Nemilým překvapením pro řadu lidí se mohl stát dnešní útok hackerů na stránky Dnů evropského dědictví, kde se měly nalézat podrobné informace o přístupných památkách včetně interaktivní mapy.
Stránky www.ehd.cz s katalogem památek napadli hackeři podle svých slov z toho důvodu, aby poukázali na nedostatečné zabezpečení serveru. Jejich akce byla načasována tak, aby upoutala co největší pozornost, neboť právě o tomto víkendu je veřejnosti otevřeno nejvíce památek a dá se proto očekávat, že se na stránky bude snažit dostat velké množství lidí.
Otázkou tedy je, jak dlouho bude trvat administrátorům náprava a jak se z této situace poučí. Následuje text vložený hackery na stránky ehd.cz, který objasňuje jejich motiv:
Hacked by n00bz 2008 ^.-
Pánové admini, jste opravdu totální lamy. Větší bordel na serveru jsem ještě neviděl. Ok, je fajn dávat každému zákazníkovi svého uživatele na server, ale také sakra musíte počítat s tím, že je to riziko! Když k tomu připočítám ještě fakt, že ani ubohý open_basedir v PHP vám naprosto nic neříká... vážně chcete vědět, jak jsme to udělali?
Ok, my nejsme zlí... sami toho spoustu adminujeme, sami jsme se stali oběti útoků od daleko horších šmejdů... takže vám řekneme, co je tady špatně. Stačí najít web se souborem download.php přijímající parametr na download souboru - třeba /etc/passwd. Pak není problém prozkoumat seznam uživatelů a natrefit na takového, který má jméno své homedir jako heslo - vážně stupidní :D Nakonec stačí omrknout uname a ověřit si tak, že admini neznají bezpečnostní aktualizace a pravděpodobně se k nim nedostala ani zpráva o nedávném odhalení kritické chyby ve volání vmsplice() v Linuxovém jádře. Jelikož je kód exploitu volně dostupný a na serveru nainstalované gcc, již nám nic nebránilo k převzetí absolutní moci :)
Nebudeme škodit, nemáme to v úmyslu. Jedinou škodu, kterou vám takto způsobíme, je tahle malá úprava apache, protože pochybujeme, že byste si naší infiltrace vůbec jinak všimli. Když vám takhle bude volat jeden zákazník za druhým, bude to dostatečně motivující pro snahu o řešení této prekérní situace? Uvidíme... hodně štěstí při lama adminování ;]
n00bz 2008 ^.-
PŘEDPLATNÉ
ČLÁNKY DO MAILU