Взлом или развод?

Question

[Александр]

Здравствуйте.

Есть работающий сайт на CMS (PHP + Mysql) и хостинг

Прислали письмо о том, что

была обнаружена уязвимость Sql injection
Данная уязвимость имеет потенциал Critical

во вложении скрин со списком баз для аккаунта (2 бд) и список таблиц (40 таблиц)
некоторые таблицы являются уникальными для данного сайта, поэтому скрины не поддельные.

Возможность получить информацию о таблицах бд является уязвимостью?
Может ли злоумышленник, получив данные о списках таблиц так же получить и содержимое этих таблиц?

Comments

[2cha.headz]

да это критично, и что злоумышленник хочет за эту информацию?
хотя думаю глупый вопрос, он хочет чтобы его поблагодарили финансово, был у меня подобный случай, просто быстро лавочку с багами прикрыли и отправили "доброжелателя" лесом
по идее какие бы "благие" намерения у него не были, он ломанул ваш сайт и должен за это ответить перед законом, если его вычислить))

статья 272 ук рф

[datka]

Дмитрий Глаголев, " быстро лавочку с багами прикрыли и отправили "доброжелателя" лесом"- вам помогают а вы его лесом. хоть на кофе подкинули.

[hint000]

Дмитрий Глаголев,
- Это не вы кошелёк потеряли?
- Что? Ой... Офицер, этот гад хотел украсть мой кошелёк, арестуйте его!

В следующий раз сработает ваша карма, и вам не будут присылать советы закрыть уязвимость, а на самом деле взломают по полной.

он ломанул ваш сайт и должен за это ответить

- Эй, есть кто-нибудь? У вас тут дверь была отрыта и окно разбито... Эй, у вас всё в порядке?..
- 911? Скореее пришлите ко мне полицию! Этот человек взломал мой дом и ворвался!..

[Lord_Dantes]

Будет весело если взломщик начитается тут комментов и помрет со смеху :)

[2cha.headz]

datka, вы уверены что он случайно нашел уязвимость? он целенаправленно ломал сайт, а потом написал владельцу
плюс он еще и воспользовался этой уязвимостью

все примеры выше, не совпадают с ситуацией, т.к. подходит больше пример с проникновением в запретную зону, за нахождение на которой предусмотрено наказание

[2cha.headz]

hint000,

В следующий раз сработает ваша карма, и вам не будут присылать советы закрыть уязвимость, а на самом деле взломают по полной.

а что он в данный момент сделал?
он его итак взломал, и увидел то, что не должен был, это неправомерный доступ к информации

[Роман]

Дмитрий Глаголев, да не ломал он ничего целенаправлено. Прошелся массово по сайтам софтом, где нашел уязвимости, тем и написал.

[2cha.headz]

Роман, про сайт автора не знаю, про свой говорю как есть, т.к. по логам видно было все действия

[sim3x]

2cha,

просто быстро лавочку с багами прикрыли и отправили "доброжелателя" лесом

именно потому с данным сегментом не любят работать whitehat
Даже спасибо не напишут

по логам видно было все действия

если были такие хорошие логи, то почему просмотрели проникновение?

[Stalker_RED]

sim3x, access.log есть почти у всех

вручную устроить разбор полетов они смогли, а вот мониторить эти логи в автоматическом режиме - сложнее.

[datka]

2cha, нет не случайно. Есть понятие Этичный Хакинг. Когда проверяют сайты и не только на уязвимость. Хакают сообщают владельцу,описывая процедуру как и где дырка в системе. Обычно порядочные люди вознаграждают за это. так как это не пальцем тыкать на это нужны знания и время.
на Хабре много статей про bug hunting. вот книжка по Этичному хакингу https://leanpub.com/web-hacking-101 .

[sim3x]

Stalker_RED, оу, те в ацесслог попал весь пост запрос за аплоад скрипта, который поднял скрипт на 0.0:63333

[Stalker_RED]

sim3x, нет, тело POST-запроса обычно не сохраняется (хотя при желании можно и это устроить), но даже без этого можно хотябы понять в какой из обработчиков ломятся.

