WWW.DISSERS.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА

   Добро пожаловать!

Pages:     | 1 |   ...   | 2 | 3 ||

«ББК 32.973 Максим Левин УДК 681.3 Руководство для хакеров Максим Левин Л80 Руководство для хакеров. — М.: Бук пресс, 2006. — 416 с. ...»

-- [ Страница 4 ] --

(tcpd) вызывается из inetd, а не является отдельным сервером. tcpd затем проверяет Глава 40: Проверьте вашу DNS компьютер, который запрашивает сервис, и либо запускает реальный сервер, либо запрещает доступ информацию от этого компьютера. tcpd позволяет вам Поддержка постоянно свежей DNS ограничить доступ к вашим tcp сервисам. Вы информации о всех компьютерах в вашей сети можете создать /etc/hosts.allow и добавить в него может помочь повысить безопасность. В том только те машины, которым нужно иметь доступ к случае, когда несанкционированный компьютер сервисам на вашем компьютере.

подключится к вашей сети, вы можете опознать 337 Защищаем и атакуем Linux Защищаем и атакуем Linux его по неудачному запросу к DNS. Большинство был в то время, и вообще потратить много сервисов можно сконфигурировать таким образом, времени, чтобы вычислить пользователя.

чтобы они не принимали запросы на соединение identd, который поставляется с от компьютеров без правильной DNS большинством дистрибутивов, намного более информации.

настраиваем, нежели многие думают. Вы можете закрыть identd для определенных пользователей identd (можно создать файл.noident), вы можете identd маленькая программка, которой протоколировать все запросы к identd, вы можете обычно оканчивается ваш inetd. Она записывает даже заставить identd возвращать uid вместо имени информацию о том, какой пользователь запускает пользователя, или даже какой tcp сервис, а затем выдает отчет тому, кто NO USER.

запрашивает.

Многие люди не понимают полезность Глава 41: SATAN, ISS и другие identd, поэтому выключают ее, либо блокируют все сетевые сканеры внешние запросы к ней. identd не та вещь, которая поможет удаленным компьютерам. Не существует Существует много различных программных способа узнать, корректна ли информация, пакетов, которые выполняют сканирование портов которую вы получили от удаленного identd. В или сервисов в компьютерах или сетях. SATAN и identd запросах нет идентификации.

ISS являются двумя наиболее известными из них.

Тогда зачем же нужно вам ее запускать?

Эти программы соединяются с целевым Потому что она помогает вам, являясь еще одним компьютером (или всеми целевыми машинами в инструментом отслеживания ситуации. Если ваш сети) по всем доступным портам и пытаются identd не взломан, тогда вы знаете, что он выдает определить, какие там запущены сервисы.

удаленным компьютерам имена пользователей или Основываясь на этой информации, вы можете uid пользователей, используя tcp сервисы. Если обнаружить уязвимые к определенным методам администратор удаленной системы придет к вам и атаки машины.

скажет, что такой то пользователь так то пытался SATAN (Инструмент администратора проникнуть в его систему, вы легко можете безопасности для анализа сетей) является предпринять действия против такого пользователя.

сканером портов с web интерфейсом. Он может Если вы не включили identd, вам нужно быть полезен для выполнения легкой, средней или просмотреть много протоколов, чтобы узнать, кто тщательной проверки машины или сети машин.

339 Защищаем и атакуем Linux Защищаем и атакуем Linux Неплохо иметь SATAN и сканировать вашу Если вы используете sendmail, очень важно систему или сеть, и сразу же устранять иметь самую последнюю версию. Sendmail имеет обнаруженные им проблемы. Убедитесь, что ваша очень длинную историю развития безопасности.

копия SATAN из sun site или известного FTP или Всегда используйте только последнюю версию.

Web сервера. Были троянские копии SATAN, Если вы устали модернизировать ваш send которые распространялись по Сети.

mail каждую неделю, вы можете решить перейти ISS (Сканер безопасности Internet) является на qmail. qmail изначально разрабатывали, также сканером портов. Он быстрее чем SATAN, и подразумевая безопасность. Он быстрый, таким образом может быть лучше для больших стабильный и безопасный.

сетей. Однако SATAN предоставляет больше информации.

Глава 44: «Отказ в предоставлении сервиса» Глава 42: Как обнаружить сканеры Атака «Отказ в предоставлении сервиса» портов состоит в том, что взломщик пытается Существуют некоторые инструменты, искусственно загрузить некоторые сервисы которые призваны предупредить вас о работающих настолько, чтобы они не могли отвечать на SATAN, ISS и других сканирующих программах. законные запросы или запрещали доступ к вашей Однако используя tcp_wrapper, регулярно проверяя машине законным пользователям.

ваши протоколы, вы и сами заметите такие В последние годы количество атак данного попытки. Даже при наименьших установках, типа очень сильно возросло. Имейте ввиду, что SATAN оставляет следы присутствия в журналах все время обнаруживаются новые, так что мы системы, оборудованной RedHat.

приведем только примеры.

SYN Flooding является сетевой атакой «отказ в Глава 43: Sendmail, qmail и MTA предоставлении доступа». Он использует преимущества «лазейки» (loophole) в методе Одним из наиболее важных сервисов, создания TCP соединения. Последние версии которые вы можете предоставлять, является сервер ядер Linux (2.0.30 и выше) имеют несколько электронной почты. К сожалению он также конфигурационных настроек для наиболее уязвим к атакам, просто из за огромного предотвращения SYN Flooding атак.

числа задач, которые он должен выполнять, и привилегий, которые ему обычно нужны.

341 Защищаем и атакуем Linux Защищаем и атакуем Linux Ошибка "F00F" в процессорах Pentium. Было вашему провайдеру. Ping flood легко можно обнаружено, что данная серия ассемблерного остановить на уровне маршрутизатора или кода, посланная настоящему процессору Intel используя щит (firewall).

