Kompromitovan parlament.gov.rs | rik.parlament.gov.rs, probarik.esolutions.rs

[1van]

Sa slike imamo:

   

System: 3.10.0-1160.36.2.el7.x86_64 (RedHat)
Web Server: Apache
PHP: 7.2.28
Ostali servisi: SQL (MySQL?), SSH

Hostname: govrs-*************.m.ha.rs

Čini mi se da su prva tri slova rik i da ima izmedju 7 i 10 nepoznatih: govrs-rik**********m.ha.rs.

Nije parlament, nije api, nije proba, jer nema p, onda sigurno isto nema g, q, j, y jer nema kukice dole.

Iz poznatih zona imamo: arhiva.rik.parlament.gov.rs, test.rik.parlament.gov.rs, www.rik.parlament.gov.rs, i lms.rik.parlament.gov.rs kao opcije koje ostaju. Ako pogledamo ostala poznata imena za m.ha.rs format je tipa: "telegraf-www-1.m.ha.rs, delhaize-www-2.m.ha.rs".

Dakle imamo sada:
govrs-rik-*******-1.m.ha.rs.
govrs-rik-********1.m.ha.rs.
govrs-rik-*******-2.m.ha.rs.
govrs-rik-********2.m.ha.rs.

Dvojka nije imamo primer 2. pa može se nalepi preko slike transparentno i da se vidi da se ne poklapa.

Dakle imamo sada:
govrs-rik-*******-1.m.ha.rs.
govrs-rik-********1.m.ha.rs.

Sa poznatim opcijama arhiva, lms, test.

Ako pogledamo crveni deo na slici vidimo da je srednji deo malo više ofarban, ali ne dovoljno da prekrije i, k, h, l, d, b, t, f.

Sto nas ostavlja sa: a, c, e, m, n, o, r, s, u, v, w, x, z. I nije arhiva, lms ili test.

Ako pretpostavimo da imamo i www u imenu:
govrs-rik-****-www-1.m.ha.rs.

Ostajemo sa a, c, e, m, n, o, r, s, u, v.

User je rikrs (vidi sliku u prvom postu), sto nas mozda dovodi do hostname: govrs-rik-rs-www-1.m.ha.rs. A ako je to tačno onda je to možda razvojna verzija glavnog RIK sajta (kompanije ESOLUTIONS).

Našao sam i ovo zanimljivo (Apache/CentOS, približna verzija PHP ali starija): https://www.shodan.io/host/79.101.42.217

Host: riktest.parlament.gov.rs (79.101.42.217)
Server: Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips PHP/7.2.14
X-Powered-By: PHP/7.2.14
X-Cache-Lookup: MISS from squid.eff.loc:80