著名國際黑客站點(diǎn)zone-h.org被黑事件
作者：xcrypt
Zone-H被黑過程，在2006年12月22日被首次公開（PS：這個組織計劃的真周到，花了5天，7個步驟才拿下Zone-H；Zone-H也真夠倒霉的，被黑后還被D；另外如果是國內(nèi)某個*.S.T的站被黑，估計又要開罵，別想知道到底怎么被黑的，但是Zone-H把內(nèi)幕完全公開）。
Zone-H被黑過程，在2006年12月22日被首次公開（PS：這個組織計劃的真周到，花了5天，7個步驟才拿下Zone-H；Zone-H也真夠倒霉的，被黑后還被D；另外如果是國內(nèi)某個*.S.T的站被黑，估計又要開罵，別想知道到底怎么被黑的，但是Zone-H把內(nèi)幕完全公開），原英文內(nèi)容http://www.zone-h.org/content/view/14458/31/
大概翻譯一下：
攻擊從12月17日開始……
第一步,攻擊者決定以zone-h.org的一個擁有特別權(quán)限的為目標(biāo).(以下稱為''目標(biāo)'')
他對服務(wù)器發(fā)出了''我忘記密碼''的重設(shè)請求,這樣服務(wù)器會發(fā)對目標(biāo)發(fā)回一個email地址,Hotmail帳號和新密碼.
第二步,攻擊者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/pipermail/full-disclosure/2006-August/048645.html)得到目標(biāo)的Hotmail session cookie,然后進(jìn)入目標(biāo)的EMAIL,得到新的密碼.
第三步,攻擊者得到的目標(biāo)帳號擁有一個特權(quán)可以上傳新的論文和圖片,使用該特權(quán)他上傳了一個圖片格式的文件,可惜這個文件需要擁有管理權(quán)限的人審核批準(zhǔn)后才能公開看到,當(dāng)然,沒有被批準(zhǔn)公開.而且該目標(biāo)帳號被凍結(jié).
第四步,攻擊者知道他上傳的文件依然在ZONE-H的圖片文件沒有被刪除,他以www.zone-h.org/圖片文件/圖片名 的格式使得zone-h接受了并照了快照公開.
現(xiàn)在攻擊者成功上傳了文件并使得可以訪問。
第五步,在第一次的上傳攻擊者不單單是上傳了一個圖片文件,還上傳了一個PHPSHELL.可惜因為zone-h的安全策略使得不能執(zhí)行。
但是在之前攻擊者使用得到的帳號的權(quán)限,他知道zone-h的模塊中有一個JCE編輯器,該JCE編輯器模塊的jce.php擁有''plugin" 和 "file''參數(shù)輸入變量遠(yuǎn)程文件包含漏洞(在包含文件時沒有進(jìn)行檢查請查看http://secunia.com/advisories/23160/ ).
由此攻擊者知道他終于可以使用這個漏洞執(zhí)行之前上傳的PHPSHELL:
- - [21/Dec/2006:23:23:15 +0200] "GET
/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
HTTP/1.0" 404 454
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
一段時間后:
- - [21/Dec/2006:23:23:59 +0200] "GET
/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
第六步,攻擊者這個漏洞執(zhí)行之前上傳的PHPSHELL建立了一個目錄(/var/www/cache/cacha),再建立一個新的SHELL(020.php),再建立一個自定義的.htaccess令到mod_security在該目錄失效.
第七步,攻擊者使用這個新建的PHPSHELL(沒有了mod_security的限制)修改configuration.php文件并嵌入 一個HTML的黑頁:
- - [22/Dec/2006:01:05:15 +0200] "POST
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
HTTP/1.0" 200 4781
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
Firefox/1.5.0.9"
好了,我們的過錯如下:
1.擁有一個SB人員連Hotmail XSS都不知道.
2.沒有找出上傳的SHELL.
3.沒有承認(rèn)JCE組件的勸告建議.
第一步,攻擊者決定以zone-h.org的一個擁有特別權(quán)限的為目標(biāo).(以下稱為''目標(biāo)'')
他對服務(wù)器發(fā)出了''我忘記密碼''的重設(shè)請求,這樣服務(wù)器會發(fā)對目標(biāo)發(fā)回一個email地址,Hotmail帳號和新密碼.
第二步,攻擊者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/pipermail/full-disclosure/2006-August/048645.html)得到目標(biāo)的Hotmail session cookie,然后進(jìn)入目標(biāo)的EMAIL,得到新的密碼.
第三步,攻擊者得到的目標(biāo)帳號擁有一個特權(quán)可以上傳新的論文和圖片,使用該特權(quán)他上傳了一個圖片格式的文件,可惜這個文件需要擁有管理權(quán)限的人審核批準(zhǔn)后才能公開看到,當(dāng)然,沒有被批準(zhǔn)公開.而且該目標(biāo)帳號被凍結(jié).
第四步,攻擊者知道他上傳的文件依然在ZONE-H的圖片文件沒有被刪除,他以www.zone-h.org/圖片文件/圖片名 的格式使得zone-h接受了并照了快照公開.
現(xiàn)在攻擊者成功上傳了文件并使得可以訪問。
第五步,在第一次的上傳攻擊者不單單是上傳了一個圖片文件,還上傳了一個PHPSHELL.可惜因為zone-h的安全策略使得不能執(zhí)行。
但是在之前攻擊者使用得到的帳號的權(quán)限,他知道zone-h的模塊中有一個JCE編輯器,該JCE編輯器模塊的jce.php擁有''plugin" 和 "file''參數(shù)輸入變量遠(yuǎn)程文件包含漏洞(在包含文件時沒有進(jìn)行檢查請查看http://secunia.com/advisories/23160/ ).
由此攻擊者知道他終于可以使用這個漏洞執(zhí)行之前上傳的PHPSHELL:
- - [21/Dec/2006:23:23:15 +0200] "GET
/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
HTTP/1.0" 404 454
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
一段時間后:
- - [21/Dec/2006:23:23:59 +0200] "GET
/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
第六步,攻擊者這個漏洞執(zhí)行之前上傳的PHPSHELL建立了一個目錄(/var/www/cache/cacha),再建立一個新的SHELL(020.php),再建立一個自定義的.htaccess令到mod_security在該目錄失效.
第七步,攻擊者使用這個新建的PHPSHELL(沒有了mod_security的限制)修改configuration.php文件并嵌入 一個HTML的黑頁:
- - [22/Dec/2006:01:05:15 +0200] "POST
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
HTTP/1.0" 200 4781
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
Firefox/1.5.0.9"
好了,我們的過錯如下:
1.擁有一個SB人員連Hotmail XSS都不知道.
2.沒有找出上傳的SHELL.
3.沒有承認(rèn)JCE組件的勸告建議.
中國北京時間2007年4月18日1：40分左右，著名黑客站點(diǎn)zone-h.org首頁被中國黑客替換（應(yīng)該是ARP欺騙，比如半個月前hack58.com就是被人這樣搞的~~）
【編輯推薦】
責(zé)任編輯：王文文
來源：
hi.baidu.com