Pentium, перегружает машину. Это действует Ping o' Death. Атака Ping o' Death возникла в на все компьютеры с процессорами Pentium результате того, что поступающие пакеты (не клонами, не Pentium Pro или PII), не ICMP ECHO REQUEST могут быть зависимо от операционной системы на этом больше нежели может вместить структура компьютере. Ядра Linux выше 2.0.32 содержат данных ядра, которая сохраняет эту код, отслеживающий эту ошибку и не информацию. Из за приема единичного позволяющий перегружать вашу машину.

большого (65,510 байт) ping пакета многие Ядро 2.0.33 имеет улучшенный вариант системы зависали или даже ломались, решения этой ошибки, поэтому более поэтому эта проблема быстро обрела рекомендуем нежели 2.0.32. Если у вас название Ping o' Death. Вообще то эта ошибка Pentium, лучше вам модернизироваться прямо давно уже исправлена, так что не о чём сейчас.

беспокоиться.

Ping Flooding является простой грубой Teardrop / New Tear. Это одна из недавних реализацией атаки «отказ в предоставлении еще атак основана на ошибке, сервиса». Взломщик посылает «поток» ICM присутствующей в коде фрагментации IP в пакетов вашему компьютеру. Если это Linux и Windwos платформах. Она исправлена происходит с машины с большей полосой в ядре 2.0.33 и не требует включения пропускания нежели имеет ваш компьютер, какой либо дополнительной опции во то ваша машина будет лишена возможности время компиляции ядра. Так что Linux посылать что либо в сеть. При вариации этой очевидно больше не подвержен атаке newtear.

атаки, называемой smurfing, посылается на определенный сервер поток ICMP пакетов с Глава 45: Безопасность NFS обратным IP адресом вашей машины, таким образом атакующих тяжелее обнаружить.

(сетевой файловой системы) Если вы подверглись атаке типа ping flood, то NFS является очень широко используемым для обнаружения машины, с которой пришли протоколом совместного использования файлов.

пакеты (или откуда они появляются), Он позволяет серверам, запуская nfsd и mountd, используйте инструмент типа tcpdump, и «экспортировать» целые файловые системы для затем обратитесь с этой информацией к 343 Защищаем и атакуем Linux Защищаем и атакуем Linux других машин со встроенной в ядро поддержкой Никогда не экспортируйте полностью ваш nfs (или поддержки некоторых других клиентов, root каталог, экспортируйте только те каталоги, если это не Linux машины). Mountd ведет журнал которые необходимо.

примонтированых файловых систем в /etc/mtab и может выдать их по команде showmount.

Глава 46: NIS (сетевой Многие сервера используют NFS для информационный сервис) предоставления пользователям домашних каталогов, так что не имеет значения, на какой из Сетевой информационный сервис (бывший машин в кластере пользователи регистрируются, YP — «Желтые страницы») заключается в они сразу получают все свои файлы.

распространении информации группе машин. NIS мастер (сервер) хранит информационные таблицы Существуют довольно небольшие и конвертирует их файлы карт NIS. Затем эти возможности реализации безопасности в карты передаются по сети, позволяя NIS клиентам экспортируемых файловых системах. Вы можете с (компьютерам) получать имя счета, пароль, помощью nfsd приравнять администратора домашний каталог и информацию shell удаленной системы к пользователю nobody (т.е. с (фактически всю информацию стандартного файла минимальными правами) на вашей системе, /etc/passwd). Это позволяет пользователю изменить запрещая ему, тем самым, полный доступ к пароль за один раз на всех машинах в NIS домене, экспортируемым файлам. Однако, поскольку где он имеет счет.

конкретные пользователи имеют полный доступ к их собственным файлам (или по крайней мере с NIS совсем небезопасен. Он никогда и не одинаковым uid), то удаленный администратор предполагался быть таким. Он предполагался быть может зарегистрироваться или сделать su к их удобным и полезным. Любой, кто может угадать счетам, и, таким образом, получить доступ к их имя вашего NIS домена (где либо в сети) может файлам. Это только небольшое препятствие для получить копию вашего файла passwd, а затем взломщика, чтобы получить доступ для использовать «crack» и «john the ripper» для монтирования вашей удаленной файловой взламывания паролей ваших пользователей. Также системы.

можно обманывать NIS и проводить другие подобные трюки. Если вы вынуждены Если вы вынуждены использовать NFS, то использовать NIS, помните об опасностях, прежде всего убедитесь, что вы экспортируете связанных с ним.

только тем машинам, которым это действительно нужно.

345 Защищаем и атакуем Linux Защищаем и атакуем Linux Глава 47: Firewall Глава 48: Подготовка системы безопасности до ее соединения с Под Firewall подразумевается ограничение Internet на прохождение информации как внутрь, так и за пределы вашей локальной сети. Обычно Итак, вы всесторонне проверили вашу компьютер, выполняющий роль щита, соединен с систему и сделали ее настолько безопасной, Internet и вашей локальной сетью, и доступ к насколько это было возможно (исходя из ваших Internet из вашей локальной сети выполняется знаний, а значит готовы к соединению с Internet.

только через него. Таким образом, щит может Существует несколько вещей, которые вы теперь контролировать, что приходит из Internet в должны сделать, чтобы быть подготовленным на локальную сеть, и что уходит из локальной сети в случай взлома, и, следовательно, быстро Internet.

обезвредить взломщика, восстановиться и работать Существует большое количество типов и дальше.

методов организации щита. Linux система реализует довольно хороший щит низкой Глава 49: Сделайте резервную стоимости. Код, реализующий щит, может быть встроен прямо в ядро, начиная с версии 2.0 и копию всей вашей системы выше. Инструмент ipfwadm позволяет вам Если у вас меньше чем 650Мb данных в определять, какой части сетевого траффика можно одном разделе, то для резервирования можно уходить в Internet или приходить из него. Вы порекомендовать CD R (поскольку его очень можете также протоколировать определенные трудно подделать, и данные долго сохраняются).

