Zone-H被黑过程，在2006年12月22日被首次公开（PS：这个组织计划的真周到，花了5天，7个步骤才拿下Zone-H；Zone-H也真够倒霉的，被黑后还被D；另外如果是国内某个*.S.T的站被黑，估计又要开骂，别想知道到底怎么被黑的，但是Zone-H把内幕完全公开），原英文内容http://www.zone-h.org/content/view/14458/31/9 Z2 A9 V! [ E) }
6 d: g: e& m9 V9 T) l) K 大概翻译一下:
% M. Y9 V5 q# `' V " A2 M& j8 H2 F5 q Y, u/ e
攻击从12月17日开始......$ l. \- M/ d, V" b
第一步,攻击者决定以zone-h.org的一个拥有特别权限的为目标.(以下称为''目标'')% d6 g, j4 e7 t; u" } R9 h
他对服务器发出了''我忘记密码''的重设请求,这样服务器会发对目标发回一个email地址,Hotmail帐号和新密码./ t$ Y9 S- U) v
4 L6 V$ { S( Y5 n i l( }' P
第二步,攻击者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/piperma ... -August/048645.html)得到目标的Hotmail session cookie,然后进入目标的EMAIL,得到新的密码.
; R/ f& P2 G- E4 C, I5 I8 e! X4 l( E! A! ^
第三步,攻击者得到的目标帐号拥有一个特权可以上传新的论文和图片,使用该特权他上传了一个图片格式的文件,可惜这个文件需要拥有管理权限的人审核批准后才能公开看到,当然,没有被批准公开.而且该目标帐号被冻结.# P5 p8 r' q% S
7 H, n* {: | O7 V 第四步,攻击者知道他上传的文件依然在ZONE-H的图片文件没有被删除,他以www.zone-h.org/图片文件/图片名 的格式使得zone-h接受了并照了快照公开.9 C4 C1 k' ^3 J0 k2 C3 h' b/ S7 @
9 ~& ]4 ~$ U. z3 P5 Y
现在攻击者成功上传了文件并使得可以访问.
5 ]2 g% |4 y x' {; g8 {6 J* _7 a4 Y/ d' V/ w( P
第五步,在第一次的上传攻击者不单单是上传了一个图片文件,还上传了一个PHPSHELL.可惜因为zone-h的安全策略使得不能执行.: p: O: E7 }- W( `3 H
# s Z- ^- a3 n) ~, | S: Q
但是在之前攻击者使用得到的帐号的权限,他知道zone-h的模块中有一个JCE编辑器,该JCE编辑器模块的jce.php拥有''plugin" 和 "file''参数输入变量远程文件包含漏洞(在包含文件时没有进行检查请查看http://secunia.com/advisories/23160/ ).% K6 }+ D: A1 g
; z5 K( m/ d% a! D3 J. a7 J: h' X; |5 | 由此攻击者知道他终于可以使用这个漏洞执行之前上传的PHPSHELL:
- g8 n; s+ G9 V6 s1 O7 H- z( ]) T: @/ m- - [21/Dec/2006:23:23:15 +0200] "GET
. l5 J* i7 \8 H. P8 g1 A/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
; N! f) ?; V9 \HTTP/1.0" 404 454 7 D8 z% _2 t( O% g6 b2 t2 M
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a" 0 r6 P, l+ N3 ^% ]" Y4 G/ e) s
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" ! h# L4 w3 x1 w' l5 b6 L* p
复制代码0 d1 C$ r7 g' c! A2 f, w o n& z
一段时间后:
8 V* |# D8 o& c2 o1 T- - [21/Dec/2006:23:23:59 +0200] "GET
5 z1 g2 |' {, f/ R, m7 w/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
2 I- [; @; f, T4 d$ f3 [/ `HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" 7 `( R# ]/ }5 R A3 Q* K
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php 6 _4 ]( v* ^& Z) ^
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" 5 R$ L4 z6 n! O9 V. z
复制代码
{9 ^( q# J( N- D f第六步,攻击者这个漏洞执行之前上传的PHPSHELL建立了一个目录(/var/www/cache/cacha),再建立一个新的SHELL(020.php),再建立一个自定义的.htaccess令到mod_security在该目录失效.
" G( l( ?% e2 H6 X Y; |- m" [4 Z" |" N
第七步,攻击者使用这个新建的PHPSHELL(没有了mod_security的限制)修改configuration.php文件并嵌入 一个HTML的黑页:. z1 [. \) N1 A+ ?8 }
- - [22/Dec/2006:01:05:15 +0200] "POST
' s6 y+ b a9 |' x1 l- B b/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
8 D( ~* N. |! CHTTP/1.0" 200 4781 * a' \& t" j. |; E* ?; w. V
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F" 8 t3 j+ b8 p/ T* R0 O1 h
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
4 x5 S1 z8 K* ]6 U9 c, S& KFirefox/1.5.0.9"
7 \) [; R2 K8 l7 z复制代码
+ `2 A3 [( ]( v& ]8 h好了,我们的过错如下:
! k2 m* k* R2 G- X2 T" X3 D 1.拥有一个SB人员连Hotmail XSS都不知道.6 _1 o8 j$ w# C. s2 ^4 F
2.没有找出上传的SHELL.
5 ?7 Y, K! s- W 3.没有承认JCE组件的劝告建议.% ?/ ^) z5 J6 p3 u; `* s
( v7 P g! M/ l ~7 a( ` 中国北京时间2007年4月18日1：40分左右，著名黑客站点zone-h.org首页被中国黑客替换
/ k, [; f9 k+ O6 t9 p |
发表于 2012-9-5 15:06:43
收藏
支持
反对