Общие принципы взлома сайтов
По структуре сайты делятся на три больших класса:
- самописные (сделанные вручную на HTML, произведенные статическим генератором типа Jekyll или собранные в программе-конструкторе типа Adobe Dreamweaver);
- сделанные в онлайновых конструкторах (в основном это сайты-визитки без каких-либо баз данных и передаваемых полей);
- работающие на готовых CMS (Content Management System, системах управления контентом).
Встречаются еще самодельные CMS, созданные для конкретного сайта, но это сейчас стало редкостью — позволить себе поддержку своей системы могут только самые крупные ресурсы, и оправдать связанные с этим затраты непросто.
С точки зрения атакующего, движки сайтов ничем не отличаются от других сервисов и служб. Их исходный код обычно находится в общем доступе, и любой хакер может проанализировать его на ошибки, в том числе бреши в безопасности. Поэтому сайты на CMS редко становятся жертвами целевой атаки. Чаще их ломают массово.
Такой взлом автоматизирован и обычно протекает по следующей схеме: хакер находит уязвимость (самостоятельно или просто гуглит что-то свежее). Затем он делает эксплоит или берет готовый и пишет специализированный бот. Этот бот ищет указанную дыру на всех сайтах подряд в заданном диапазоне и пытается эксплуатировать ее.
Казалось бы, для защиты от автоматических атак надо всего-то поддерживать программное обеспечение в актуальном состоянии, но в реальности CMS обрастает разными дополнениями, и уследить за всеми становится сложно.
Прежде, чем пытаться атаковать цель, нужно собрать информацию о ней. Для этого хорошо подходит инструмент
Советую запускать WhatWeb с ключом -а, указывая после него значение 3 или 4. Разница между ними только в том, что во втором случае WhatWeb будет сканировать еще и субдиректории. Имейте в виду, что оба варианта задают агрессивный метод опросов — со всеми вытекающими, а точнее «втекающими» на сервер логами.
️ Если вы не хотите заморачиваться с установкой, то обратите внимание на
С точки зрения атакующего, движки сайтов ничем не отличаются от других сервисов и служб. Их исходный код обычно находится в общем доступе, и любой хакер может проанализировать его на ошибки, в том числе бреши в безопасности. Поэтому сайты на CMS редко становятся жертвами целевой атаки. Чаще их ломают массово.
Такой взлом автоматизирован и обычно протекает по следующей схеме: хакер находит уязвимость (самостоятельно или просто гуглит что-то свежее). Затем он делает эксплоит или берет готовый и пишет специализированный бот. Этот бот ищет указанную дыру на всех сайтах подряд в заданном диапазоне и пытается эксплуатировать ее.
Казалось бы, для защиты от автоматических атак надо всего-то поддерживать программное обеспечение в актуальном состоянии, но в реальности CMS обрастает разными дополнениями, и уследить за всеми становится сложно.
Разведка перед взломом
Прежде, чем пытаться атаковать цель, нужно собрать информацию о ней. Для этого хорошо подходит инструмент
You do not have permission to view link
Log in or register now.
. Эта утилита предоставляет подробную информацию о CMS жертвы и использованных ей веб-инструментах.Советую запускать WhatWeb с ключом -а, указывая после него значение 3 или 4. Разница между ними только в том, что во втором случае WhatWeb будет сканировать еще и субдиректории. Имейте в виду, что оба варианта задают агрессивный метод опросов — со всеми вытекающими, а точнее «втекающими» на сервер логами.
️ Если вы не хотите заморачиваться с установкой, то обратите внимание на
You do not have permission to view link
Log in or register now.
:
Если вам достаточно определить только название CMS, то для этого существуют
You do not have permission to view link
Log in or register now.
, даже русскоязычные.- Вот свежаяYou do not have permission to view link Log in or register now.:
WordPress
Поскольку WordPress — это сейчас самая популярная CMS, то перейдем сразу к ней. Под нее выпущен очень мощный сканер, который умеет творить магию, —
You do not have permission to view link
Log in or register now.
. Этот сканер умеет определять версию сканируемого объекта, брутить админку (у него даже есть свой встроенный словарь), смотреть уязвимые открытые директории, определять установленные плагины и много всего другого. На мой взгляд, управление и ключи WPScan могли бы и упростить. Даже хелпа у программы два — краткий (-h) и подробный (--hh).
Перед первым использованием WPScan необходимо обновить его базу данных:
HTML:
wpscan --updateПосле этого начинаем сканирование. Сам по себе WPScan без ключей выдаст общую информацию о сайте, лишь поверхностно просканировав цель:
wpscan --url
You do not have permission to view link
Log in or register now.
После строчки Interesting Finding(s): начинаются те самые моменты, на которые стоит обратить внимание:
- версия WP;
- открытые директории;
- подозрения на уязвимости;
- ссылки на ресурсы, где об этих уязвимостях можно почитать.
