Zone-H被黑过程，在2006年12月22日被首次公开（PS：这个组织计划的真周到，花了5天，7个步骤才拿下Zone-H；Zone-H也真够倒霉的，被黑后还被D；另外如果是国内某个*.S.T的站被黑，估计又要开骂，别想知道到底怎么被黑的，但是Zone-H把内幕完全公开），原英文内容http://www.zone-h.org/content/view/14458/31/
. F% z/ O6 t1 @) e: r( {# x. e1 w) Z
大概翻译一下:
7 }3 |2 T- j9 d
1 j& ~) O" U9 p0 J$ F 攻击从12月17日开始......+ c; k2 `4 ? f6 A! b* p: Y, u
第一步,攻击者决定以zone-h.org的一个拥有特别权限的为目标.(以下称为''目标'')
" X! V1 ~, H) q0 D* a. m 他对服务器发出了''我忘记密码''的重设请求,这样服务器会发对目标发回一个email地址,Hotmail帐号和新密码., S4 `+ r! P) \
; J# e* o4 _9 l) A# G7 O
第二步,攻击者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/piperma ... -August/048645.html)得到目标的Hotmail session cookie,然后进入目标的EMAIL,得到新的密码.0 f9 w9 b% s# |' t0 v
. y# c+ ~% B# @
第三步,攻击者得到的目标帐号拥有一个特权可以上传新的论文和图片,使用该特权他上传了一个图片格式的文件,可惜这个文件需要拥有管理权限的人审核批准后才能公开看到,当然,没有被批准公开.而且该目标帐号被冻结.% e* H2 n! z( n7 g
3 T; O( x! m) g m' n0 t* Q 第四步,攻击者知道他上传的文件依然在ZONE-H的图片文件没有被删除,他以www.zone-h.org/图片文件/图片名 的格式使得zone-h接受了并照了快照公开.6 o6 w# M/ ?( t' V) I
, M/ v2 R. [7 T$ u 现在攻击者成功上传了文件并使得可以访问.
( I' Y3 U& L& A" F5 Z) j8 z2 i& U. C
第五步,在第一次的上传攻击者不单单是上传了一个图片文件,还上传了一个PHPSHELL.可惜因为zone-h的安全策略使得不能执行.
2 ^* t, D& C* h Q5 B* {
6 z! J# f; q/ J8 I( E 但是在之前攻击者使用得到的帐号的权限,他知道zone-h的模块中有一个JCE编辑器,该JCE编辑器模块的jce.php拥有''plugin" 和 "file''参数输入变量远程文件包含漏洞(在包含文件时没有进行检查请查看http://secunia.com/advisories/23160/ ).
1 s$ K& g* I3 z7 y: }* T6 t3 E7 I$ ` H% R7 I& ]
由此攻击者知道他终于可以使用这个漏洞执行之前上传的PHPSHELL:
Y9 ]' T2 {# B% e! W- - [21/Dec/2006:23:23:15 +0200] "GET
& D/ ]' b2 A1 z0 \' j8 u. J/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
$ W9 R6 T" F1 X, G5 k1 ^, gHTTP/1.0" 404 454 5 z4 m1 C" ]& I$ ^3 W* V: N
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
/ z P+ {% H0 f"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
& q j2 c1 ~" v( u6 i8 c复制代码9 { A4 Q* n- ^: H3 e9 P7 h2 a
一段时间后:3 ^' T$ o9 I2 K$ u6 ]3 x
- - [21/Dec/2006:23:23:59 +0200] "GET
$ F$ e1 k0 j: h2 c" }/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a 2 V; r2 `6 X N4 p4 x D
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
* n @, i" T& z2 X2 `5 h( i7 R* P) m' Q212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php - p/ e+ v2 o" {/ H, @
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" 7 X% X: w) ?0 A- X% z- i5 }
复制代码
' o" ]+ F) \3 \# { p第六步,攻击者这个漏洞执行之前上传的PHPSHELL建立了一个目录(/var/www/cache/cacha),再建立一个新的SHELL(020.php),再建立一个自定义的.htaccess令到mod_security在该目录失效.
' j. b- h; \+ m/ ?0 e$ {/ n1 I: {% x3 ~2 a
第七步,攻击者使用这个新建的PHPSHELL(没有了mod_security的限制)修改configuration.php文件并嵌入 一个HTML的黑页:
& {4 v2 v9 V: |& }0 a- - [22/Dec/2006:01:05:15 +0200] "POST 5 u4 }3 Z8 t; v! x, f. |3 ~5 e
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
9 C' p- ^4 b8 J* p9 P4 RHTTP/1.0" 200 4781 & _- ]' O. G1 Z1 n0 H, p
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
# k0 X. {# m: q0 X2 x1 L"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206 2 |, v! ~2 ]$ h- L; J
Firefox/1.5.0.9" 5 k# b! | e7 h; K4 _
复制代码. _2 v& ? p& N5 n9 p
好了,我们的过错如下:4 D9 v; q6 s8 K- t7 s t
1.拥有一个SB人员连Hotmail XSS都不知道.
- i1 q% C' b: k$ z3 v5 ?, O 2.没有找出上传的SHELL.! r# }4 R: K% y) Q
3.没有承认JCE组件的劝告建议.( @# u D0 `' s/ n
5 q& U2 d5 [8 a" |& F% ^; u
中国北京时间2007年4月18日1：40分左右，著名黑客站点zone-h.org首页被中国黑客替换
% F) t+ _6 _+ b( Y8 Z" j, o |
发表于 2012-9-5 15:06:43
收藏
支持
反对