[sim3x]

Stalker_RED,

Авто проверялки генерируют большой обьем запросов
Проверять все 10-100к записей в логах?

[Николай Конюхов]

2cha,

он его итак взломал, и увидел то, что не должен был, это неправомерный доступ к информации

Из 272 статьи

Неправомерный доступ к охраняемой законом компьютерной информации

А вот тут еще доказать нужно, что информация, к которой объект получил доступ, является охраняемой законом (список, попадающей под "охраняемая законом" конкретный). Вы можете сказать, что это коммерческая тайна, однако понятие коммерческой тайны достаточно хорошо описано и подразумевается, что был установлен режим в отношении информации (даже так - четко описанного списка информации), который бы препятствовал доступу к этим данным.
Я думаю список таблиц из базы явно не попадает в перечень информации в отношении которой установлен данный режим (а скорее всего его и нет), и если это так - то это общедоступная информация

[АртемЪ]

datka,

Есть понятие Этичный Хакинг

Этичный хакинг это в первую очередь хакинг - неправомерный доступ к информации, и преследуется законом.

Самое интересное когда все эти Этичные хакеры возмущаются тем что их послали нафиг, или подали на них в суд за их доброе дело. Проблема в том что добрым это дело считают только сами хакеры, а владелец сайта может считать по другому.

Например - у меня есть сайт. В нем есть уязвимость и не одна. В сайте просто не может быть уязвимости - это нереально. Но работает и ладно, работе не мешает.
И тут появляется Этичный хакер, начинает скидывать мне на почту сообщения об уязвимости, интересоваться почему я за 3дня не исправил уязвимость (вот мне делать больше нечего, щас все брошу и побегу исправлять), а так же уведомляет что распространит информацию об уязвимости если я ее не исправлю.
Ну и какие у меня должны быть добрые чувства к этому м$даку? Естественно я пошлю его далеко и надолго, а если будет назойлив - обращусь в полицию.

Обычно порядочные люди вознаграждают за это

Может случится так что и вознаградят, бывает такое. Но чаще это не вызывает ничего кроме раздражения, и желания приложить чем нибудь тяжелым этого "благодетеля"
Вот хороший анекдот в тему про вознаграждение

P.S.
Я ни в коем случае не призываю не делать добрых дел. Добрые дела делать можно и нужно!


Но следует учитывать две вещи-

• Убедитесь что дело действительно доброе. И доброе не только для вас. Слышали термин - "медвежья услуга" Или поговорку про благие намерения.
  
• Будьте готовы огрести проблем от вашего доброго дела. А что вы хотели? Нужно всегда быть готовым ответить за свои поступки, даже за хорошие. Поэтому не надо ожидать благодарности и тем паче ее требовать.
  

[datka]

АртемЪ, Что для вас будет лучше Этичный хакер который укажет на уязвимость или Не Этичный хакер который сольет к слову данные вашей базы клиентов в сеть? или какой-то школоло троль который поменяет index.html на Hacked By Vovchik1337Nagi6at0P?

Да знать что хакнуты не приятно да раздраженность есть. Но вам сообщили об этом. Дали время на устранения проблемы.

Вы едете на машине и у вас спустила покрышка но вы не замечаете.
Вам другой водитель посигналил и указал что у вас севшая покрышка.
Вы пошлете его куда по дальше?

Answer 1

[Талян]

Может ли злоумышленник, получив данные о списках таблиц так же получить и содержимое этих таблиц?

В зависимости от степени экранирования символов при фильтре какого-то из параметров.

По сути, скорее всего инъекция была сделана именно на вашем сайте, следовательно запрос выполнялся от имени вашего пользователя, у которого есть все права на БД - следовательно может и удалять и читать любые записи.

Нужно как-то отследить место SQL-инъекции.

Я в этом не спец, но например можно посмотреть лог mysql на наличие строки SHOW DATABASES или SHOW TABLES, а так же по поиску слова UNION, коим часто пользуются при создании инъекций. Найдя в логах время исполнения данного запроса можно глянуть в access.log у апача запрошенный адрес сайта, который был запрошен в то же время, что и инъекция в SQL.