типы сетевого траффика.

На лентах и других перезаписываемых носителях Щит является очень полезным и важным сразу после создания резервных копий необходимо инструментом в обеспечении безопасности вашей поставить защиту от записи и затем периодически сети. Важно понять, что вы не должны забывать о проверять, чтобы предотвратить подделки (или безопасности только из за того, что у вас есть подмену). Сохраняйте ваши резервные копии в щит, и не заботиться о безопасности машин за надежных недоступных местах. Хорошие щитом. Это будет фатальной ошибкой.

резервные копии обеспечат вам возможность восстановления вашей системы в любой ситуации.

347 Защищаем и атакуем Linux Защищаем и атакуем Linux для верификации каждого файла в системе.

Глава 50: Выбор режима Прочтите man страницу по RPM, поскольку есть резервирования другие опции, которые можно включить, чтобы сделать rpm менее многословным.

Простым для поддержания считается шестиступенчатый цикл. Он включает 4 текущие Это значит, что каждый раз, как вы ленты на неделю, одна для четных пятниц, одна добавляете новый RPM в систему, вам нужно для нечетных пятниц. Делайте нарастающее обновить резервную копию. Вы ощутите все резервирование каждый день и полное достоинства перед недостатками.

резервирование системы в пятницу на соответствующую ленту. Если вы сделали какие Глава 52: Отслеживайте данные либо особенные важные изменения в системе или регистрации использования системы добавили важные данные, то уместно будет сразу сделать резервную копию.

Очень важно, чтобы не подверглась взлому информация, которая поступает от syslog. Начать Глава 51: Создайте резервную надо с того, что разрешить чтение и запись в /var/log только ограниченному контингенту копию вашей RPM базы пользователей.

В случае вторжения вы можете использовать Обязательно следите за тем, что туда базу RPM как спасательную нить, но только в том заносится, особенно посредством auth. Большое случае, если вы уверены в ее целостности.

количество неудачных регистраций, например, Желательно скопировать базу RPM на дискету и может указывать на попытку вторжения.

держать ее где либо в недоступном месте. В Где искать ваши log файлы, будет зависеть дистрибутиве Debian вероятно имеется что то от вашего дистрибутива. В Linux системах, подобное.

которые поддерживают «Linux Filesystem Standard», Скорее всего файлы /var/lib/rpm/fileindex.rpm таких как RedHat, смотрите в /var/log для и /var/lib/rpm/packages.rpm не поместятся на проверки messages, mail.log и других протоколов.

отдельную дискету, а в сжатом виде каждый Чтобы узнать, где ваш дистрибутив ведет поместится на отдельную дискету.

системные журналы, вам нужно посмотреть в файл Теперь, если ваша система будет взломана, /etc/syslog.conf. Это файл, который указывает sys вы можете использовать команду:

logd (системному протоколирующему демону), root# rpm Va куда записывать различные сообщения.

349 Защищаем и атакуем Linux Защищаем и атакуем Linux Вы можете также захотеть настроить ваш Если возможно, настройте syslog так, чтобы log rotating скрипт или демон для того, чтобы от отсылал копию наиболее важных данных на ваши журнальные записи дольше безопасную систему. Это предотвратит попытки просуществовали, т.е. чтобы вы имели время их взломщика скрыть свою деятельность путем более детально изучить. Рекомендуем вам обратить удаления информации о его login/su/ftp. Изучите внимание на пакет logrotate, поставляемый в man страницу по syslog.conf, особенно в части @ дистрибутиве RedHat. Другие дистрибутивы опции.

вероятно имеют подобные вещи.

И наконец, журнальные файлы намного Если вы заметили, что в журнальных файлах менее полезны, если их никто не читает. Выделите кто то возился, посмотрите сначала, можете ли вы постоянное время для просмотра журнальных определить, когда это началось и каких вещей файлов, тогда вы наверняка обретете чувство касалось. Большой ли период времени таким ситуации — нормально все или нет. Это может образом содержит ненадежную информацию? сильно помочь не допустить непредвиденной Лучше всего в такой ситуации восстановить ситуации.

журналы с резервных копий (если у вас конечно такие есть).

Глава 53: Делайте модернизацию Журнальные файлы обычно изменяют системы взломщики для того, чтобы скрыть свои действия, но их присутствие все же можно заметить по Большинство пользователей Linux странным событиям в системе. Вы можете инсталлируются с CD ROM. Из за быстрой отследить попытки взломщика войти в систему природы появления исправлений в безопасности, или изменить какую либо программу для постоянно появляются новые (исправленные) получения счета администратора. Вы можете программы. До того, как вы откроете свою просмотреть журнальные файлы до того, как систему в сети, сходите на ftp сервер вашего взломщик изменит их.

дистрибутива (например, ftp.redhat.com) и возьмите все пакеты, которые были обновлены с момента Вам необходимо отделить auth данные от получения вами CD ROM. В большинстве случаев, других запротоколированных событий, включая новые пакеты будут содержать важные попытки изменения счетов с помощью su, исправления в области безопасности, так что попытки регистрации и другую информацию, неплохо их будет инсталлировать.

касающуюся счетов пользователей.

351 Защищаем и атакуем Linux Защищаем и атакуем Linux или посетите его офис/дом и поговорите с ним.

Глава 54: Хакеры! Взломали!

Если он признает, что это был он, потребуйте с Что делать?

него объяснений, что он делал в вашей системе, и убедите его не делать больше этого. Если это был Итак, вы обнаружили вторжение. Перво не он и не может понять о чем идет речь, то наперво нужно оставаться спокойным. Поспешные скорее всего этот инцидент требует дальнейшего действия могут принести больше вреда, нежели расследования. Тщательно исследуйте инцидент и, сам взломщик.

