Содержание статьи
Теплым летним вечером мне пришло сообщение о том, что в одной радиокомпании проводиться кастинг интернет-диджеев
и приглашение принять в нем участие. Я и мой знакомый (который и прислал мне сообщение) пошли на этот кастинг ради денег, ведь 2-3 часа в эфире и общения по
icq за 400$ еще никакому студенту не повредили. Там
посмотрели наше поведение в эфире, дикцию...
В общем, мы не прошли ;). Разочарованные, мы удалились со студии восвояси. Несколько дней мы обсуждали фигов кастинг, слушали это радио и, как могли, находили минусы в работе новых диджеев. Вся фишка радиостанции, куда пробовались мы с друганом, заключалась в том, что DJ работает в режиме online, и общается (опять же
online) со слушателями через icq.
Для начала я зафлудил аську одного из диджеев (для флуда использовался небезызвестный
Imtale). В этот момент
кореш сумел заразить ПК одного из диджеев новым формграбером. Как только мы не стебались над диджеями... Даже звонили голосом Путина через
Skype в студию %). Но мне всего было мало, хотелось стать настоящим диджеем и порулить эфиром... И тут
мне пришла просто гениальная идея - захватить эфир (ведь для нас,
взломщиков, нет никаких преград, есть только препятствия)!
Действуя по довольно стандартному алгоритму, я запустил на удаленной машине nmap. Пока я варил кофе, сканер выдал свои
результаты:
(The 65432 ports scanned but not shown below are in state: closed)
Port State Service
80/tcp open http
199/tcp open SMUX
1022/tcp open ssh
8000/tcp
8001/tcp
8899/tcp
9015/tcp open http
Remote operating system guess: FreeBSD
Как видим, тачка незафаерволена, это, безусловно, плюс. Обдумав результаты сканирования, я загрузил данную радиостанцию у себя в винамп. Для того чтобы проигрывать потоковое аудио, лучшему в мире проигрывателю не требуется ничего, кроме файла listen.pls. Этот "чудо-файл" содержит в себе следующую информацию:
NumberOfEntries=1
File1=http://111.111.111.111:8000/
Теперь мне стало совершенно ясно, что под портом 8000 идет трансляция. Также в Winamp я узрел "MP3 Stream Info Box". Глянув внутрь этого файла ,
ты увидишь своеобразный отчет обо всем, что происходит на 8000 порту. Подумав, что винамп может многое
скрывать, ваш покорный слуга установил на удаленный дедик
SSS (Shadow Security Scaner) и просканил этот порт. Результат можете лицезреть сами:
ICY 200 OK
icy-notice1:
This stream requires Winamp
" target="_default">href="http://www.winamp.com/">Winamp
icy-notice2:SHOUTcast Distributed Network Audio Server/FreeBSD v1.9.7<BR>
icy-name:xxxxx.ru: DJ Z :: icq 11111111
icy-genre:Mix
icy-url:http://xxxxxx.ru
content-type:audio/mpeg
icy-pub:1
icy-br:32
Тут мы можем усмотреть ту же информацию, что и в Stream Info Box , но достаточно
расширенную. Как ты уже понял, под 8000 портом скрывается сервис под названием
SHOUTcast.
Именно на этом ПО крутилась радиостанция...
Версия SHOUTcast 1.9.7 была прочекана на
уязвимости. К сожалению, ничего существенного обнаружено не было. Дальше в окне браузера замелькала страница официального сайта
http://shoutcast.com/. Скачав себе нужные плагины и скрипты, я наскоро просмотрел их. В моей уставшей голове крутились мысли о том, как найти путь к сердцу радио-сервера. В
то время я просто-напросто хотел забить на взлом, так бы и сделал обычный скрипткидис... Но как ты понимаешь (ты ведь не танкист
;), если бы автор данного материала забил на взлом, ниже не было бы текста, да и вообще этой статьи.
На 80 порту сервера ничего не крутилось, точнее, крутился апач:
Apache/1.3.34 (Unix) mod_deflate/1.0.21 rus/PL30.22. Как ты
понимаешь, там ловить было нечего (если ты скажешь - КАК ЖЕ!!!, ведь есть сплоит, непременно стучи ко мне в icq, я приобрету этот сплоит
;). Как видно из отчетов nmap, на сервере крутился еще один http-сервис. Заменив
80 на 9015 порт, ваш покорный слуга перенесся на странную страницу. В этой html-паге был следующий текст:
HACK DETECTED, BAD REQUEST
CHAT DAEMON
EMAIL: 1@1.net
WWW: bla.bla.ru
Как видишь, я был послан на два слова : Hack
Detected. Скорее всего это был фейк, да и сердце согревало то, что в недра моего браузера был
вбит хороший анонимный прокс. Промаявшись без толку
еще полчаса, я решил,
что утро вечера мудренее ;))). Оказалось, что так оно и есть
;).
На следующий день первым делом я опять глянул отчеты SSS.
Немного пораскинув мозгами, я решил найти админку... Внутренний голос подсказывал -
админ управляет сервером через веб. И искать
надо, как мне подсказывало чутье, не на 80-м, а на 9015 порту. Поиск в гугл (site:ip_nashego_radio) ничего не дал. Ручками искать админку не хотелось. Как всегда, на помощь пришел любимый мною сканер
Nikto.
Прошло несколько минут, и я увидел то, что хотел - /adm/.