В конце вывода красным восклицательным знаком помечены строки, которые идут вразрез с правилами безопасности.
В нашем случае это торчащий наружу конфигурационный файл wp-config.php с логином и паролем к ба
Продолжаем копать и все тем же софтом пробуем сбрутить логин и пароль к админке:
wpscan --url http://[IP-address] --passwords pass.txt --usernames user.txt
Брутфорсится очень быстро благодаря многопоточности. Если админ использовал стандартные учетные записи и установил несложные пароли, то результат не заставит себя долго ждать.
Как видите, учетные данные к админке и базе данных мы достали без особого труда. Для рядового взломщика это было бы больше чем предостаточно, но мы еще не все проверили. На очереди — плагины для WP и другие популярные точки входа.
Сканер показал нам, что на выбранном сайте нет ни одного установленного плагина, однако это может быть ложным выводом, основанным на ограничениях пассивного метода сканирования. Для более надежного обнаружения плагинов нужно задать агрессивный метод их поиска:
Учтите, что ключ ap покажет все найденные плагины, а vp — только уязвимые. Данная процедура занимает приличное время. Скорость будет зависеть от удаленности сайта, но даже в лучшем случае на это уйдет не меньше 30 минут.
Как видите, агрессивный метод дал свои результаты: обнаружен антиспам-плагин Akismet версии 3.1.1:
Точно такими же действиями необходимо искать другие уязвимые дополнения к WP. Подробнее смотрите мануал в разделе --enumerate.
Также посмотрите идентификаторы известных уязвимостей —
Joomla тоже довольно популярная CMS, для которой есть свой сканер —
По своей сути это точно такой же сканер безопасности, как и WPScan, только немного попроще. JoomScan предустановлен в большинстве дистрибутивов для хакеров, а весь его мануал умещается в несколько строк.
Он тоже поддерживает агрессивный метод сканирования установленных компонентов. Команда запуска сканирования в агрессивном режиме выглядит так:
В нашем случае это торчащий наружу конфигурационный файл wp-config.php с логином и паролем к ба
Продолжаем копать и все тем же софтом пробуем сбрутить логин и пароль к админке:
wpscan --url http://[IP-address] --passwords pass.txt --usernames user.txt
Брутфорсится очень быстро благодаря многопоточности. Если админ использовал стандартные учетные записи и установил несложные пароли, то результат не заставит себя долго ждать.
Как видите, учетные данные к админке и базе данных мы достали без особого труда. Для рядового взломщика это было бы больше чем предостаточно, но мы еще не все проверили. На очереди — плагины для WP и другие популярные точки входа.
Сканер показал нам, что на выбранном сайте нет ни одного установленного плагина, однако это может быть ложным выводом, основанным на ограничениях пассивного метода сканирования. Для более надежного обнаружения плагинов нужно задать агрессивный метод их поиска:
HTML:
wpscan --url http://[IP-address] --enumerate ap --plugins-detection aggressiveУчтите, что ключ ap покажет все найденные плагины, а vp — только уязвимые. Данная процедура занимает приличное время. Скорость будет зависеть от удаленности сайта, но даже в лучшем случае на это уйдет не меньше 30 минут.
Как видите, агрессивный метод дал свои результаты: обнаружен антиспам-плагин Akismet версии 3.1.1:
Точно такими же действиями необходимо искать другие уязвимые дополнения к WP. Подробнее смотрите мануал в разделе --enumerate.
Также посмотрите идентификаторы известных уязвимостей —
You do not have permission to view link
Log in or register now.
. Например, для версии PHP, на которой работает CMS. Затем поищите готовые
You do not have permission to view link
Log in or register now.
и проверьте их в деле.Joomla
Joomla тоже довольно популярная CMS, для которой есть свой сканер —
You do not have permission to view link
Log in or register now.
. Написали его ребята из Open Web Application Security Project (
You do not have permission to view link
Log in or register now.
). Он еще актуален, хотя и давно не обновлялся.По своей сути это точно такой же сканер безопасности, как и WPScan, только немного попроще. JoomScan предустановлен в большинстве дистрибутивов для хакеров, а весь его мануал умещается в несколько строк.
Он тоже поддерживает агрессивный метод сканирования установленных компонентов. Команда запуска сканирования в агрессивном режиме выглядит так:
HTML:
joomscan --url http://84.42.34.2/ --enumerate-components
Как видно по скриншоту, программа выдает версию CMS, CVE найденных уязвимостей и ссылки на эксплоиты, которыми можно воспользоваться для взлома сайта. Также в выводе приводятся все найденные на сайте директории и ссылка на файл конфигурации, если его забыли спрятать.
Брутфорсить админку JoomScan не умеет. Сегодня, чтобы выполнить такой брутфорс, нужен серьезный инструмент, который работает с цепочкой прокси-серверов. Хотя бы потому, что на сайтах с Joomla часто используется плагин
You do not have permission to view link
Log in or register now.