прежде чем выдвигать обвинения, соберите побольше доказательств.

Нарушение безопасности в процессе Если вы обнаружили вторжение в сеть, Обнаружение процесса нарушения перво наперво (если вы можете) отсоедините вашу безопасности может быть напряженным сеть. Если вторжение произошло через модем, предприятием. Поскольку ваши ответные действия отсоедините модемный кабель, тогда взломщик могут иметь большие последствия. вероятнее всего подумает о проблемах связи, а не об обнаружении.

Если нарушение, которое вы обнаружили, имеет физическую природу, есть шансы, что вы Если вы не можете отсоединить сеть (идет обнаружите того, кто вломился в ваш дом, офис интенсивная работа, или вы не имеете или лабораторию. Вы должны предупредить своих физического контроля над системой), то представителей власти. В лаборатории вы можете наилучшим будет использовать что то наподобие обнаружить кого либо, пытающегося открыть tcp_wrapper или ipfwadm для запрещения доступа дипломат или перезапустить машину. В из системы взломщика.

зависимости от ваших полномочий и инструкций, Если вы не можете запретить доступ всем из вы можете сами приказать ему остановиться или сети взломщика, то нужно заблокировать счета сообщить службе безопасности.

пользователей.

Если вы обнаружили локального Помните, что блокирование счетов — дело пользователя, пытающегося нарушить систему не легкое. Вы должны помнить о файлах.rhosts, безопасности, перво наперво сообщите ему все, ftp доступе и черных входах.

что вы о нем думаете. Проверьте систему, с После того, как вы сделаете что либо из которой он зарегистрировался. Та ли это система, вышеперечисленного (отсоедините сеть, запретите с которой он обычно регистрируется? Нет? Тогда доступ из сети взломщика и/или заблокируете их используйте уже не электронные средства общения. Например, позвоните ему по телефону 353 Защищаем и атакуем Linux Защищаем и атакуем Linux счета), вы должны убить все его пользовательские Если вы не локализовали и не процессы. заблокировали взломщика, вероятнее всего он вернется. Не обязательно на ваш компьютер, Некоторое время после этого вы должны может на какой то другой, но в вашей сети. Если очень внимательно отслеживать состояние вашей взломщик использовал пакетные ищейки, большие системы, поскольку взломщик может попробовать шансы, что он имел доступ и к другим локальным повторить вторжение. Вероятнее всего используя машинам.

другой счет и/или с другого сетевого адреса.

Оценка повреждений Нарушение безопасности уже Перво наперво нужно оценить произошло повреждения. Что было нарушено? Если вы Итак, вы либо обнаружили нарушение используете тестер целостности, такой как безопасности, которое уже произошло, либо Tripwire — запустите его и он вам все расскажет.

обнаружили его и заблокировали деятельность Если нет, просмотрите все — особенно важные взломщика в вашей системе (короче, выдворили данные.

его). Что же теперь?

Так как системы Linux становится все легче Закрыть дыру и легче инсталлировать, вы можете скопировать куда то ваши конфигурационные файлы, а затем Если вы можете определить, что полностью очистить диск и переинсталлировать использовал взломщик для внедрения в вашу систему, восстановить файлы пользователей с систему, вы должны попытаться закрыть эту дыру.

резервных копий и скопировать назад Например, возможно вы увидите несколько ftp конфигурационные файлы. Это будет входов, прежде чем пользователь гарантировать полностью чистую систему. Если зарегистрировался. Выключите FTP сервис и вам нужно сделать резервную копию взломанной проверьте, существует ли его обновленная версия системы, будьте особенно внимательны к или какой либо список заплаток известных выполняемым файлам, которые вы резервируете, ошибок.

поскольку они могут быть «троянами», Проверьте все ваши журнальные файлы, а оставленными взломщиком.

затем посетите ваши списки безопасности и web узлы на предмет наличия каких либо новых обнаруженных ошибок, которые вы можете исправить.

355 Защищаем и атакуем Linux Защищаем и атакуем Linux Резервируйте, резервируйте и еще администратора с помощью whois или базы internic. Вы можете послать ему по электронной резервируйте!

почте содержимое системных журналов с датой и Лучшим решением в плане безопасности временем событий. Если вы заметили еще является регулярное резервирование. Если ваша что либо отличающее вашего взломщика, вы система подверглась вторжению, вы всегда можете также сообщить об этом. После посылки сможете восстановиться с резервных копий.

сообщения по e mail, вы должны (если вы к этому Конечно, некоторые данные могут быть ценны и склонны) связаться по телефону. Если для взломщика, и он может не только удалять их, обнаружится, что система того администратора но и воровать, делая себе копии, но в конце была только проходным звеном, он может концов вы по крайнем мере сохраните эти данные.

отследить и связаться с администратором системы, Прежде чем восстановить поврежденный с которой взломщик проник к нему, и т.д.

файл, вы должны проверить несколько прошлых Опытные взломщики часто используют резервных копий, а не только последнюю. Может большое количество посреднических систем.

быть, что взломщик орудовал некоторое время Некоторые (или многие) из которых, могут даже и назад, и вы успешно сделали несколько резервных не знать, что они были взломаны. Отследить копий уже поврежденных файлов!!!

обратно путь взломщика аж до его домашней Конечно, существует также понятие системы может быть очень трудно. Будьте очень безопасности резервных копий. Убедитесь, что вы вежливы с администраторами других систем при храните их в надежном месте и знаете, кто имеет выслеживании и они вам много в чем помогут.

туда доступ. (Если взломщик получит ваши резервные копии, он будет иметь все ваши Глава 55: Источники информации по данные, а вы даже знать об этом не будете.) безопасности Выслеживание хакера Существует очень много узлов в Internet, Хорошо, вы заблокировали взломщика, посвященных UNIX безопасности в общем и восстановили вашу систему, но это еще не все.

