Убийство ночной бабочки

l1s

Хакер, номер #090, стр. 090-068-2

У каждого сканера должна быть готовая база уязвимостей, которая может пополняться вручную или автоматически. Это, собственно, то малое, что должен иметь сканер. Теперь о том, как ведет себя сканер изнутри. Сначала он коннектится к атакуемому сайту. После, из заранее заготовленный базы, он берет уязвимость и подставляет к урлу сайта, дальше сервер отдает ответ 200ok. Это значит, что такая папка (файл) действительно крутится на сервере. Все. Так работает обыкновенный сканер. Примерно это нам и предстоит написать. Писать сканер долго не пришлось - через 10 минут основной скелет был написан, позже я окончательно дописал весь сорец и большую часть времени, конечно же, потратил на отладку. Итак, вот что примерно у меня получилось:

В этом сканере нет ничего особенного. Впопыхах я даже не добавил fork, ведение логов и многопоточность. Но это я решил оставить на потом, так как этот сканер был вполне работоспособным. Полностью разобравшись со сканером, я решил для начала затестить его на подопытной машинке. Я регнул левый сайт на h15.ru, дождался ответного письма от хостера с моим логином и пассом от ftp. После специально создал на сервере папку с файлом password/pass.txt. Эту диру кинул в файл с багами и запустил сканер. Через 5-7 минут сканер успешно "ударил" меня найденной директорией и файлом pass.txt, а это значит, что сканер работает нормально! Теперь я заготовил огромную базу уязвимостей и начал тестировать мой скрипт. Опции сканера были следующие:

-> perl script.pl host bugs.txt 80

Думаю, в них даже ребенок разберется. Натравив сканер на сайт, я пошел спать. Проснулся в три ночи от безбашенных соседей, которые врубили на всю мощь "Дискотеку аварию". От такого ора я не выдержал и решил больше не спать. Выпив кружку кофе, я пошел посмотреть состояние моего сканера. Не буду говорить, что я очень удивился, когда увидел результат. Сканер нашел несколько левых директорий, которые после проверки не дали никакого результата, также он выцыпил три очень подозрительных скрипта. Нет, ссылок-то там было море, но редирект на другие страницы или сайты осуществлялся с помощью скрипта. Основным из них был скрипт редиректа на другие сайты. Такие скрипты используются на всех TGP (Thumbnail Gallery Post). Он называется чаще CJ, реже - Rotator. Скрипт этот был не самопальный, а купленный. Следовательно, исходников в сети было не найти, да и ошибки в таком скрипте искать было почти бесполезно. Поэтому копаться в нем я не решился. Второй скрипт, расположенный на сайте - daily.php, который показывал галереи картинок по дням. Перед моими глазами, в строке браузера, возникла ссылка: www.jamies-galleries.com/daily.php?day=7. Тут же к цифре была добавлена кавычка, и получившийся запрос был послан серверу, а он, в свою очередь, выплюнул мне ошибку: