pl, domain.pl,
domain_pref.pl nằm trong một plug-in của Plesk đúng như mrro dự đoán. Bravo !
Download cái bộ plug-in đó về, source code đã nằm trong tay, hehe, chỉ khoảng 5' mrro đã tìm ra cái option
đó, hóa ra nó là ssh=/bin/bash (hic, sao lúc thử không thử ssh=true mà lại thử shell=true trời ? ).
Thêm cái option đó vào, account mới do mrro tạo ra ssh vào được liền hehe.

Phần còn lại rất dễ, forum của BHA sử dụng flatfile để lưu dữ liệu, mrro đọc file huyremy.cgi, lấy account
admin, login vào diễn đàn và bùm !