Finest.se - Databas Hackad

Hej

Kom över databasen hos Finest.se. Var egentligen ute efter en specifik persons lösenord för något helt annat, men slutade med att jag fick attackera Finest.se för att få tag på personens lösenord. Fick alltså hela databasen hos Finest.se på köpet då denne person är medlem där.

Trodde en så pass stor bloggportal skulle ha bättre säkerhet. Det var via ett hål i Wordpress jag kom åt den.

I den zippade filen finns:
Finest.se_User_Email_Hash.txt (Användarnamn:E-post:Lösenordshash)
Finest_hashes.txt (Enbart alla lösenordshashar)
Cracked Hashes.txt (Dom hashar jag orkat cracka. Enbart kört igenom rockyou-wordlist pga ork och taskig GPU. Ni får söka i Finest.se_User_Email_Hash.txt, orkar inte göra en försköning)
fnst_prod_global.fist_users.sql (Hela användardatabasen i MySQL-format)

ca 1000st hashar crackade av ~15000st. Går enkelt att få ut massvis fler med ork och bra GPU.

Ska bli intressant att se hur snyggt dom sköter detta.

https://minfil.org/8f88wbc2b5/finest.se_hacked_database.zip

Fint jobbat

La in den via virustotal, https://www.virustotal.com/#/file/d98c47ae4965025bde30f63ce4236b1ef4c9ac684f8ee94d75 1ab88c268b6ef8/detection

Ser bra ut

Det var ju lite oschysst. Vore väl trevligare om du skulle ta de uppgifter du faktiskt var ute efter och sedan upplysa stället om säkerhetshålen de har. Men men... säkert fler som hittar nytta i materialet. Får hoppas fjortisar och fjantar som bloggar där får lite ofrivilliga anala sammandragningar när de märker av detta och gör något bättre av sitt liv sedan.

Vad tror ni salaries-tabellen ska representera? Har liksom lite svårt att tänka mig att bloggare 9193 har fått 1 155 885 kr av finest

Edit:
Eller iofs, det kanske är interna löner. Bloggaren kanske jobbar där nu eller något

Sedan 2016-07-26 har jag rotat i 2 av 3, av deras servrar, lämnat nu minst 30st meddelande direkt till deras SIP, hålet finns öppet på andra forum.

Varken försökt eller visat något intresse på att byta vitala uppgifter, nu ligger även en öppen shell på deras dav.

Förvånar mig inte, ingen som tar säkerhet på allvar. Har kikat och sett flera nyhets-/bloggsidor som kör 6-10 år gamla versioner på sina olika system, inga patches osv. Förvånad att inte fler personer dumpar deras data för att jävlas.

Så sant.
Jag körde en vanlig WPScan på sidan och det är inte dåligt med utdaterade tillägg med mera:

https://pastebin.com/21KauX7N

Hur får man reda på det riktiga lösenordet då? är en amatör

Men du kan se ~1000 lösenord i klartext i ena filen.

Hur vet man vilka lösen som tillhör vilka mail adresser?

Kan inte nån lägga upp en liten snabb guide på hur ni gjorde för att "komma åt databasen"? För oss normala är det fan inget man "råkar" göra. Jag blir glad om jag råka logga in på ett okrypterat trådlöst nätverk typ.

Kopiera lösenordshashen i "Cracked Hashes.txt" -> öppna "Finest.se_User_Email_Hash.txt" -> Sök