==============================================================================
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
--------------------[ previous ]---[ index ]--------------------------------
------------------------------[ FiRST BREAK-iN ]------------------------------
--------------------------------[ DevilKiss ]---------------------------------
Autore: DevilKiss
Consumo: 1 Gelato Stecco Ducale Sammontana
1 Succo di frutta all'Ananas
Musica ascoltata: Best of The Beast (Iron Maiden)
White trash, two heebs and a bean (NoFX)
Get a Grip (Aerosmith)
Saluti: s0ftpr0ject, TheShaman, HackerOne, AlienSun, Daniel.
Y0 all, premetto che questo articolo non e' tecnico per niente, non vi
insegnera' a entrare in qualche server, a creare qualche backdoor,
a modificare un file .c, non vi dara' delle dritte sui log, non vi spieghera'
un piffero di nulla. Magari pero' vi fara' riflettere. No, non voi hacker
gia' affermati, guru di Unix, ma voi cari miei newbie, che vi apprestate ad
entrare in qualche sistema dopo esservi letti qualche cosetta "fika" su BFi :)
Secondo me un hacker puo' essere bustato in tanti modi, ma in genere quelli
che sono beccati fanno parte di 2 categorie: novellini e "ganzi".
Per ganzi intendo gente che sono anni che smanetta sotto Unix, che e' capace
di infiltrarsi quasi (il quasi e' d'obbligo) in qualunque rete, che conosce a
mena dito ogni OS di questa terra, che ha migliaria di shell, e che ormai non
trova piu' soddisfazione nel tentare hackeraggi di piccola entita'
a providerini locali, oppure ad uni varie, ma che si cimenta in hackeraggi ad
alto livello o di siti istituzionali, o militari, oppure dove la sicurezza e'
alta o altissima, per dimostarre che lui e' l'Hacker con la H maiuscola, il
migliore.
Per novellino intendo chi e' all'inizio della sua carriera, che si e' fatto
si' e no una decina di sistemi, che magari non sa ancora quanto c'e' da sapere
sui log, che ha solo il suo account legale e che pensa che rimbalzi sia una
parola da usare solo in ambito baskettistico :)
I primi vengono bustati perche' anche se rimbalzano da 10 shell diverse,
aprono connessioni in Nuova Zelanda con il cu, cancellano ogni tipo di log,
si imbattono in qualche admin con le palle davvero, che ha tempo e voglia di
rompere i coglioni (condizioni che non e' raro trovare negli admin di siti a
carattere istituzionale) e che magari non alla prima, ma alla 10a volta
riescono a tracciarli.
I secondi vengono beccati perche' fanno qualche grossa cazzata come scordarsi
qualche log, cambiare la configurazione di una rete e non risistemarla
(diagramma di Escher by FuSyS docet :) oppure si imbattono in qualche sistema
sicuro dove l'admin sa molte cose piu' di loro e li frega.
Quindi se lasciate perdere i .mil e i .gov (e siete novellini) dovrete temere
voi stessi piu' che gli altri admin; dopo essere entrati in un server dovrete
fare SOLO quello che siete sicuri di sapere fare.
Per farvi capire meglio il concetto, vi raccontero' il mio primo break-in in
un sistema che non fosse il mio Linux. Dovrebbe apparire chiaro che (come
tutti) all'inizio ho rischiato, anche troppo, e sono stato fortunato, ma e'
meglio non basare l'hacking sul fattore "culo" ovvero sull'incompetenza di
qualche sysadmin, e basarlo invece sulle vostre forze.
A quei tempi :) cominciavano a girare le prime voci di un bug delle cgi, un
certo phf, con il quale molti siti erano stati hackerati, si diffusero i
primi testi (in inglese) in cui era descritto il bug, ma almeno io all'inizio
pensai che fosse impossibile funzionasse, troppo facile. Ciononostante lo
cominciai a testare su qualche server e...... MERAVIGLIA fungeva!!!!
Mi presi qualche file di passwd un po' qua e la' e provai a crackarne
qualcuna, ci riuscii per un computer dell'xxxxx.xx che mi diceva addirittura
che avevo come uid 0 root. Avevo sentito dire che se col phf e il comando id
si riceveva root come risposta il computer era gia' hackerato, ma non riuscivo
a capire come mai (ero ghiozzo lo so' :) o meglio ero un novellino).
Bho, pensai, intanto ci entro :) (tipico del novellino, di chi vuole passare
qualche guaio, oppure di chi ha forti istinti masochisti :) e ci entrai.
Welcome to AIX 3.2 xxxx.xxxx.xxxxx.xx
on a RISC 6000
login:xxx
passwd:
Era un AIX 3.2, li' per li' pensai "AIX .... mi pare di averlo gia' sentito,
deve essere quello che ha fatto l'IBM" e mi precipitai sui vari siti di
hacking che conoscevo per scaricarmi qualche exploit.
Uploadavo i file.c su un ftp che aveva la dir incoming scrivibile e poi
mi collegavo dall'AIX a questo ftp per scaricarmeli.
Cominciai approssimativamente alle 22:00 di un tranquillo venerdi' sera.
