Взлом AmxBans 6 GM 1.6 через Shell

Можно поподробнее, что за соль?
Текущий конфиг:

ex3m777, изучай
Защита от подмены на определённые SteamID

Спасибо, не видел эту тему Сейфити. Попробую, может поможет.

Еще информация: сервер, распространяющий троян, стоит у этого товарища дома на своем статическом IP:

какой еще троян? это лапша повешанная на уши, обычный сплоит php скрипта.

Ну там может быть и dll'ка с asi файлом, не суть.

У меня остается 1 вопрос. Как происходит клонирование админа, прописанного по нику/паролю, не зная пароля?

На сервер пока не заходил, но пригласив на свой сервер можно получить:
1) AuthID и при желании AuthString или тикет
2) UserInfo и в частности "пароль от админки"
Затем зайти на целевой сервер под "данными админа" и через ркон получить данные от базы если они записаны в текстовом файле или кварах.

ИМХО надо не давать админам доступ к CVAR
для параноиков перекомпилить amxbans заменив название кваров, относящихся к логину/паролю БД

Если баг действительно в веб части могу посмотреть, быстро не обещаю и нужны доступы либо дамп файлов, бд и лог взлома

cvarlist же.

Спасибо, это вполне понятно. На своем сервере он получил значения setinfo конфига. Зашел на "целевой" сервер с правами данного админа (логин/пароль).
А дальше его встретило: rcon "", rcon_password "" - пустые. amx_cvar, amx_plugincvarmenu, amx_cvarmenu на флаги, которых нет ни у кого.
Доступ к БД банса прописан только в конфиге Фрешбанса и в sql.cfg на сервере.
Пароли к БД/вебморде банса разные. Значит он получил доступ к БД Банса и изменил хеш сумму поля пароля. Таким образом сменив пароль к морде банса. (в логах банса не было изменения пароля данного админа, значит смена произошла из БД)
Как он получил доступ к sql.cfg?

Yaroslav, amx_rcon же.

] amx_cvar amx_sql_host; amx_cvar amx_sql_user; amx_cvar amx_sql_pass
[AMXX] Cvar "amx_sql_host" is "***"
[AMXX] Cvar "amx_sql_user" is "***"
[AMXX] Cvar "amx_sql_pass" is "***"

amx_rcon, amx_showrcon на флаги которых нет ни у кого.

Yaroslav, Этот тип ещё и деньги предлагает за троян =DА по теме, вот что.
1. У меня все админки через users.ini и только лишь Steam-игрокам, а также выставлены по Steam ID т.е. толку от веб-морды = 0 (только снимать/редактировать баны).
2.Все файлы у меня скачиваются, только с быстрой закачки, а также стоят 2-3 квара на запрет закачки файлов на сервер. Ну и ни у кого нет флага доступа "l", есть, он только у меня. Также стоит "уникальная" SteamIdHashSalt + выставлены отдельные префиксы, только для Steam игроков.
Так что, я думаю, что чтобы я заходил или же нет, то толку было бы 0 :)
Я уже в это время спал, когда звонил ты мне, так что как с работы приеду, отпишусь тебе или перезвоню.

Спасибо большое старик :) Да, это именно он (по логину в скайпе).
Былая целая новелла из серии "Шерлок Холмс" по выяснению того как меня ломанули:
1. Увидел смену пароля к морде банса - подумал: Шелл поймал хозяин сервера, так как я его точно не ловил)
2. Увидел баны от хозяина сервера в бансе, посмотрел IP взломщика, по нему все, что он делал в логах.
3. Нашел сообщение, похожее на скайп, после сообщений о продаже "способа взлома", увидел, что человек с таким именем добавился ко мне в вк. Сам набрал ему в скайп :)
4. Вытягивал из него пару часов как он это сделал, так как бесплатно он рассказывать не хотел.
5. От него выяснил, что заманил хозяина сервера на свой сервер и там все у него спер (setinfo) :)
6. Выяснил, что без заманивания он ничего сделать не может и это не шелл.
7. Понял, как он склонировал заманенного админа - хозяина сервера.
8. Возможно, через открытые amx_cvar (сейчас я все перебрал по-новой) он спер доступ к БД банса, точнее не он сам, а его утилита, в которой он только умеет нажимать кнопку "start".
9. Возможно через эту же утилиту он клонирует userid любого зашедшего админа, беря пароль из БД, как хеш сумму числа поля с паролем и также меняет поле "password" таблицы "amx_webadmins".

Подожду его, погляжу, сможет ли снова ломануть и верна ли моя цепочка расследования.))

Yaroslav, Можешь, его ещё раз ко мне отправить =D

Конец истории. После применения всех советов данной темы взлом повторный стал невозможным. Самым действенным и результирующим всю работу было дать админки по реальному стимайди/паролю.

Yaroslav, Пароль, можешь убрать, он не актуален)

Ну почему же... Некоторым помогает, как защита от "младшего брата", который играет, пока ты в институте (в школе, на работе, умер)..
А еще помогает проверить работу своих админов со стороны, зайдя без прав и с другим ником

georgeml, Ну это уже зависит от того, если ли младший брат и какой собственно сам сервер.
Обычно, раньше ставили пароль, только на связку, вместе с ником, а если доп защита нужна была, то уже и на IP со Steam ID. Но, а так как админки, выдаются сейчас в данном случае, только по реальному стимайди, то пароль, я думаю не нужен)