Зайдя по адресу http://111.111.111.111:9015/adm/ я и
обнаружил админку (УРА!). Как стало ясно - админка самописная. Но своими видом она мне чем-то напоминала webmin. В самом внизу красовался e-mail админа на yandex.ru.
Что делать дальше? Теперь мне было необходимо найти
брутфорс для админки. Либо брутить мыло на yandex через
Brutus и надеяться, что админ настолько туп, что юзает везде одинаковые пароли.
Да еще и http-порт был не 80, а 9015... Конечно, в такой ситуации можно использовать перенаправление и т.п. Но не лучше ли было найти хороший скрипт, в
котором можно было бы добавить свои параметры? Постукав в аське к знакомым,
я нашел скрипт следующего содержания:
#!/usr/bin/perl
use MIME::Base64;
use IO::Socket;
use POSIX;
$server="234.234.234.234";
$port="9015";
$dir="/admins";
$logfile="sucess.log";
$log="1.log"
$words="passs.txt";
$user="admin";
$i=0;
foreach $pass (@data) {
$i++;
chomp($pass);
open(file, ">$log") or die print "$!\n";
$perc=($i*100)/$total;
$perc=ceil($perc);
print file "$perc\% Done\t$i of $total\t\tNow: $user\:$pass\n";
close file;
$auth=encode_base64("$user\:$pass");
chomp($auth);
$socket=IO::Socket::INET->new( PeerAddr =$server,
PeerPort =$port,
Photo =tcp)
or die print "Unable to connect to $server:$port\n";
print $socket "GET $dir HTTP/1.1\n";
print $socket "Host: $server\n";
print $socket "Accept: */*\n";
print $socket "Referer: http://support.microsoft.com/\n";
print $socket "User-Agent: Internet Explorer 6.0\n";
print $socket "Pragma: no-cache\n";
print $socket "Cache-Control: no-cache\n";
print $socket "Authorization: Basic $auth\n";
print $socket "Connection: close\n\n";
$ans=<$socket>;
if ($ans=~/200 Ok/i) {
open(logf, ">>$logfile") or die print "$!\n";
print logf "$user:$pass is OK!!!\n";
close logf;
exit 0;
}
}
Хочется сказать респект авторам данного детища. Добавив к скрипту словарь для брута, я запустил скрипт. Результат меня просто ошеломил! Пароль был подобран за 20 минут и был "мегапуперсложным" -
seksy!
Внутри сервера
В админке я получил нечто типа веб-шелла. Тут было даже выполнение команд. Проверив свои права, я понял, что мне дана группа
wheel. Действительно, зачем запускать апач и админку под www или
nobody... Однако скоро стало ясно, что просто так бастионы фряхи не рухнут.
Хотя и было видно, как админ наплевательски относится к своей работе - были замечены конфиги программ, какие-то скрипты, брошенные в корне, и т.п. Но если ОС
семейства BSD, то она даже под руководством неграмотного админа будет держаться очень долго - ведь ядро было из стабильной ветки.
Захват эфира!
Моих прав хватало на то, чтобы с лихвой перемещаться по каталогам и даже редактировать файлы. Скачав себе на машину идентичную версию SHOUTCast для FreeBSD, я стал разбираться со скриптами. Через 5 минут работы
я уже знал, что SHOUTcast все свои конфиденциальные данные хранит в файлике под названием sc_serv.ini. Открыв этот файл на сервере, я увидел следующее:
PortBase - порт, на котором будет работать сервер;
MaxUser - максимальное количество пользователей, одновременно слушающих вашу радиостанцию;
Password - пароль для удаленного администрирования (вот
это мне и было нужно).
Бережно записав пароль в блокнот, я начал
думать о замене потокового аудио. После
прочтения нескольких доков по этому вопросу через пару часов был найден оптимальный вариант.
Для удаленного администрирования и т.п. используется обычный
WinAMP, усиленный плагинами от SHOUcast. Поставить их и настроить у меня особого труда не вызвало - в конфигурации плагина
в поле Address указываем адрес компьютера, на котором установлен сервер. Если он находится на этом же ПК, то Localhost или 127.0.0.1. В моем случае туда вписал удаленный сервер. В полях Port и Password указываем то, что написано в sc_serv.ini на удаленном сервере. Вот, в принципе, и все, уже сейчас я мог без проблем подключиться в эфир и болтать всякую чухню. Но как охота, чтобы везде отражались заветные слова - Радиостанция захвачена внеземными цивилизациями...
Чтобы сотворить такое чудо, я проделал следующие действия.
В настройках плагина в закладке Input указывается то, что собираемся передавать в эфир. Если только музыку, то в выпадающем списке оставляем Winamp, в противном случае указываем Soundcard Input, при этом станут доступны следующие параметры и кнопки:
Open Mixer - открывает окно стандартного системного микшера;
Push to Talk - позволяет передавать в эфир голос с микрофона, не прерывая при этом музыку;
Lock - активирует "залипание" Push to Talk;
Music Level, BG Music Level, Mic Level, Fade Time - ползунки, задающие уровни громкости музыки, фоновой музыки при работе микрофона, громкости микрофона и скорость затухания...
В общем, все, что нужно. Коннектимся… И вот мы в эфире!
INFO
Как всегда, до особо горячих парней хочется донести ценную инфу - не шути с УК РФ,
с ним шутки плохи ;).
