mir007 :

Взлом Dcms Fiera

20 Янв 2014
После взлома данного
сайта, админ и его
подружка никак не могли
признать утечку данных и
сам факт взлома. На сайте
сперва промелькнула
новость о «маленькой
неприятности», затем
админвывесил табличку,
что его доссят и т.д. Паника
была на лицо. Один из
владельцев интернет
магазина по продаже
скриптов, чьи данные
пострадали, с пеной у рта
доказывал, что его сайт
находится в другом месте и
так далее. Естественно, ему
не хочется терять клиентов
и говорить о том, что
скрипты попали в третьи
руки. Вы наверно успели увидеть слитыe скрипты с gix.su.
и поняли теперь откуда они взялись!
Посты у cебя они на
форуме затерли, дабы не
представляться перед
пользователями вдурном
свете…
Совершим краткий
минигайд по взлому данной
гкмс. К официальному двигу
он не имеет никакого
отношения.
1.Объект взлома — dcms-
help. Смотрим IP проекта.
Чаще всего делаю это через
сервис в ICQ. IP хоста
62.76.45.215, принадлежит
Клодо.
2. Смотрим кто сидит рядом
на этом серве. Можно
проверить это с помощью
сервиса 2ip.
Получаем список сайтов и
видим интересные
моменты,которые один из
негодующих так рьяно
отрицал:
dcms-fiera.ru
dcms-help.ru
dcms-seo.ru
koneek.net
pagebox.ru
thecode.ru
www.dcms-help.ru
www.koneek.net
xn—-itbabvcwdj0b.xn—p1ai
3. Регистрируемся на сайте
жертвы. Аккаунт Геймер,
пароль — sddgs(E#ieo.
4. У нас есть одно
преимущество: двиг
жертвы лежит в пабле. И
найти в нем дыру не
составляет труда.
5. После получасовой возни
с проверкой на уязвимости
— она найдена.
Зашифрованный гет-запрос
(
)
проходит через одно из
полей в настройках — и как
это не прискорбно, поле
это — спам угроза, которое
никак не фильтруется. Кто
понимает о чем я говорю,
через 5 минут сможет
уложить любой сайт на
DCMS-fiera. В целях
безопасности сайтов
нормальных пользователей
яне могу опубликовать
данный код.
6. Получаем права админа
через инъекцию с
применением UPDATE
`user` SET
`level`=’4′,`group_access`=’
15′WHERE `id`=’3008′. В
конце наш ид.
7. Заливаем любой шелл,
можно С99 или делориан.
Сливаем, что нам надо.
Благо настройки сервера
позволили полазить по
соседним папкам и слить
самое интересное —
скрипты с копейки. Ваша
защита сервера
провалилась. После слива
удаляемшеллы и
возвращаем все права на
место.
8.Просто дефейснуть мне
не захотелось. Я решил
пойти дальше. Методами
социальной инженерии
было получено кодовое
слово к электронному
ящику. А его владелец
оказался жутким идиотом,
указывая в качестве ответа
на вопрос реальную
девичью фамилию матери.
9. Но восстанавливать пасс
ящик отказался. Отправил
письмо в саппорт о
восстановлении. Через 6
часов был полученновый
пароль.
10. Автор снова идиот!
Хранить на сервере ~550
писем с паролями и доступу
ко всему — это слишком.
11. Идем дальше. Цель —
сменить нсы на доменах.
Проблема — кодовое
слово. И тут автор
облажался, поставив кодом
имя дочери. Ладно бы
юзвери это сделали, но он
по его словам криворукий
кодер…
12. Методами
социнженерии получено
кодовое слово, домены
сменили нсы. Были
получены доступы к
нескольким серверам.
13. Далее под его учеткой
была очищена гостевая на
DCMS.su, которую вскоре
забанили помоей же
просьбе. Все-таки на DCMS
пусто в админке. Никаких
прав у супермодера.
А теперь смысл статьи: я не
призываю вас ломать
сайты на этом двиге. Будьте
умнее. Автор даже не
обратился, а назвал меня
пустословом и у себя на
форуме обзывает
нелицеприятными словами.
Утверждает, цитирую»
Какбыло сказано выше,
«взлом Dcms – Fiera», как
утверждает rnx в своем
блоге это восстановление
пароля на сломанный ящик
mail.ru и прочтение личных
сообщений в почте.»
Уважаемый, я этого не
говорил и повторяю вам и
вашей подружке по
магазину, дыра есть,
скрипты слиты.
Уважаемые пользователи,
юзать двиг или нет это
ваша проблема.
Используйте на компе хоть
какие-нибудь бесплатные
антивирусы, обзоры
которых можно почитать в
сети. Никогда не ставьте в
качестве кодовых слов то,
что могут узнать другие, не
храните на почтовом
ящике письма и
признавайте все-таки свои
ошибки.