специфике Linux безопасности. Очень важно Поскольку маловероятно, что все взломщики подписаться на один (или более) список рассылки будут пойманы, вы должны сообщить об атаке.

по вопросам безопасности и отслеживать текущие Вы должны сообщить об атаке исправления. Большинство из таких списков администратору системы, с которой была небольшие по объему, но очень информативны.

атакована ваша система. Вы можете найти этого 357 Защищаем и атакуем Linux Защищаем и атакуем Linux FTP узлы интересных обзоров по безопасности, а также программный инструментарий.

CERT это Computer Emergency Response Team. Они часто рассылают предупреждения о Linux security WWW хороший узел по последних атаках и исправлениях.

безопасности в Linux.

Replay имеет архивы очень многих программ Reptile имеет на своем узле очень много безопасности. Поскольку они находятся за хорошей информации по безопасности в Linux.

пределами США, им не нужно подчиняться Infilsec рассказывает об уязвимых местах ограничениям по распространению различных платформ.

криптографических программ.

CIAC периодически рассылает бюллетени по Matt Blaze является автором CFS и обнаруженным дырам.

отличным советником в вопросах безопасности.

tue.nl отличный ftp узел по безопасности в Списки рассылки Голландии.

Bugtraq. Чтобы подписаться на bugtraq, пошлите е mail на listserv@netspace.org содержащий Web узлы в теле subscribe bugtraq.

Hacker FAQ это FAQ про хакеров.

CIAC. Пошлите e mail к COAST архив содержит большое количество majordomo@tholia.llnl.gov, а в теле письма (не в sub информации и программного обеспечения по ject) напишите: subscribe ciac bulletin безопасности.

Rootshell.com отличный узел для изучения современных методов взлома, которые сейчас используют взломщики.

BUGTRAQ приводит советы в области безопасности.

CERT, the Computer Emergency Response Team, приводит советы по общим атакам на UNIX платформах.

Dan Farmer — автор SATAN и многих других инструментов, касающихся безопасности, его домашний web узел содержит несколько 359 Защищаем и атакуем Linux Защищаем и атакуем Linux Почему всегда запрещена Глава 56: Часто задаваемые регистрация администратором с вопросы по обеспечению удаленной машины?

безопасности системы Это сделано намеренно, чтобы предотвратить попытки пользователей Не будет ли более безопасно зарегистрироваться на вашей машине через telnet вкомпилировать поддержку как администратор, что очень уязвимо. Не драйверов непосредственно в ядро, забывайте, потенциальный взломщик имеет время нежели представлять их модулями? запустить автоматическую программу для получения вашего пароля.

Некоторые полагают, что лучше не использовать возможность загрузки драйверов Как включить теневые пароли в Red устройств в виде модулей, поскольку взломщик Hat 4.2 или 5.0 Linux?

(или они сами) может загрузить троянский модуль, который повредит систему безопасности. Теневые пароли — это механизм сохранения ваших паролей в отличном от обычного /etc/pass Однако, для того чтобы загрузить модуль, wd файле. Это имеет несколько преимуществ.

вы должны быть администратором. Объектные Первое это то, что теневой файл /etc/shadow файлы модулей разрешают запись тоже только доступен для чтения только администратору, в администратору. Это значит, что взломщик отличие от /etc/passwd, который должен быть должен иметь права администратора, чтобы доступен для чтения всем. Другое преимущество в загрузить модуль. Если взломщик заполучит права том, что вы как администратор можете включать администратора, то появятся намного более или блокировать счета, и никто не будет знать серьезные вещи, о которых нужно будет статус счетов других пользователей.

беспокоиться, нежели загрузка какого то модуля.

Тогда файл /etc/passwd используется только Модули созданы для динамической загрузки для хранения имен пользователей и групп, а также драйверов поддержки определенных устройств, используется программами наподобие /bin/ls для которые обычно редко используются. Для серверов связывания пользовательских ID с определенным или систем, выполняющих роль щита (firewall), именем пользователя в списке каталога. Тогда это маловероятно. По этой причине будет разумно файл /etc/shadow содержит только имя для таких машин вкомпилировать поддержку пользователя и его/ее пароль, и возможно устройств прямо в ядро. Модули к тому же информацию о счете, типа времени окончания медленнее, нежели код в ядре.

действия и т.п.

361 Защищаем и атакуем Linux Защищаем и атакуем Linux Чтобы включить теневые пароли, запустите Как мне манипулировать счетами pwconv будучи администратором — теперь пользователей, не нарушая при /etc/shadow существует и будет использоваться этом безопасности?

приложениями. Если вы используете RedHat 4. Дистрибутив RedHat, особенно RH5.0, или выше, то PAM модули автоматически содержит огромное количество инструментов, с перестроятся на использование теневых паролей помощью которых можно работать со счетами без какого либо вмешательства с вашей стороны.

пользователей.

Если вы заинтересовались безопасностью pwconv и unpwconv можно использовать для ваших паролей, вероятно вас заинтересуют методы конвертирования паролей из обыкновенных в генерирования хороших паролей. Для этого вы теневые и обратно, соответственно.

можете использовать модуль pam_cracklib, который pwck и grpck можно использовать для является частью PAM. Он сравнивает ваши пароли верификации правильности организации с Crack библиотеками, чтобы вы знали легко ли файлов passwd и group.

угадываются ваши пароли программами, которые занимаются подбором паролей. программы useradd, usermod и userdel можно использовать для добавления, удаления и Как мне включить SSL расширение модификации счетов пользователей.

для Apache?

Программы groupadd, groupmod и groupdel делают тоже самое для групп.

Скачайте SSLeay 0.8.0 или выше.

