Как это бывает на самом деле

Master-lame-master

Xakep, номер #052, стр. 052-046-4

Праздник - 1 мая!

Когда прошла радостная эйфория, взломщик глянул на часы и смекнул, что завтра первое мая, а значит, самое время устроить этому хостингу праздник в качестве хорошего дефейса всех сайтов на нем (а их было около 50). Но сомневаясь в правильности принятого решения, он еще раз залез в систему с целью проверить остальные два сервера этого хостинга, и обнаружил невероятное. Вход на них был возможен путем авторизации ключами от рута без всякого пароля. Зная по опыту, что на хостингах его бэкдор долго не провисит, он решил задефейсить все три сервера, сделав тем самым прекрасный подарок админам :). Сгрузив авто-дефейсер с www.packetstormsecutiry.nl, взломщик запустил его на главном сервере. Какой прилив патриотизма он испытал при виде строчки file /home/web/www.nwgsm.ru/index.html was defaced! Зайдя на веб этого сайта и убедившись, что html был заменен на самом деле, хакер повторил операцию на остальных двух серверах (кстати, там стояли непробиваемые на тот момент FreeBSD 4.7 и Debian 3.0).

Удалив полностью /var/log для надежности, хакер удалился из системы. Разумеется, он входил в нее не с провайдерского шелла, а с далекой скарженной машины из Китая (очень подозрительно, ведь Китай практически закупорен от внешнего интернета, но пусть это останется на совести хакера :) - прим. ред.). С чувством выполненного долга взломщик пошел спать, пожелав спокойной ночи админам серверов хостинга. Два сервера sweb'а были восстановлены к обеду первого мая, третий же к утру следующего дня. Проверив мыло от оставшейся у него учетной записи, хакер нашел там письмо от админов следующего содержания:

Уважаемые клиенты!

В связи с проблемами на наших серверах некоторые index-страницы были удалены или заменены. Поэтому Ваш сайт может не функционировать.

Все остальные файлы Вашего сайта сохранились без изменений. Пожалуйста, проверьте наличие на аккаунте index-файлов и при необходимости закачайте файлы.