Zone-H被黑过程，在2006年12月22日被首次公开（PS：这个组织计划的真周到，花了5天，7个步骤才拿下Zone-H；Zone-H也真够倒霉的，被黑后还被D；另外如果是国内某个*.S.T的站被黑，估计又要开骂，别想知道到底怎么被黑的，但是Zone-H把内幕完全公开），原英文内容http://www.zone-h.org/content/view/14458/31/
# R+ S9 ], t! t& D: J: D3 |& Q7 G+ j9 t3 p0 I8 z( K
大概翻译一下:$ B8 w$ X6 ~. {7 I# m1 @
' r& L3 U. ^ w
攻击从12月17日开始......5 e7 ?, s# j. B) D! b! W& G7 d) F" `
第一步,攻击者决定以zone-h.org的一个拥有特别权限的为目标.(以下称为''目标'')
B1 R8 Q% v( X% c- y( e, ~ 他对服务器发出了''我忘记密码''的重设请求,这样服务器会发对目标发回一个email地址,Hotmail帐号和新密码.
: v+ |8 K) W. ?- |8 @+ k1 `0 i! B- g% V4 E( Q6 h' H) Z
第二步,攻击者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/piperma ... -August/048645.html)得到目标的Hotmail session cookie,然后进入目标的EMAIL,得到新的密码.$ Q7 U6 c. M3 ]0 ]
& e$ q* V" s; a
第三步,攻击者得到的目标帐号拥有一个特权可以上传新的论文和图片,使用该特权他上传了一个图片格式的文件,可惜这个文件需要拥有管理权限的人审核批准后才能公开看到,当然,没有被批准公开.而且该目标帐号被冻结.; D- }; N# | c/ x3 {5 c
( x6 |9 K T1 N. y5 w
第四步,攻击者知道他上传的文件依然在ZONE-H的图片文件没有被删除,他以www.zone-h.org/图片文件/图片名 的格式使得zone-h接受了并照了快照公开.4 z$ e! M2 B, C3 V8 ^$ ]
9 n d4 T4 a2 Q& E8 F1 W8 q: p, J# O 现在攻击者成功上传了文件并使得可以访问.% ?5 d6 A' t7 s$ i4 J6 N0 w1 ?
+ }; X, M. \/ e 第五步,在第一次的上传攻击者不单单是上传了一个图片文件,还上传了一个PHPSHELL.可惜因为zone-h的安全策略使得不能执行.
2 a K( n2 C8 r; ^$ m0 d$ K4 X0 u
但是在之前攻击者使用得到的帐号的权限,他知道zone-h的模块中有一个JCE编辑器,该JCE编辑器模块的jce.php拥有''plugin" 和 "file''参数输入变量远程文件包含漏洞(在包含文件时没有进行检查请查看http://secunia.com/advisories/23160/ ).
( V& D* |; ]& ^# X9 m; {1 W. G) h
6 z4 _+ t0 h: B6 `$ l 由此攻击者知道他终于可以使用这个漏洞执行之前上传的PHPSHELL:
' L2 F/ A( _2 _; H- - [21/Dec/2006:23:23:15 +0200] "GET
# O% j( {9 U4 d2 e/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
2 Z8 k0 N% h% J5 p' \HTTP/1.0" 404 454
" E7 f1 Z' a& _: t+ ]* t"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
6 M' [: [3 k/ G3 \"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" " B" u4 y% k. E+ k1 t/ P
复制代码# |0 Z0 q( {' B9 a# K
一段时间后:
5 J3 O; g. k7 z4 Z6 W* e- - [21/Dec/2006:23:23:59 +0200] "GET
& c; ?7 O: S8 e" Y1 E/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
# m9 h" Z8 I8 l2 |& o- LHTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
# X+ x% v, k" b3 l6 \) D# K212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php 7 E" C$ x$ H: i. K8 P- W; G% J
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)" 3 i; [. n: K5 S5 K4 X X
复制代码$ p2 `% e2 j+ @1 ?5 U, V$ i% @
第六步,攻击者这个漏洞执行之前上传的PHPSHELL建立了一个目录(/var/www/cache/cacha),再建立一个新的SHELL(020.php),再建立一个自定义的.htaccess令到mod_security在该目录失效.
1 i) Q* B, R3 y! S2 o, i9 J$ ]! o) X
第七步,攻击者使用这个新建的PHPSHELL(没有了mod_security的限制)修改configuration.php文件并嵌入 一个HTML的黑页:
* Z( l( X' P, A6 ~5 j& D! Q1 S. k- {- - [22/Dec/2006:01:05:15 +0200] "POST
" f+ l4 P% G s1 t/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
i, l) m' {) N4 F* lHTTP/1.0" 200 4781
, N' C- R6 z& f8 z"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
$ Q8 v3 n) N# E; K) k+ u"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206 * j9 {0 }7 y- z- J# j# p
Firefox/1.5.0.9"
) a* H; W) i5 Y! Q; `复制代码; P& J' @9 ?+ Z3 A1 f! O4 _
好了,我们的过错如下:8 Q& H& S7 ]2 ^8 u3 o
1.拥有一个SB人员连Hotmail XSS都不知道.7 A5 n$ {, h9 t, t9 W
2.没有找出上传的SHELL.
: g7 \6 Q, d9 ^3 r5 t 3.没有承认JCE组件的劝告建议.' ]) Q; X* L* O! Q _% i% s5 K
' ]* j( G, F! A" @% z% C- c( X
中国北京时间2007年4月18日1：40分左右，著名黑客站点zone-h.org首页被中国黑客替换
+ u. X' \$ V. M |
发表于 2012-9-5 15:06:43
收藏
支持
反对