групповые пароли можно создавать с Соберите, протестируйте и установите его!

помощью gpasswd.

Скачайте исходники Apache 1.2.5 или выше.

Все эти программы совместимы с теневыми Скачайте SSLeay расширение для Apache.

паролями — т.е. если вы установили теневые Разархивируйте его в каталог исходников пароли, они будут использовать файл /etc/shadow.

Apache и исправьте Для более детального ознакомления Apache как написано в README.

смотрите соответствующие страницы man.

Настройте и соберите его.

Вы можете также сходить на Replay Associ ates, где есть много уже скомпилированных пакетов и за пределами США.

363 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows популярности этих систем и распространенности Часть тринадцатая их в мире. С одной стороны, украсть информацию Ломаем и защищаем из Windows NT/2000 затруднительно, т. к сложность похищения информации вызвана, Windows конечно, не безупречностью TCP/IP стека Win dows NT, а его убогостью и отсутствие в стандартной поставке сетевых демонов и крайне ограниченный набор клиентских утилит (host, nslookup, talk и т.д.). Хакеры со всех концов света Глава 1: Основные принципы взлома обратили на нее свое внимание и, естественно, защиты сетевых операционных нашли и находят прорехи в системе безопасности Windows NT.

систем Windows NT и Windows Методы взлома, изложенные здесь, будут В этой части мы изложим основные доступны для хакера не высокой квалификации.

принципы взлома защиты сетевых операционных Те программы или средства, которые потребуются систем Windows NT и Windows 2000.

для подрыва защиты и проникновения в систему Почему нами выбрана группа операционных можно свободно найти на страницах Интернета.

систем Windows NT/2000? Семейство Кроме того, еще не все системные операционных систем Windows NT/2000 (в администраторы осознали необходимость дальнейшем просто Windows NT, т.к. Windows комплексного подхода при защите информации 2000 является по своей сути пятой версией NT) для сетей под Windows NT. Обычно затраты на имеет богатейшие возможности работы с сохранность ценностей составляют от 10 до 30% от конфигурацией операционной среды, их стоимости. Но как оценить интеллектуальную поддерживает устаревшее программное собственность? Тут вступает в действие всемирный обеспечение для операционных систем DOS, Win пофигизм, вот он — главный друг хакера.

dows 3.xx/95/98, что влечет за собой возможность с Безопасности компьютерной системы или большей вероятностью найти в защите системы сети обычно присущи три составляющие:

слабое место. Всегда надо помнить принцип:

1. Физический доступ к компьютеру;

Обычно ломается лифт, а не лестница.

Следовательно, чем проще, тем надежней.

2. Доступ в локальной сети;

Вторая причина, почему мы остановили 3. Доступ в глобальной сети.

свой выбор на семействе Windows NT — из за 365 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows Эти три составляющие очень тесно связаны было воспринято окружающими без эмоций, а между собой, поэтому мы последовательно лучше вообще не воспринято, т.е. вы там частый рассмотрим их. Приведенные ниже способы гость, или лучший друг своего недруга (зачем преодоления защиты этих трех уровней помогут друзей подставлять), или.., ну в общем, вы — понять сам принцип взлома системы. Кроме того, ужас, летящий на крыльях ночи, никем не хакерские инструменты первого и второго уровня замеченный. Вот что значит физический доступ.

часто могут помочь взломщику компьютерных Сначала немного общеобразовательных систем, если он работает удаленно через Internet.

моментов.

Сделаем небольшое отступление.

В семействе операционных систем Windows Необходимо понять один простой принцип. Все NT реализована возможность контроля за течет, все изменяется, и на любые каверзы хакеров локальным доступом (т.е. доступом к локальному умные программеры и системные администраторы диску, винту, если так понятнее). Реализуется эта придумают свои препоны и защиты. Но принцип возможность с помощью новой (по сравнению с взлома они победить не смогут, ибо, что один FAT) файловой системой NTFS на основе человек сделал, другой завсегда разобрать сможет.

расширений файловой системы. Вообще то, Win А те программы, которыми необходимо dows NT поддерживает две системы FAT и NTFS.

пользоваться, могут устареть или те конкретные Поэтому мы рассмотрим способ взлома сначала дыры в защите, описанные в этой главе, через для FAT.

некоторое время будут залатаны песочно Самый простой и надежный — загрузка с бизэшным Билли.

дискеты и копирование данных на ZIP дисковод.

Начнем с простого.

Таким образом, вам становится доступным вся та часть информации, которая хранится с помощью FAT. Но такую халяву вам вряд ли когда подсунут.

Глава 2: Физический доступ к Скорее всего придется повозиться с NTFS. Вот тут компьютеру и начинается наша песня.

Что такое физический доступ к NTFS используют всегда, когда требуется компьютеру? Это значит, что вы имеете доступ к защитить информацию и распределить доступ к компьютеру, на котором находится интересующая ней. Но вот беда — все это работает только при вас информация. Причем доступ этот физический, работе под Windows NT. А вот если вам удастся т.е. вы можете подойти к этой машине, потрогать загрузить MS DOS с дискеты, то любая ее ручками. Желательно, чтобы трогание ручками информация из разделов, работающих под NTFS, 367 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows может быль считана с помощью драйвера NTSF или на предприятии, на котором размещен DOS.EXE (автор — Mark Russinovich, поклон ему госзаказ, то можно однозначно определить, что земной). И никакая система безопасности Windows используемая там система шифрования — «Верба NT тут не поможет, ну кроме злобного сисадмина, OW» (http://www.security.ru), которая который с дубинкой дежурил бы рядом. Но, сертифицирована ФАПСИ. Конечно, это может естественно, нужен дисковод. Если его нет, а быть и не эта система шифрования, но такое может быть, или он каким то образом вам обязательно сертифицированная ФАПСИ. А таких не доступен, и такое может быть тоже, знать не систем не так уж много. Да и список таких систем судьба — надо искать другой способ. можно легко узнать, так как нет лучшей рекламы для продажи, чем сертификат ФАПСИ.

