ปกติแล้ว ในสายตาผมเนี้ย ผมว่าเรื่องแฮกมันเป็นเรื่องปกติ เลยนะ
มันก็เหมือน กับการที่ คุณชอบทำอะไรๆ ในเวลาว่างๆ
ไม่ว่าจะ dota, ragnarok, อ่านหนังสือ, นอน … บลา บลา บลา
แต่สำหรับผมแล้วเนี้ย การแฮก เนี้ย แฮก ไปเถอะ ขอแค่ต้องไม่สร้างความเดือดร้อนชาวบ้าน ก็พอ
การที่เราไม่ไปทำให้ใครเดือดร้อน เราก็จะไม่รู้สึกผิด ไม่รู้สึกบาป ก็จะไม่เป็นกรรมผูกพันกันไปในอนาคตข้างหน้า
อะไรทำนองเนี้ย อ่ะนะ
แต่ การแฮกของผม มันต้องใช้ความ สามารถ กับ จริยธรรม ซักนิด หลักๆ เลย คือ
1. จะไม่แฮกพาสเพื่อน, คอมเพื่อน, ข้อมูลเพื่อน
เพราะอะไรน่ะเหรอ ? เพื่อนดีๆเนี้ย มันหายากนะ ผมอ่ะยิ่งมีน้อยๆ อยู่ (คงไม่ค่อยมีใครจะมานับผมเป็นเพื่อนมั้ง ฮ่าๆ)
ดังนั้น การทำแบบนี้ มันจะทำให้เสียเพื่อน ได้ง่ายๆ
(ข้อนี้ ตาคริต ฟังไว้เลย คดีที่แฮก sv XXXXcyberXXXX แล้วได้พาส 123456 ของตูไป
แล้วมันเอามาเยอะเย้ยใน iRC … ยังจำไม่ลืม แสด !!)
2. จะไม่ดักพาส user ในเวปเราเอง
ข้อนี้ ผมไม่ทำ และผมพยายาม บอกเสมอๆ ว่า พาสในเวปผม ให้ตั้งไม่เหมือนที่อื่น
อย่าตั้งให้มันง่ายนัก ไอ้พวก เลขล้วนๆ ตรงกับ dic พาส defult ทั้งหลาย เนี้ย รีบเปลี่ยนซะ
คนเรียนคอส แฮก เจอแต่ละสคิปที่แจกไป หนาวดึ๋ง !!
—————————————-
เอาล่ะ กลับเข้าเรื่อง
เมื่อวันที่ 28 ตค. ขณะที่ รวมหัวกัน hack เครื่องชาวบ้าน อยุ่ใน teamspeak แล้ว
ก็เลิกล้มกันไปเพราะว่า ไม่ได้แฮกใครมาจะเป็นปี … หอยที่มีก็ดองจนเน่าไปหมดแระ
แล้วผมไม่รุ้เอ๊ะใจยังไง เข้าไปเช็ต log report ของเครื่อง server เครื่องของผมเครื่องนี้ดูใน root
นานน๊าน จะดูมันซักครั้ง ถ้า sv ไม่ดับ หรือไม่ว่างจัด อะไรทำนองนั้นอ่ะ
อยุ่ๆ ก็ไปเจอ mail อันหนึ่ง
X-Original-To: apache@stephxxx.com
Delivered-To: apache@stephxx.com
Received: by stephxxx.com (Postfix)เนื้อหา
This is a MIME-encapsulated message.
This is the mail system at host stephack.com.
I’m sorry to have to inform you that your message could not
be delivered to one or more recipients. It’s attached below.
For further assistance, please send mail to
If you do so, please include this problem report. You can
delete your own text from the attached returned message.
