Zone-H被黑过程，在2006年12月22日被首次公开（PS：这个组织计划的真周到，花了5天，7个步骤才拿下Zone-H；Zone-H也真够倒霉的，被黑后还被D；另外如果是国内某个*.S.T的站被黑，估计又要开骂，别想知道到底怎么被黑的，但是Zone-H把内幕完全公开），原英文内容http://www.zone-h.org/content/view/14458/31/
. p4 s( g8 T6 F6 L, r: O' U% L1 H% x+ Z5 Z8 r6 ~
大概翻译一下:
/ [( z; n7 O' l- ~; Z+ ^/ l# l
1 |# ?1 m' ~5 S" i0 Z' n 攻击从12月17日开始....... C3 p! C# p" c
第一步,攻击者决定以zone-h.org的一个拥有特别权限的为目标.(以下称为''目标'')
- A# }# Q, F" S: I$ [" c' ^ 他对服务器发出了''我忘记密码''的重设请求,这样服务器会发对目标发回一个email地址,Hotmail帐号和新密码.
! s2 R/ n$ P1 H% n W: [' h5 w
' }2 j4 v4 _+ c; ~/ e" n; q 第二步,攻击者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/piperma ... -August/048645.html)得到目标的Hotmail session cookie,然后进入目标的EMAIL,得到新的密码.# C6 ?- b0 \4 d6 x0 f, |$ A
5 n/ M {, R( d7 p" E5 J. Y
第三步,攻击者得到的目标帐号拥有一个特权可以上传新的论文和图片,使用该特权他上传了一个图片格式的文件,可惜这个文件需要拥有管理权限的人审核批准后才能公开看到,当然,没有被批准公开.而且该目标帐号被冻结.( b$ @# E: A" u5 h, E5 z: L
9 z& |/ ~/ ?2 m; |, j 第四步,攻击者知道他上传的文件依然在ZONE-H的图片文件没有被删除,他以www.zone-h.org/图片文件/图片名 的格式使得zone-h接受了并照了快照公开./ k% Z7 V$ y3 b# [5 X& {, h8 h
2 J0 I4 y p- N 现在攻击者成功上传了文件并使得可以访问.! w7 _5 [$ A. _! T1 T S9 c0 O
0 z6 v5 A" K+ G 第五步,在第一次的上传攻击者不单单是上传了一个图片文件,还上传了一个PHPSHELL.可惜因为zone-h的安全策略使得不能执行.
0 V' }5 S* D M( f6 O v- L6 p+ {2 N* t6 p" {+ x; `; R
但是在之前攻击者使用得到的帐号的权限,他知道zone-h的模块中有一个JCE编辑器,该JCE编辑器模块的jce.php拥有''plugin" 和 "file''参数输入变量远程文件包含漏洞(在包含文件时没有进行检查请查看http://secunia.com/advisories/23160/ ).* c( { i# v$ s. b n3 o- \# c4 N8 ^
; v; j( K4 l% A
由此攻击者知道他终于可以使用这个漏洞执行之前上传的PHPSHELL:
! D5 C+ M* ?, O9 R) I- - [21/Dec/2006:23:23:15 +0200] "GET
) N+ l, }% u6 W1 N/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
/ ?% ~4 |( j. q/ m' DHTTP/1.0" 404 454
3 [ i9 f; s: ~"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a" ' Y& {& B7 s5 Z" i6 |
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" : ~. n. }1 r/ e1 f
复制代码
2 S! {! _" N: u) W, x& Z一段时间后:
" D, L$ t& f, B2 e- - [21/Dec/2006:23:23:59 +0200] "GET $ _/ w, d- }9 [" {9 F0 _
/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a 5 T" _ m! e1 J+ b& f) H1 x" L
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" 7 H, D: A/ n6 a; y _, q. T# v( G% J
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php 0 {5 V( T# B) [) s. t
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
5 W# @( u% @3 I复制代码
3 _1 p7 A( K9 n9 E, b+ H, Q9 d+ n第六步,攻击者这个漏洞执行之前上传的PHPSHELL建立了一个目录(/var/www/cache/cacha),再建立一个新的SHELL(020.php),再建立一个自定义的.htaccess令到mod_security在该目录失效.
) F# w: @; [/ a( e v/ }! _- n, N, h( n7 s7 G
第七步,攻击者使用这个新建的PHPSHELL(没有了mod_security的限制)修改configuration.php文件并嵌入 一个HTML的黑页:% w$ B5 s: r* ?: a! [/ e
- - [22/Dec/2006:01:05:15 +0200] "POST ) W0 I9 e" ?2 Q; i
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F : \6 r! p) B& r4 ~+ c: j) z# Z* p* T
HTTP/1.0" 200 4781 ; q' B0 _3 B9 Y) D9 f) T
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F" 6 V- B- C. Z% w9 c* w
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
) N3 z6 a: \! e3 v: o: BFirefox/1.5.0.9"
) N# _: ^# o1 R2 `+ q* R0 G复制代码
8 e, S* Z) R2 n0 v- Q好了,我们的过错如下:
0 v9 U: G% I9 e# T4 l% g 1.拥有一个SB人员连Hotmail XSS都不知道.& o5 h' ]- i; t2 S8 t# M( N! b" {
2.没有找出上传的SHELL.
9 M7 f# h7 C$ i4 v 3.没有承认JCE组件的劝告建议.6 t/ o% {* m6 F' d% C
/ R6 l. t# J- ~/ b+ W
中国北京时间2007年4月18日1：40分左右，著名黑客站点zone-h.org首页被中国黑客替换5 r/ H1 z, J( E4 J) S" ]$ Q
|
发表于 2012-9-5 15:06:43
收藏
支持
反对