Ну, вот вы незаметно загрузились с дискеты, запустили программку NTSFDOS.EXE и В том случае, если информация обнаруживаете, что ничего не видите или видите, зашифрована с помощью какой либо программы, но понять или прочесть не можете. А это значит, то самый простой способ — это найти ключ, что сисадмин оказался чуть чуть умнее, чем мы способ потруднее — его отгадать. А вот если предполагали, и зашифровал информацию на установлено аппаратное шифрование, то тут без диске посредством программных или аппаратных ключа никак не обойтись. Ключ может быть средств. Зашифровать он ее мог или средствами программный, выносной (на внешнем носителе) и какой либо посторонней программы (аппарата) комбинированный. У нас в России или с помощью Windows NT (такая возможность распространены шифрующие контроллеры дисков уже появилась в Windows 2000). Так как мы в этой серии КРИПТОН, имеющие сертификат ФАПСИ.

главе освещаем методы взлома Windows NT, то Если вам удалось получить физический про методы взлома систем шифрования мало чего доступ к информации на машине, то вы скажем. Мы просто перечислим некоторые из них:

приступаете к следующей стадии взлома системы, SeNTry2020 а именно получению паролей пользователей (http://www.softwinter.com);

системы и/или прав администратора. Существует такой файл SAM, в нем хранятся учетные записи SecurityPlus пользователей и их пароли. Получить к нему (http://www.softbytelabs.com);

доступ возможно, загрузившись с дискеты и Cryptext скопировав этот файл. Сам файл располагается в (http://www.tip.net.au/~njpayne).

каталоге WINNT\SYSTEM32\CONFIG\. Когда А если вдруг объектом вашего внимания Windows NT запущена и работает, доступ к файлу стала машина, находящаяся на госпредприятии SAM, который располагается в директории 369 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows WINNT\SYSTEM32\CONFIG\, имеет только хешированный пароль стандарта LAN Manager администратор, но файл можно скопировать, слабо устойчив к взлому, так как каждая из двух загрузившись с системной дискеты. половин 14 байтового символьного пароля хэшируется независимо, а результаты затем Если вам удалось заполучить файл SAM, то соединяются. Таким образом, вычисление для взлома вы можете использовать программу байтового пароля эквивалентно взлому двух L0PHTCrack. Найти ее возможно в поисковой 7 байтовых паролей, что значительно сокращает системе Rambler.ru или AltaVista. Ниже приведено число возможных комбинаций для перебора. По более подробное описание данной программы.

этой причине, если вы будете взламывать пароль, Для того чтобы избежать просмотра то сначала займитесь паролем, захэшированным паролей, их подвергают хешированию. Но, как по стандарту LAN Manager.

известно, что зашифровали, то расшифровать Существующая программа L0phtCrack, можно. Хотя хеширование имеет одну работающая на Pentium II 450, может вскрыть неприятность: для восстановления пароля надо пароль любой длины, как спелый арбуз, примерно перебрать все возможные значения. А, за трое суток (ниже мы рассмотрим работу этой следовательно, существует пропорциональная утилиты подробнее). Обычно наивные зависимость между временем, требуемым для администраторы защищаются с помощью утилиты дехеширования, длиной пароля и количеством SYSKEY, входящей в состав Service Pack 3.

применяемых символов.

SYSKEY позволяет дополнительно зашифровать Стандартно программы ограничивают длину данные в SAM, после чего программы извлечения пароля до 13 16 символов, хотя Windows NT и восстановления паролей не смогут корректно поддерживает до 128 символов. Еще одна хитрость обрабатывать информацию из этого файла. Это в том, что файл SAM содержит два хешированных надо учитывать. Но представления одного и того же пользовательского помните — все течет, все изменяется, и последняя пароля, полученные с помощью разных версия программы L0phtCrack позволяет пробить и алгоритмов. Один из них — в стандарте Windows дополнительное шифрование этой утилиты.

NT, другой — в стандарте LAN Manager. Вообще стандарт LAN Manager применяют для того, чтобы добиться совмещения с другими ОС, установленными на рабочих станциях, например:

Windows 3.11 for Workgroups и Windows 95/98. Вот то, о чем мы писали выше: всевозможные достоинства можно обратить в недостатки: ведь 371 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows выполнена с использованием программного Глава 3: Извлечение и вскрытие обеспечения, доступного через Internet и которое текстовых паролей из украденной описано ниже.

SAM Глава 4: Программа L0phtCrack Рассмотрим взлом SAM файла более подробнее, углубимся в детали… Итак, как было Программа L0phtCrack позволяет вычислять сказано ранее, информация обо всех пароли, используя два различных метода. При пользователях Windows NT/2000 и их паролях использовании первого метода применяется хранится в базе данных системы (registry), которая поисковая словарная таблица, которую определяет физически расположена в файле специальный файл словаря. Хешированные пароли %SystemRoot%\SYSTEM32\CONFIG\SAM — базе для всех слов в файле словаря уже являются данных безопасности системы. Данный файл вычисленными и сравниваются со всеми паролями является по умолчанию заблокированным, т.к.

для пользователей данной SAM. Когда имеется используется прочими компонентами системы.

соответствие — пароль известен. Этот метод Поэтому вам не удастся напрямую скопировать чрезвычайно быстр. Тысячи пользователей могут этот файл. Однако, если администратор системы быть проверены при помощи 300 КБ файла регулярно выполняет операцию создания диска словаря всего за несколько минут на обычном PII.

ERD (Emergency Repair Disk), то относительно Недостаток этого метода состоит в том, что при свежая копия данного файла содержится в помощи словаря можно определить только очень директории %SystemRoot%\REPAIR\. Но если простые пароли, которые существуют в администратор системы не выполнял данную английском языке (словарный запас операцию, то полученная база будет содержать которого не превышает 100 тыс. слов).