The mail system
: host gmail-smtp-in.l.google.com[74.125.127.27] said:
550-5.1.1 The email account that you tried to reach does not exist. Please
try 550-5.1.1 double-checking the recipient’s email address for typos or
550-5.1.1 unnecessary spaces. Learn more at
550 5.1.1 http://mail.google.com/support/bin/answer.py?answer=6596
d19si11477024and.61 (in reply to RCPT TO command)Received: by stephack.com (Postfix, from userid 48)
id D3D445B4020D; Sun, 24 Oct 2010 15:40:28 +0700 (ICT)
To: hack.notify@gmail.com
Subject: shell site
From: “test@test.comReply-To:test@test.comReturn-Path:test”@test.comMessage-ID: <1287909628-test@test.com>,
“X-Mailer:PHP”@stephack.com, v5@stephack.com
Message-Id: <20101024084028.D3D445B4020D@stephack.com>
Date: Sun, 24 Oct 2010 15:40:28 +0700 (ICT)www.stephack.com/ชื่อสมมุติ.php
สรุป ประมาณว่า เครื่อง sv ผม มันส่ง mail ออกไปหา hack.notify@gmail.com ซึ่งก็เป็นของ gmail (gmail-smtp-in.l.google.com)
แล้ว ทาง gmail ก็ตอบกลับมาว่า ไม่มี mail hack.notify@gmail.com แล้วน่ะเว้ย มึงส่งมาทำไม๊
ซึ่ง หากใครเป็นเวแที่ โดน mail spam มาสมัครสมาชิกบ่อยๆ ก็จะรุ้ว่า บาง mail มันเน่าไปแล้ว การตีกลับเป็นเรื่องธรรมดา
… แต่ เฮ้ย Subject: shell site แถม เนื่อหาข้างในแมร่ง บอกเป็น link … นะนะ นี้ มัน shell นี่หว่า
คิดในใจ งานงอก ชุดใหญ่ เลยตรู .. โดนคนรู้จัก pentest พอว่า .. แต่ shell หน้าตาแบบนี้ เป็นฝรั่งป่าววะ, เข้ามาทางไหนได้วะ, ใครทะลึ่งเอามาวางวะ >_<
ก็เลยต้องโหลด log access อันใหญ่โตมาตรวจ … เฉพาะ stephack เนี้ย จากวันที่ 26/Feb/2010 – 29/Oct/2010 ก็ 373,277 บรรทัด ประมาณ 93.5Mb
ซึ่ง ของ opkwin อ่ะ 6 GB กว่าๆ … แล้วยังของเวปอื่นอีก T_T (ช้าตรงโหลด กลับมา ให้ครบทุกเวปนี่แหละ)
หากดูจาก mail ที่ส่งออกไป วันที่ 24 ( ตอนนั้น เพิ่งกลับจาก นรา … ไป ตจว.ทีไร กลับมาโดน hack ทุกทีซินะ[ ผมโดน 4-5 เดือนครั้ง เป็นเรื่องปกติ] )
ดังนั้น ขอตัดเอามาแต่ที่ มันชัดๆ นะ
27.130.84.170 – - [24/Oct/2010:15:37:38 +0700] “GET /ชื่อสมมุติ.php HTTP/1.1″ 200 7358 “-” “Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.11) Gecko/20101012 Firefox/3.6.11″
อันนี้บอกว่า คนแฮกกำลังเปิดเข้าไปใน shell ที่วางไว้
27.130.84.170 – - [24/Oct/2010:15:38:33 +0700] “GET /ชื่อสมมุติ.php?act=cmd&d=%2Fhome%2Fstephack%2Fpublic_html%2F&cmd=cat+%2Fetc%2Fpasswd&cmd_txt=1&submit=Execute HTTP/1.1″ 200 3954 “http://www.stephack.com/ชื่อสมมุติ.php?act=ls&d=%2Fhome%2Fstephack%2Fpublic_html&sort=0a” “Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.11) Gecko/20101012 Firefox/3.6.11″
อันนี้ กำลังสั่ง ดึงetc/passwd เพื่อหา พาธ อื่นที่ จะกระโดด ไป ซน (แต่ติด ไปไหนไม่ได้ เพราะ c99 ที่ up ขึ้นมามาติด disible function)
อืมเห็น ip เป็น 27.130.84.170 นี่ผมดีใจนิดๆ นะ ที่ไม่ใช่ฝรั่งที่ไหน เพราะเป็น เน็ต 3BB Board Band ของพี่ไทยเรานี่เอง … เกิดเวปเป็นอะไรจะได้เรียกมาคุยกันง่ายๆ หน่อย
ซึ่งจาก log ก็ เดินไปเดินมาอยู่ ถึง [24/Oct/2010:15:43:08 +0700] ก็ราวๆ ไม่กี่นาที แต่ปัญหาคือ แมร่งเข้ามาทางไหน !!
