Отчёт о тотальном изнасиловании gLark.Ru

(если у вас тонкая душевная организация и вы вот-вот расплачетесь)

Тут вся инфа, как мы нагнули этот говносайт gLark.Ru. Всякие дыры, векторы и прочая хуета. Статус у помойки: Сервак наш, админ сосёт хуй.

Вот на каком говне мамонта они сидят: CentOS 7, Apache 2.4.6 (mod_fcgid) + nginx, PHP 7.4.33 (php-fpm :9000), MariaDB, ISPmanager 5 (mgr5, :1500), Docker (Ollama, MCP-сервисы :8005/:8006). Юзер этой параши: glarkru (uid 529).

Гостевая книга

Качай спизженное добро

Вот тебе, блядь, все архивы и дампы, что мы вытащили из этой дырявой жопы. Качай, пока не прикрыли лавочку.

Дыра №1: Ходим по файлам, как у себя дома Пиздец

Суть

Эти дебилы пытались фильтровать пути тупым `str_replace`, причём даже не по кругу. В итоге можно просто въебать в путь `...././//`, эта хуйня превращается в `../`, и ты, блядь, гуляешь по всему серваку, где твоей душе угодно.

Смотри на это убожество:

$path = str_replace('', "", $path);
$path = str_replace('//', "/", $path);
$path = str_replace('../', "", $path);
$path = str_replace('./', "", $path);
$path = str_replace('\..', "", $path);
$path = str_replace('\.', "", $path);

Дыра №2: FastCGI торчит наружу, еби-не хочу Пиздец

Суть

Какой-то мудак оставил php-fpm слушать порт без пароля. Можно подключиться, подсунуть свои переменные типа `SCRIPT_FILENAME` и выполнять любой PHP-код от имени юзера сайта. RCE в чистом виде, блядь.

Дыра №3: Пакуем в ZIP что угодно и качаем Пиздец

Суть

Функция архивации, сука, создаёт ZIP прямо в той папке, где ты находишься. Если скрестить это с первой дырой (Path Traversal), можно зазиповать любую папку на сервере (типа `/etc/`) и спокойно скачать архив через браузер. Гениально, блядь.

Смотри на это убожество:

$gen_name = $user->getData()->domain.'_'.date("Y-m-d_H_i_s").'.zip';
$zip = zip($FileIO->getRealPath(), $FileIO->getRealPath().'./'.$gen_name, $FileIO->getPath());

Дыра №4: Пароли валяются прямо под ногами Пиздец

Суть

Все конфиги с паролями от базы, токенами и прочей хуетой просто лежат в папке сайта. Их можно прочитать через ту же дыру в файл-менеджере. Права на файлы, естественно, 777, чтоб наверняка.

Пример этого пиздеца:

[DataBase]
host="localhost"
login="glarkru"
pass="[СУПЕР_СЕКРЕТНЫЙ_ПАРОЛЬ_БЛЯДЬ]"
name="glarkru"

Дыра №5: Ебём сервак через заголовок Host Пиздец

Суть

Какой-то сервис для поддоменов жрёт заголовок `Host` из запроса и использует его для построения путей на диске. Естественно, без фильтрации. Можно подсунуть `Host: ../../../tmp` и распаковать свой ZIP-архив с веб-шеллом куда-нибудь в `/tmp`.

Дыра №6: Бэкдоры и закладки от предыдущих ораторов Пиздец

Суть

Сервак — проходной двор. Тут уже до нас побывали и оставили кучу говна:

• glark.ru/vesta.php — Левый API-скрипт с зашитыми паролями для управления сервером.
• apps/js/cache.php — Классический веб-шелл, чтобы команды выполнять.
• apps/js/reinject.sh — Скрипт, который по крону восстанавливает всю эту хуйню, если её удалить.

Дыра №7: Токен захардкожен, как у последнего мудака Почти пиздец

Суть

В каком-то служебном скрипте токен для доступа к внутренним сервисам просто вписан в код. Если кто-то спиздит исходники (а их уже спиздили, см. выше), то сможет от имени сервера дёргать внутренние API.

Список дырок, куда совать

Вот список адресов и файлов, которые надо либо снести нахуй, либо закрыть доступ, пока не поздно: