Атаки дефейсеров называют дефейсами. Существуют большие сайты, которые являются архивами дефейсов. Эти архивы открыты для всеобщего доступа, и конкурирующие между собой группы всегда могут видеть, сколько очков они (или их конкуренты) набрали, взломав то или иное количество сайтов. Как я уже говорил, дефейсеров не интересует, что за сайты станут их мишенью. В большинстве случаев они просто используют автоматические утилиты для поиска уязвимых серверов и эксплуатации найденных уязвимостей. Эксплойт автоматически загружает на зараженный сервер бэкдор, который затем будет обеспечивать, например, shell-доступ к зараженному серверу. После этого дефейсер может запускать через бэкдор атаки, такие как, например, попытка повышения привилегий с применением локальных эксплойтов, использующих уязвимости в ядре, или внесение зараженного сервера в архив дефейсов. Эти бэкдоры также могут продаваться на черном рынке, а покупатели уже могут превращать зараженный сервер в узел DDoS-сети или использовать его для проведения массовых рассылок спама. После проведения атаки дефейс автоматически заносится в архив. Ниже в качестве примера приведен скриншот: фрагмент бэкдора, который отправляет информацию в большой архив дефейсов.

Ниже приведены примеры скриншотов веб-сайтов, которые содержат статистику по группам дефейсов.

Существует специальный раздел для взломанных сайтов высокого ранга, т.е. сайтов больших компаний, организаций или правительств. Некоторым доменам верхнего уровня (TLD, top level domains) автоматически приписывается высокий статус. Ниже приведен скриншот со списком атак, мишенью которых являлись веб-сайты высокого ранга:

На сайте даже предлагается статистика — за сутки, месяц, год:

ПРИМЕНЯЕМЫЕ МЕТОДЫ

Совершенно разные группы дефейсеров используют очень похожие методы: у них есть сканеры, которые обнаруживают уязвимые серверы и затем используют найденные уязвимости для загрузки на них бэкдоров. Эти бэкдоры сообщают информацию о зараженных серверах атакующему, а иногда выступают в роли дополнительных сканеров. В большинстве случаев применяются известные, а не zero-day эксплойты. Нижеприведенный скриншот дает представление о том, какие уязвимости были широко доступны в один отдельно взятый день.

Злоумышленники часто используют Google Dorks для выявления уязвимых серверов. Google Dorks — это тип особым образом сформированных запросов, которые можно использовать, например, для поиска всех веб-сайтов, работающих с определенной версией определенной программы. В некоторых случаях бэкдор загружает базы данных, содержащих Google Dorks, и становится сканирующим узлом для поиска новых уязвимых серверов. Ниже приведен скриншот сайта, на котором предлагается Google Dorks для VopCrew IJO Scanner v1.2

ИСПОЛЬЗУЕМЫЕ ИНСТРУМЕНТЫ

Утилиты, которые дефейсеры используют для поиска новых уязвимых серверов, в основном проверяют наличие двух типов уязвимостей: удаленное или локальное включение файла.

Вот лишь некторые из бесплатных утилит. Все они находятся в свободном доступе:

• LFI intruder
• VopCrew IJO Scanner v1.2
• Single LFI vulnerable scanner
• SCT SQL SCANNER
• Priv8 RFI SCANNER v3.0
• PITBULL RFI-LFI SCANNER
• Osirys SQL RFI LFI SCANNER
• FeeLCoMz RFI Scanner Bot v5.0 By FaTaLisTiCz_Fx

Как мы уже сказали, как только дефейсеры находят и взламывают уязвимый сервер, они загружают на него бэкдор. Бэкдоры выполняют разнообразные задачи, но большинство из них наделены функциями обхода защиты РНР, кражи информации, чтения/изменения файлов, получения доступа к базам данных SQL, взлома паролей, исполнения производных команд и повышения привилегий. В ходе своего исследования я нашел более сотни различных РНР-бэкдоров и образцов shell-кода, но выяснилось, что почти все они используют одну и ту же базу: большинство выявленных бэкдоров основываются на:

• r57
• c99
• Locus7Shell

Прием, который бэкдор использует для повышения привилегий, как правило, выполняется с применением так называемых авторутеров или путем извлечения паролей из файлов конфигурации, находящихся на зараженном сервере. Авторутеры — это просто shell-скрипты, которые загружают пакет предварительно скомпилированных эксплойтов,, готовых для исполнения. Затем shell-скрипты анализируют компьютер, чтобы понять, какие эксплойты запускать, а потом и запускают их. Если эксплойту удастся успешно повысить привилегии, следом устанавливается другой бэкдор или руткит. Есть несколько веб-сайтов, которые предлагают такие авторутеры. Пример одного из них — на скриншоте ниже:

РЕШЕНИЕ

Одна из наиболее серьезных проблем в борьбе с дефейсами состоит в том, что дефейсеры не только эксплуатируют технические уязвимости, они еще и пользуются невежественностью администраторов сайтов. Большинство людей, которые сегодня работают с веб-серверами, не понимают важности того, что система должна отвечать современным требованиям и быть полностью закрытой патчами. Несмотря на то что устанавливать патчи важно и сравнительно просто, по каким-то причинам одной из самых распространенных проблем безопасности является нежелание вовремя обновлять программное обеспечение. В процессе повышения уровня квалификации своего IT-персонала компании и организации часто тратят много времени и сил на объяснение механизмоввнедрения SQL-кода или переполнения буфера и возможных последствий этого, тогда как разумнее было бы сконцентрироваться на своевременной установке патчей и правильной конфигурации системы.

Еще одна серьезная проблемасостоит в том, что администраторы почему-то считают операционные системы Linux/Unix более защищенными, чем Windows, и просто не считают нужным заботиться об их безопасности и правильной конфигурации.

Правильная настройка способна в той или иной степени защитить веб-сервер от определенных типов эксплойтов. Например, многие эксплойты, упомянутые в этой статье, эксплуатируют file-Inclusion-уязвимости, которые позволяют атакующему включать в текущий документ и любой файл по своему выбору ; в некоторых случаях это могут быть файлы с внешних сайтов. Достаточно лишь установить, из какой папки конкретному веб-приложению или веб-сайту разрешается включать файлы, — и проблема защиты от подобного типа эксплойтов будет решена.