(ที่อุส่าดู log เพราะ คิดว่าเข้าถ้าทาง wp จะดีใจมาเลย ที่ได้เห็น private exploit จะได้ตบไปไว้ hack wp ชาวบ้านต่อได้ซะหน่อย อิอิ)
แต่จาก ร่องลอย file หอย มันขึ้นมา ใน สิทธิ์ของ user ซะงั้น .. เยสเข้ ตูตั้ง ssh, ftp ไว้ว่า login ผิด 3 ครั้งให้ ban ip ซึ่งพาสผมนี่เป็น sha-1 ยาวจะตายห่า ยังบรูทได้ใน 3 ครั้ง !?
เอ๊ะ หรือ บรูท login ของ wp-admin เข้ามาหว่า เพราะคนละพาส .. นั่งเช็ค log ก็เจอ ip ที่ พยายาม บรูทอยู่หลาย ip พอสมควร
ซึ่งเจอบาง ip ใช้ agent คุ้นๆ เหมือนเคยเป็นคนแจกแนวทางไว้ที่ thaishadow และ log มี ทั้งคนที่เรียน คอส 1
แล้วก็มี เจ้า อาม หรือ ลูกเด็กเจ้าอาม แหละ มาซนด้วยนะเนี้ย … แต่ผมไม่สนใจ เพราะ ผมมุ่งเป้าไปที่ ip 3bb เท่านั้น
( แจกมากๆ ดาบนั้นคืนสนอง เลยเห็นมะ ชิชะ )
นั่ง งมหาเท่าไหร่ก็ไม่เจอทางเข้า … (ผมเขียน perl เช็คจาก log มั่นใจพอประมาณว่าพลาดแน่นอน)
ดังนั้น ถ้าไม่ได้ บรูทเข้ามาแน่นอน เพราะ ถึงบรูทมาได้ ก็เอา shell ขึ้นทาง บรรได ทั้ง 2 ทาง ก็ไม่น่าจะได้ เพราะ ติด perm แน่นอน
ตัดสินใจ … เอาวะ ดู log ftp ของ เจ้า 27.130.84.xx ซะหน่อย
stephack ftpd2493 ::ffff:27.130.84 Sun Oct 24 15:37 – 15:38 (00:01)
stephack ftpd2461 ::ffff:27.130.84 Sun Oct 24 15:35 – 15:40 (00:04)
pongz.fi ftpd32221 ::ffff:27.130.84 Sun Oct 24 15:27 – 15:28 (00:00)
stephack ftpd32158 ::ffff:27.130.84 Sun Oct 24 15:25 – 15:26 (00:01)
stephack ftpd30939 ::ffff:27.130.84 Sun Oct 24 15:24 – 15:25 (00:01)
stephack ftpd29633 ::ffff:27.130.84 Sun Oct 24 15:19 – 15:20 (00:01)
stephack ftpd29523 ::ffff:27.130.84 Sun Oct 24 15:15 – 15:16 (00:01)
stephack ftpd28331 ::ffff:27.130.84 Sun Oct 24 15:14 – 15:27 (00:13)
อืม เข้ามาจริงๆ ด้วยแฮะ … เวลารวม ราวๆ 22 นาที (เวลาประมาณนี้ น่าจะ edit ได้หลาย file T_T)
จากการนั่งดู log แล้ว สรุป เลยแล้วกัน ลำดับเหตุการณ์โดน hack
- จาก log เข้ามา sniff ตั้งแต่ ปลายๆ กันยา หรืออาจจะก่อน เพราะ ได้ pass ftp ผมปุ๊ป มัน login มาปั๊ป (28 กย.)
