著名國際黑客站點zone-h.org被黑事件
作者：xcrypt
Zone-H被黑過程，在2006年12月22日被首次公開（PS：這個組織計劃的真周到，花了5天，7個步驟才拿下Zone-H；Zone-H也真夠倒霉的，被黑后還被D；另外如果是國內某個*.S.T的站被黑，估計又要開罵，別想知道到底怎么被黑的，但是Zone-H把內幕完全公開）。
Zone-H被黑過程，在2006年12月22日被首次公開（PS：這個組織計劃的真周到，花了5天，7個步驟才拿下Zone-H；Zone-H也真夠倒霉的，被黑后還被D；另外如果是國內某個*.S.T的站被黑，估計又要開罵，別想知道到底怎么被黑的，但是Zone-H把內幕完全公開），原英文內容http://www.zone-h.org/content/view/14458/31/
大概翻譯一下：
攻擊從12月17日開始……
第一步,攻擊者決定以zone-h.org的一個擁有特別權限的為目標.(以下稱為''目標'')
他對服務器發出了''我忘記密碼''的重設請求,這樣服務器會發對目標發回一個email地址,Hotmail帳號和新密碼.
第二步,攻擊者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/pipermail/full-disclosure/2006-August/048645.html)得到目標的Hotmail session cookie,然后進入目標的EMAIL,得到新的密碼.
第三步,攻擊者得到的目標帳號擁有一個特權可以上傳新的論文和圖片,使用該特權他上傳了一個圖片格式的文件,可惜這個文件需要擁有管理權限的人審核批準后才能公開看到,當然,沒有被批準公開.而且該目標帳號被凍結.
第四步,攻擊者知道他上傳的文件依然在ZONE-H的圖片文件沒有被刪除,他以www.zone-h.org/圖片文件/圖片名 的格式使得zone-h接受了并照了快照公開.
現在攻擊者成功上傳了文件并使得可以訪問。
第五步,在第一次的上傳攻擊者不單單是上傳了一個圖片文件,還上傳了一個PHPSHELL.可惜因為zone-h的安全策略使得不能執行。
但是在之前攻擊者使用得到的帳號的權限,他知道zone-h的模塊中有一個JCE編輯器,該JCE編輯器模塊的jce.php擁有''plugin" 和 "file''參數輸入變量遠程文件包含漏洞(在包含文件時沒有進行檢查請查看http://secunia.com/advisories/23160/ ).
由此攻擊者知道他終于可以使用這個漏洞執行之前上傳的PHPSHELL:
- - [21/Dec/2006:23:23:15 +0200] "GET
/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
HTTP/1.0" 404 454
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
一段時間后:
- - [21/Dec/2006:23:23:59 +0200] "GET
/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
第六步,攻擊者這個漏洞執行之前上傳的PHPSHELL建立了一個目錄(/var/www/cache/cacha),再建立一個新的SHELL(020.php),再建立一個自定義的.htaccess令到mod_security在該目錄失效.
第七步,攻擊者使用這個新建的PHPSHELL(沒有了mod_security的限制)修改configuration.php文件并嵌入 一個HTML的黑頁:
- - [22/Dec/2006:01:05:15 +0200] "POST
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
HTTP/1.0" 200 4781
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
Firefox/1.5.0.9"
好了,我們的過錯如下:
1.擁有一個SB人員連Hotmail XSS都不知道.
2.沒有找出上傳的SHELL.
3.沒有承認JCE組件的勸告建議.
第一步,攻擊者決定以zone-h.org的一個擁有特別權限的為目標.(以下稱為''目標'')
他對服務器發出了''我忘記密碼''的重設請求,這樣服務器會發對目標發回一個email地址,Hotmail帳號和新密碼.
第二步,攻擊者使用Hotmail的XSS漏洞(查看http://lists.grok.org.uk/pipermail/full-disclosure/2006-August/048645.html)得到目標的Hotmail session cookie,然后進入目標的EMAIL,得到新的密碼.
第三步,攻擊者得到的目標帳號擁有一個特權可以上傳新的論文和圖片,使用該特權他上傳了一個圖片格式的文件,可惜這個文件需要擁有管理權限的人審核批準后才能公開看到,當然,沒有被批準公開.而且該目標帳號被凍結.
第四步,攻擊者知道他上傳的文件依然在ZONE-H的圖片文件沒有被刪除,他以www.zone-h.org/圖片文件/圖片名 的格式使得zone-h接受了并照了快照公開.
現在攻擊者成功上傳了文件并使得可以訪問。
第五步,在第一次的上傳攻擊者不單單是上傳了一個圖片文件,還上傳了一個PHPSHELL.可惜因為zone-h的安全策略使得不能執行。
但是在之前攻擊者使用得到的帳號的權限,他知道zone-h的模塊中有一個JCE編輯器,該JCE編輯器模塊的jce.php擁有''plugin" 和 "file''參數輸入變量遠程文件包含漏洞(在包含文件時沒有進行檢查請查看http://secunia.com/advisories/23160/ ).
由此攻擊者知道他終于可以使用這個漏洞執行之前上傳的PHPSHELL:
- - [21/Dec/2006:23:23:15 +0200] "GET
/index2.php?act=img&img=ext_cache_94afbfb2f291e0bf253fcf222e9d238e_87b12a3d14f4b97bc1b3cb0ea59fc67a
HTTP/1.0" 404 454
"http://www.zone-h.org/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&file=defi1_eng.php.wmv&act=ls&d=/var/www/cache/&sort=0a"
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
一段時間后:
- - [21/Dec/2006:23:23:59 +0200] "GET
/index2.php?option=com_jce&no_html=1&task=plugin&plugin=..<>/<...&act=ls&d=/var/www/cache/cacha/&sort=0a
HTTP/1.0" 200 3411 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
212.138.64.176 - - [21/Dec/2006:23:25:03 +0200] "GET /cache/cacha/020.php
HTTP/1.0" 200 4512 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.0.3705)"
第六步,攻擊者這個漏洞執行之前上傳的PHPSHELL建立了一個目錄(/var/www/cache/cacha),再建立一個新的SHELL(020.php),再建立一個自定義的.htaccess令到mod_security在該目錄失效.
第七步,攻擊者使用這個新建的PHPSHELL(沒有了mod_security的限制)修改configuration.php文件并嵌入 一個HTML的黑頁:
- - [22/Dec/2006:01:05:15 +0200] "POST
/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F
HTTP/1.0" 200 4781
"http://www.zone-h.org/cache/cacha/020.php?act=f&f=configuration.php&ft=edit&d=%2Fvar%2Fwww%2F"
"Mozilla/5.0 (Windows; U; Windows NT 5.1; ar; rv:1.8.0.9) Gecko/20061206
Firefox/1.5.0.9"
好了,我們的過錯如下:
1.擁有一個SB人員連Hotmail XSS都不知道.
2.沒有找出上傳的SHELL.
3.沒有承認JCE組件的勸告建議.
中國北京時間2007年4月18日1：40分左右，著名黑客站點zone-h.org首頁被中國黑客替換（應該是ARP欺騙，比如半個月前hack58.com就是被人這樣搞的~~）
【編輯推薦】
責任編輯：王文文
來源：
hi.baidu.com