Fortunatamente nel sistema non c'era nessuno collegato, soltanto io, che
bounchavo da un wingate; scarico i primi 4 file .c, li compilo, li runno....
niente, il # non si vedeva, ne scarico altri, li compilo, li runno.....
sempre una misera $. Andavo lentissimo, e allora furbescamente decisi di non
passare piu' attraverso il wingate, ma di collegarmici direttamente da casa,
col mio vero ip. Andavo piu' veloce, ma non c'era un exploit provato che mi
avesse dato root.
Erano le 1:15 e cominciavo a preoccuparmi... consultai piu' siti di hacking
quella sera che in tutti i mesi precedenti, niente, gli exploit erano quelli,
non ne trovavo altri per AIX .... ero nel panico piu' totale.
2:00 e # non si vedeva, in compenso non so quante entry in lastlog avessi
fatto, visto che mi collegavo e mi scollegavo dall'AIX in continuazione.
Ad un tratto su un sito di hacking lessi: old bugs.
Pensai "vabbe, abbiamo fatto 30 facciamo anche 31" e mi scaricai il file.
Cercavo furiosamente qualcosa per AIX, e alla fine trovai:
Os: Bug Type Syntax
AIX ver 3.x.x rlogin bug rlogin -l -froot
alleluiaaaa, un nuovo bug, "Ma non sara' troppo facile?" pensai, "bho, tentar
non nuoce..."
rlogin 127.0.0.1 -l -froot
Immaginatevi la mia esaltazione quando vidi che fungeva e che mi ero loggato
come root! Ero al settimo cielo, avevo hackerato il mio primo server!
Ero un grande, potevo vantarmi con gli amici, ero un hacker (o meglio pensavo
di esserlo), quella parola, che aveva suscitato in me da sempre tanta
ammirazione nei confronti di chi poteva fregiarsene, adesso mi apparteneva!
Okkey dissi, bisogna togliere i log (ero un novellino, ma qualche conoscenza
l'avevo), allora uploado il remove.c (che sapevo andasse bene per gli AIX)
e lo compilo.
# remove xxx
trattengo il fiato eh............. funge! Non sono piu' visibile con
w finger e affini, pero' il lastlog degli AIX e' un file testuale (per
fortuna lo avevo letto da qualche parte) sicche' vado in /var/adm e...
Non c'e'! "Come non c'e'?" "Dovrebbe essere qui!" bho, proviamo in
/usr/adm "Bha, non c'e' neppure qui" ... gironzoliamo un po' ...
Dopo 20 minuti trovai la dir /etc/security e il file lastlog.
Wow, ok allora basta editarlo! siamo a cavallo !!! Ma avevo corso un po'
troppo...
# pico lastlog
unknow command pico
# joe lastlog
unknow command joe
# vi lastlog
unknow command vi
Capperi non c'era un editor che sapessi usare!!!! Panico!!!!! Erano gia' le
3:00 di notte !!! Mi gettai sui manuali di hack e di unix alla ricerca di un
editor che esistesse in AIX ed alla fine lo trovai: ed.
Non so se abbiate mai provato a modificare un file usando ed..... senza avere
un manuale da cui attingere info..... Io laciai un "man ed" sotto l'AIX, non
vi sto a dire come andasse lento...... :)
Comunque dopo circa 45 minuti di bestemmie e sproloqui vari, modificai il
il file lastlog, poi cercai nalla dir /var/adm il mio ip, e lo tolsi col
grep -v da messages e da un altro file, (access.log mi pare) cancellai la
.bash_history di xxx e tolsi da quella di root i comandi che avevo dato io
(perche' col bug del rlogin e' come se vi loggaste effettivamente come root)
sempre con l'ed.
"Okkey, adesso backdoor!!!!"
A questo punto copiai una bash nella dir /bin con il nome di .pine mi pare,
scordandomi di farla anche suid (un po' di comprensione raga, era il mio primo
break in, ero in botta :) mi ricollegai come user xxx e constatai che non
funzionava. Bestemmie, ricopio la bash e la setto suid, esco, ridivento root,
mi ritolgo dai log (che palle) e per le 4:30 finisco di copiare il remove
nella directory /usr/bin/ sotto falso nome, modificando anche la data
di creazione.
Era fatta, mi potevo scollegare, avevo vinto la mia prima battaglia.
Andai a nanna felice come una pasqua (e mi svegliai la mattina dopo con due
pesche agli occhi che arrivavano fino al mento!!!).
Ok, storiellina finita, morale? Ero diventato un hacker? Ero rimasto un
lamer? Ero sempre lo stesso? Bha, qui i pareri si dividono, secondo alcuni
dopo il tuo primo break-in sei un hacker, secondo altri non ne bastano 1000,
secondo me avevo soltanto ampliato le mie conoscenze, avevo compiuto il primo
passo, quello indispensabile, basilare nella ricerca di quella "knowledge"
infinita che tutti bramiamo, e per la quale forse mi stai leggendo
su questo numero di BFi.
DevilKiss
--------------------[ previous ]---[ index ]--------------------------------
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
==============================================================================