เอา shell ตัวที่ 1 วาง แล้วดู พาส sql …จากนั้น ลบ shell ทิ้ง ให้ตามไม่ได้ว่าวางไว้ตอนไหน
- ระหวางนี้ คงเข้ามาโหลด VDO สอน แฮกไปดูแล้วจะรู้ว่าผมไม่อยู่เวป วันไหน (ไป นรา)
- พอผม ไม่อยู่เวปปุ๊ป 24 ตค. เข้ามา บู๊ ตามที่ สอน ใน VDO ปั๊ป แต่ ทำตามที่ สอนใน VDO ไม่ได้ เพราะ ติด perm
(ลองอยู่ ตั้งแต่ 24 25 26 27 28 แล้วหยุด คงเพราะไปต่อไม่ได้ หรือไม่ก็เพราะผมกลับมา)
เลยทิ้ง shell ตัวที่ 2 ไว้ (ป้องกันผมเปลี่ยนพาส ftp จะได้ไม่ต้องดักใหม่ อีกรอบมั้ง)
- 29 ตค ผม รู้ตัวว่าโดนแฮก แต่คิดว่า โดนแฮก เมื่อตอนวันที่ 24 (จาก log ของ shell ตัวที่ 2 คิดว่าเพิ่งโดนตอน 24 ตค.)
ผมเลย ลบ shell + เช็คว่าทำอะไรไปมั่ง + อุด + เปลี่ยน พาส FTP และ โทรหาเอ็ม กะ พุด
บอกเรื่อง โดนแฮก พาส FTP แล้วบอกว่า สงสัยว่าคนในน่าจะทำ แต่ยังบอกว่า อาจจะ โดน โทรจันเองก็ได้
เพราะ ใช้เครื่อง ของ พี่ชายแฟน login wordpress ของ stephack (แต่ค่อนข้างมั่นใจว่า ไงๆ ก็ไม่น่าจะ ผ่าน perm ที่เซ็ตไว้ได้)
- 30 ตค.ผมโหลด log ทุกเวปมาเสร็จ ตรวจ log แล้วรู้ว่า โดนตั้งแต่ 28 กย.
ตาม เช็ค rootkit, ตาม ip, agent ฯลฯ ก็พอจะรวมได้ ว่า เข้ามากี่ครั้ง กี่นาที
และพอประเมินได้แหละ ว่าใครจะน่าสงสัย และ ได้อะไรไปบ้าง
(คือว่า พอจะรู้จักพวก ที่แฮกๆ ว่าใครใช้ เน็ตอะไร ip อะไร ตัว scan เขียนแบบไหน ดูจาก log ก็พอจะรู้ว่า คนรู้จักหรือไม่ ที่เข้ามาซน )
แต่ ดูจาก log โดนตบพาส FTP แน่นอน ไม่ได้เข้ามาทางอื่น ซึ่งโทรจันที่รู้จักๆ ในปัจจุบัน ไม่มี ฟังชั่น sniff ไวเรส แน่นอน นอกจากจะเทพ พอที่จะเขียนเอง
… แต่จาก shell ที่เอามาวางแมร่ง c99 มันเป็น shell ที่ กาก มากๆ (มันแค่ สวยงาม ใช้ง่ายแค่นั้นจริงๆ) ดังนั้น ไม่น่าจะ โดนทางโทรจันแล้วมั้งเนี้ย
- 30 ตค. พอผมกันเสร็จ ราวๆ 5 ทุ่มมั้ง ( ตอนนั้น ยังคิดว่า คงโดนโทรจัน เพราะ เครื่อง sv เจ้า พุด ยังปกติสุขอยู่)
ราวๆ เที่ยงคืน ดันมีคน เข้ามาใน teamspeak3 ใช้ชื่อ widnows98SE แถมเป็น Server Admin
เข้ามาประกาศเก็บเงิน ทุก user คนละ 50 บาท ทั้งๆ ที่ ผมก็อยู่ใน server ด้วย ซะงั้น (เหยียบหน้า กันเลยนะเนี้ย)
ตอนนั้นผมปิดเสียง เลยไม่ได้ฟัง มารู้ตัวตอนมันไปแระ แล้ว คนใน sv ทักมา เลยไม่ได้ เอา IP มาซน … ตรงนี้นี่เซ็งนิดๆ