Имея точное расположение скрипта можно поставить вставки функции для логирования $_SERVER['REQUEST_URI'] и определить что за запрос был сделан, и от этого плясать.

Comments

[shmelevka]

не найдется там ничего,если он адекватно делал, то файлы редактировались в автоматическом режиме.либо делались от пользователя созданным специально для этого,после чего подчищались + построение схемы связей вообще не отображается в логированиии апача и других серверов

Answer 2

[Владислав Лысков]

Возможность получить информацию о таблицах бд является уязвимостью?
Может ли злоумышленник, получив данные о списках таблиц так же получить и содержимое этих таблиц?

1. Да
2. Да

Answer 3

[Антон Шаманов]

https://www.securitylab.ru/software/1271/ проверьте сканером уязвимостей BBQSQL\sqlmap\Burp Suite

Answer 4

[irishmann]

Ну написано же: уязвимость Sql injection
Если скриншоты сделаны из СУБД, типа PHPMyAdmin, то возможно произошел взлом аккаунта на хостинге.

Comments

[Александр]

скрин больше похож на командную строку с терминалом

[Талян]

Александр, в таком случае имеет место быть вообще взлом самого MySQL сервера у хостинга напрямую, без участия сайта.

У вас шаред-хостинг, или VPS?

[Александр]

Анатолий, шаред хостинг.

на аккаунте есть ещё несколько бд и сайт на WordPress, но информацию по ним от злоумышленника нет, активности там нет и вообще его сейчас отключили. Информация только по БД и самописной CMS, информацию о таблицах которой скорее всего можно получить только получив пароль или взломав скрипты.

[Талян]

Александр, да скорее всего тогда как я писал выше - инъекция была обычная на вашей CMS. Не нужен для этого ни логин ни пароль. А вот то что он в консоли вам показал - это он либо как-то сдампил себе БД и показал на своем компе результат SHOW TABLES, либо в вашем шаред хостинге есть огромная дары - доступ к БД не с локалхоста. и он реально знает ваш логин и пароль от бд и подключился со своего компа прямо к БД хостинга, либо он вообще утащил пароль администратора mysql хостинга, а у администратора есть права смотреть любые данные из БД

[Alex K.]

Думаю. всё проще. Большинство софта для выполнения SQL-инъекций, заливки и эксплуатации shell-ов и тому подобного представлено в виде скриптов в основном на Python, Perl или PHP, запускаемых из консоли (командной строки) - это объясняет скриншоты.
Ни у одного нормального хостера MySQL сервак напрямую извне недоступен. Наружу разве что только PHPMyAdmin выставляют. Бывает ещё можно в панели управления прописать IP-адрес(а), с которого(ых) будет разрешено подключение к MySQL серверу от имени вашего пользователя. У Hostinger, например, так.

Answer 5

[shmelevka]

Я так же иногда занимаюсь пентесом чисто как развлечение,так же посылаю письма и прошу закрыть,иногда за это перепадают плюшки) закройте уязвимость и дело с концом.А так ,если скрин из консоли, скорее всего тестирование проводилось на Kali.Советую хотя бы в автоматическом режиме проверить сайт еще раз, как и пользованием онлайн средств, так и с использованием Кали, после построение nmap и запуска spider'ov sql inject скорее всего найдется и в автоматическом режиме....А так же посмотрите и другие уязвимости,почему -то уверен что раз есть sql inj , то и всякие xss найдутся в массовом кол-ве

Answer 6

[codingal]

Ну если названия таблиц уникальные, то явно не развод.
Имеет смысл посмотреть все же в сторону админки вордпресса, нет ли там аккаунтов с легко-находимыми паролями? Что-то мне кажется это более вероятным, чем взлом хостера.

Answer 7

[Maxim Colesnic]

Посмотреть лог запросов mysql. Искать можно по наличию union или 1,2,3.... Если нет логов мускула то посмотреть access log и искать в нем запросы с символом ' в адресе или передаваемых данных. Если нет совпадений то руками. Надо смотреть короче.