. Когда количество неудачных попыток авторизации достигает заданного числа, он блокирует IP-адрес атакующего.
Если сайт с Joomla работает на HTTP (что уже редкость), попробуйте воспользоваться
You do not have permission to view link
Log in or register now.
Nmap.
Drupal и другие CMS
С Drupal все немного сложнее, как и с другими непопулярными CMS. Годного сканера, который бы находил уязвимости на таких сайтах, просто нет. Из готовых инструментов я знаю лишь
You do not have permission to view link
Log in or register now.
, но он только помогает быстро собрать базовую информацию о жертве.Устанавливается DroopeScan через pip (естественно, у вас должен быть установлен Python):
HTML:
pip install droopescanЗапускаем сканирование. Так как он поддерживает не только Drupal, ему желательно явно указать, какую CMS мы ожидаем встретить на сайте:
HTML:
droopescan scan drupal -u http://url
Остальное приходится выискивать руками и гуглить в интернете. В этом очень помогают сайты с поиском по базам уязвимостей, например
You do not have permission to view link
Log in or register now.
, и готовые эксплоиты с PoC (их можно найти на GitHub и в даркнете).К примеру, возьмем уязвимость
You do not have permission to view link
Log in or register now.
, которой подвержены версии Drupal 7.х и 8.х. Она позволяет загрузить и вызвать shell удаленно. Эксплоит для PoC можно взять
You do not have permission to view link
Log in or register now.
.
Уязвимый Drupal:
Сканер выдал мне лишь версию CMS, и этого хватило для эксплуатации уязвимости. В целом взлом Drupal и других CMS по своей сути ничем не отличается от поиска дыр в любом другом онлайновом сервисе. Бреши в безопасности либо есть, либо их еще не нашли.
PoC уязвимости CVE-2018-7600:
Не надо далеко ходить за боевым
You do not have permission to view link
Log in or register now.
, чтобы открыть сессию в Meterpreter и воспользоваться уязвимостью в полной мере.
Удар по самописным сайтам
С тестированием самописных сайтов все намного сложнее. Нет конкретного сканера, который сказал бы: вот тут есть старая версия веб-приложения, в нем известная дыра, вот ссылка на эксплоит и подробное описание его применения. Есть только очень обширный список потенциальных уязвимостей, которые нужно проверить. Проводят такие взлома по методике OWASP или собственным алгоритмам.
Взлом — дело сугубо творческое. В нем нет жестких рамок и перечня обязательных инструментов, особенно если они опенсорсные.
Если нужно проверить возможность взлома самописного сайта, то лучше начинать с того же WhatWeb. Только теперь мы смотрим не CMS, а все обнаруженные сервисы и их версии.
Есть множество уязвимых версий самих фреймворков. К примеру, зачастую используют устаревшие версии
You do not have permission to view link
Log in or register now.
или
You do not have permission to view link
Log in or register now.
. Эксплоиты для них есть в открытом доступе.Также стоит обратить внимание на версии самих языков программирования. К примеру, в PHP постоянно находят уязвимости, а с момента их обнаружения до апдейта на сайте может пройти не одна неделя.
Следующим шагом желательно воспользоваться сканерами безопасности. Даже если они не дадут готовый вердикт, то подкинут пищу для размышлений. Например, программа
You do not have permission to view link
Log in or register now.
поможет пробежаться по открытым директориям и вернет коды ответов.Для проверки на типовые уязвимости воспользуйся универсальными сканерами:
You do not have permission to view link
Log in or register now.
,
You do not have permission to view link
Log in or register now.
,
You do not have permission to view link
Log in or register now.
,
You do not have permission to view link
Log in or register now.
. Также советую иметь в запасе
You do not have permission to view link
Log in or register now.
.
Cканер Nikto:
Для всего остального есть
You do not have permission to view link
Log in or register now.
. Обычно с его помощью выполняется более сложный поиск уязвимостей веб-приложений. В качестве примера рассмотрим поиск и эксплуатацию SQL-инъекций.Ставим Burp Suite (в Kali Linux он уже предустановлен), находим в нем Repeater (повторитель запросов) и запускаем. В запросе GET или POST ищем передаваемое на сервер значение (типа id=12) и закидываем его в Repeater.
SQL-инъекция в Repeater:
Добавляем одинарную кавычку, чтобы проверить отсутствие фильтрации специальных символов в передаваемом значении, и видим сообщение с ошибкой syntax error sql. Возникновение ошибки говорит о том, что сайт уязвим к SQL-инъекциям. Для автоматизации развития атаки используем
You do not have permission to view link
Log in or register now.
.
HTML:
sqlmap -u http://url/page.php?id=1 --dbsКлюч -u указывает на URL цели, а --dbs говорит проверить все СУБД.
Sqlmap:
Этот комбайн для SQL-инъекций сам определит, какой пейлоад подходит, и по твоим командам вытащит все нужные данные из баз на сайте. Он даже предложит сразу определить пароли по хешам, если найдет.