เห็นคนใน sv บอกว่าเสียงยังเป็นเด็กๆอยู่เลย (จะใช่คน hack all2bot.com เพื่อเรียกค่าไถ่มั้ยหว่า เพราะใน log รอยซน มันโยงไปหา เวป all2bot ซะด้วยซิ)
- 31 เครื่อง เอ็ม โดน net cut อันนี้ ผมเดาเลยว่า +เครื่องเอ็ม มัน SFTP เลย sniff พาสไม่ได้
เลยต้อง netcut เพราะ หมั๋นใส้ +ทิ้งทวนข้อหาหมั๋นใส้ ก่อน เอาเครื่องออก เพราะ น่าจะใกล้ ครบเดือน
ประมาณว่า เช่า เข้ามาวางเครื่องเพื่อ ดักพาส ซัก 1-2 เดือน แล้ว เอาออกเพื่อความเกรียน เอ้ย เนียล
คือ ถ้าจะให้ ตามยาก อ่ะนะ .. เช่ามาวาง-> sniff ftp -> วาง shell -> เอาเครื่องออก ….. ก็จะตามยากแระว่าใครทำ
แต่อันนี้ คง เกรียนแตก เพราะ ดักเวป เป้าหมายคือเจ้าพุด ไม่ได้ ก็เลย arp ทิ้งทวน
- 31 สรุป ฟันธงว่า pass FTP ผม โดนจาก มีคนเอาเครื่อง มาฝาก ไว้ใน ตู้เดียวกัน แล้ว ทำการ sniff พาส ก็เลยได้ พาส ftp ไป
เครื่องที่ โดน ก็ น่าจะโดนกัน ยก class ตั้งแต่ ip 210.1.61.1 ไปจนถึง 210.1.61.255 (แก๊งผมซึ่ง อยู่ในตู้เดียวกัน จะมีแค่ 8 IP ในนั้น)
-31 เอ็ม แจ้งไปทาง noc (ผู้ดูแลใน csloxinfo) ซึ่ง ดูจาก mac address ซึ่งรู้แล้วล่ะ ว่าเครื่องไหนทำ
แต่ noc บอกไม่ได้ว่าใครเป็นเจ้าของ เพราะติดเรื่อง policy ของ ลูกค้า (ต้องเอาใบแจ้งความไปให้ ถึงจะบอกว่าเครื่องใคร)
ซึ่งถ้า เครื่อง ในคลาส ip นี้ ที่โดนแฮก ไปแจ้งความ แล้วเอาใบแจ้งความไปให้ที่ noc …
noc ก็ จะให้ ข้อมูล ของเจ้าของเครื่อง แล้ว เจ้าของเครื่อง ที่ hack ก็เตรียม ขึ้นศาลไป
สรุป
- shell ก็ยังใช้ c99 ที่โดนฝรั่งวางยาไว้อีกที
- ยัง bypass ไม่เป็น
- คงกะว่า ได้ root เครื่องแล้วค่อย ลบ log ทีหลัง … หรือป่าว ?
หรือไม่ก็ ใช้ สคิปสำเร็จรูป ซึ่งไอ้พวก script ลบ log ต่างๆ
มันไม่พาธที่ใช้ในการเก็บ log ของตูที่เก็บไว้น่ะ
- ยัง ไม่น่า ซึ้ง ใน php เท่าไหร่ เพราะ shell ที่ใช้ยังโดนวางยาอยู่เลย
- ยังเป็นพวกใช้ tool สำเร็จรูปอยู่ เพราะ ยังเขียนเองไม่เป็น
(ตราบใดที่ยังใช้ tools อยู่ ก็ยังทำได้แค่นี้แหละ)
- ไม่น่าใช่เด็กๆ ในคอสด้วย
- แต่น่าจะใช่คนที่ผมสงสัย (เพราะ ลักษณะการแฮกเข้ามา มันโยง ให้คิดถึง ผลงานที่สร้างไว้ ของ คนๆ หนึ่งใน อดีด)
