Рецепты украинских хакеров. Анализируем как прокололся админ сайта #2

Украинские "хакеры" публикуют свои поломки в тгк, мы подписались, чтобы отслеживать их работу и предупредить коллег о техниках которые они используют. Всем приветы перейдем сразу к обзору.

Не удалось прогрузить медиа

ыы лы лол))) тру хакеры не просят донаты))) Посмотрим что там за козявка.

Не удалось прогрузить медиа

На этот раз они в качестве таргета выбрали шоп для стильных мужчин. Ну хорошо, что хоть не храм как в прошлый раз)))

Не удалось прогрузить медиа

Включаем переводчик. Начинаем анализировать что он там нахуевертил.

Не удалось прогрузить медиа

провел разведку, собрал эндпоинты

Не удалось прогрузить медиа

как и в прошлый раз нашли .git. 

Далее он рассказывает про git, что это придумал тот же х*й что и линукс, вообщем маленечко решил теорию дать естественно с gpt.

Не удалось прогрузить медиа

создал репозиторий

выгрузил сорцы

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Не удалось прогрузить медиа

нашел в сорцых креды для подключения к mysql

Не удалось прогрузить медиа

Adminer — это лёгкий и мощный инструмент для управления базами данных через веб-интерфейс. Его можно использовать для работы с MySQL, даже если база данных доступна только с localhost. Если ваш хостинг не предоставляет phpMyAdmin, Adminer может стать отличной альтернативой.

многие экономят и не покупают vds. Используют хостинг. Когда у тебя vds, ты царь и бог сам можешь настраивать сервер, бд например разрешать удаленное подключение к базе и т.д. А поскольку хостинг арендовал человек, он для входа mysql заюзал adminer.php, т.к иначе он удаленно не может подключаться) Тем самым злоумышленник воспользовался этой находкой. Ввел украденные креды и далее он может редачить базу. Например ничего ему не мешает сбросить пароль пользователя (админа) или емейл. Получить доступ к админке.

Не удалось прогрузить медиа

OpenCart - это cms для шопов ее часто ломают, чтобы сниффать карточки. На xss скупают шопы с ордерами.

Можно увидеть, что есть пункт меню "Дополнения", который в свою очередь содержит страницу для добавления модификаций в ocStore так называемых OCMOD:

Не удалось прогрузить медиа

Теперь наш алгоритм получения RCE таков:

1. Скачать любое free приложение с https://ocmod.net
2. Распаковать приложение
3. Добавить свой payload в любой из файлов приложения
4. Упаковать приложение
5. Восстановить malicious приложение в систему
6. Воспользоваться пейлоадом

почему у него именно такой план. Дело в том, что если он напрямую загрузит шелл может сработать антивирусное ПО, скрипт просто не примут.

Не удалось прогрузить медиа

скачивает любое дополнение

Не удалось прогрузить медиа

нашел любой php файл

Не удалось прогрузить медиа

добавил свой pAyload.

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Залил модифицированный плагин с расширением .ocmod.zip. Нашел куда загрузился шелл и проэксплуатировал. payload позволял через GET запрос получать информацию о выводе системных команд. По сути он может читать файлы, удалять, записывать. Он действует от веб пользователя ww-data вроде как х*й знает я opencart не крутил.

От себя скажу, что естественно не нужно хранить исходный код ресурса в корне сайта))) вообще он не должен быть доступен для всех. не используйте adminer.php и прочую шляпу, а если уж используете доступ к /adminer.php сделайте только со своего айпи это возможно в платной версии клауда или попросить хостера настроить. Если есть возможность поставьте MFA.

Таким образом кривые руки админа привели к утечке. OpenCart не пришлось даже ломать. .git --> спиздили креды --> adminer.php нашли --> подключились к бд --> изменили емейл у админа --> сбросили пароль админа --> залили плагин модифицированный с нашим пэйлоадом --> получили RCE