пользователей Administrator и Guest, с паролями присвоенными во время инсталляции Для открытия словаря word english вам операционной системы. Пароли в данном файле необходимо выполнить команду «File» (Файл) хранятся в 16 байтном значении, зашифрованном «Open Wordlist File» (Открыть словарь).

(в кодировке UNICODE) с использованием Второй метод использует последовательный хэш алгоритма MD4. Поэтому для взлома паролей перебор набора символов типа A Z или A Z и 0 Windows NT/2000, вам необходимо выделить из (и также других наборов) и вычисляет хеш для базы данных безопасности системы имя каждого возможного пароля для этих символов.

пользователя и соответствующее ему хэш Единственный недостаток данного метода — значение. Данная процедура может быть время. Данный метод использует интенсивный 373 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows перебор значений, что требует больших (Файл) «Оpen Password File» (Открыть файл вычислительных мощностей. Чем больший набор паролей).

символов вы указали в меню «Tools» (Сервис) Инсталляция «Оptions» (Параметры), тем дольше времени требуется для перебора всех значений. Для инсталляции просто разархивируйте дистрибутивный архив в любой каталог на Набор символов A Z требует жестком диске. Создайте ярлык к программе l0pht приблизительно 7 часов вычислений на crack.exe (или l0phtcrack95.exe для Windows 95/98).

герцовых процессорах PIII или Athlon.

Кроме того, если вы физически подключены к Представьте себе, что через каких нибудь 7 часов данной локальной сети и используете Windows NT вы будете иметь ключи от системы, и будете 4.0 (или Window 2000), вы можете использовать эдаким маленьким богом, местного значения или сетевой sniffer readsmb.exe, при помощи которого не местного, как повезет. Набор A Z и 0 9 требует можно получить пароли клиентских машин Win приблизительно трое суток.

dows 3.11/95/95 и MS DOS.Перед использованием Однако программа L0phtCracks разработана сетевого sniffer'а необходимо предварительно с учетом возможности интенсивных и установить сетевой NDIS драйвер, который входит долговременных вычислений и может в дистрибутивный комплект. Этот драйвер может использовать преимущества многопроцессорных работать только поверх драйвера реально систем. Если вы не хотите, чтобы программа присутствующей в системе сетевой Ethernet платы присутствовала в панели задач, выберите в меню и использует протокол CSMA CD. Для установки «Window» (Окно) «Hide, Ctrl+Alt+L to Show» NDIS драйвера откройте апплет «Network» (Сеть) в (Спрятать, для вывода на экран нажмите панели управления. На вкладке «Protocols» Ctrl+Alt+L). При запуске данной программы на (Протоколы) нажмите кнопку «Add» (Добавить).

многопроцессорном сервере, она будет Затем нажмите кнопку «Have Disk» (Установить с выполняться низким приоритетом, используя диска) и определите каталог, в который вы вычислительные возможности неактивного установили L0phtCrack и в котором находится центрального процессора. Программа регулярно, файл Oemsetup.inf файл. После перезагрузки вы через каждые пять минут, сохраняет результаты сможете использовать сетевой sniffer readsmb.exe, вычислений, что позволяет восстанавливать для перехвата паролей клиентских машин состояние вычислений в случаях отключения Windows.

питания или перезагрузок.

Открытие файла, с которым программа работала до перезагрузки можно из меню «File» 375 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows Получение хешированных паролей HKEY_CURRENT_USER\ Software\LHI\L0pht Crack\AdminGroupName.

Перед вычислением паролей необходимо получить доступ к хешированным паролям.

Присвойте значению этого ключа название Существуют три основных метода получения группы «Administrator» для локализованной версии хешированных паролей: непосредственно из Windows NT (2000).

системного реестра, из файла SAM или при помощи сетевого Получение хешированных паролей sniffer'а.

из файла SAM Вы можете получить хешированные пароли Получение хешированных паролей из файла SAM на жестком диске, с резервной непосредственно из реестра ленты или дискеты ERD (Emergency Repair Disk).

Если вы обладаете административными Системный реестр NT фактически сохранен в привилегиями, вы можете получить хешированные нескольких различных файлах на системном диске пароли, используя команду «Tools» (Сервис) в каталоге %SystemRoot%\SYSTEM32\CONFIG\.

«Dump Password from Registry» (Получить дамп Если вы имеете физический доступ в компьютеру пароля из реестра). Для этого укажите имя с установленной операционной системой Windows компьютера или адрес IP в формате NT/2000, вы можете загрузить машину при \\Computer_name или \\IP address.

помощи системной дискеты DOS и использовать программу типа NTFSDOS Однако сервер Windows NT/2000 может (http://www.ntinternals.com/ntfs20r) чтобы запретить попытку доступа к системному реестру скопировать файл SAM на гибкий диск. Затем вы по сети, если сконфигурирован надлежащим можете использовать команду программы L0pht образом.

Crack «Import SAM File» (Импорт Кроме того, если версия Windows NT/ SAM файла), которая расположена в меню «File» локализована, для группы «Administrator» (Файл) чтобы извлечь хешированный пароль из используется переведенное на другой язык слово, файла SAM. Если вы работаете с компьютером например для русского языка «Администратор».

Windows NT (2000) удаленно, то вам остается Для того, чтобы программа L0phtCrack корректно только воспользоваться резервной копией базы обратилась к дампу системного реестра удаленного SAM, которая хранится в каталоге компьютера, вам необходимо изменить ключ %SystemRoot%\REPAIR\. Кроме того, если у вас системного реестра на вашем локальном имеется возможность получить доступ к кассетам компьютере. Для этого запустите программу reged стримера, на который производится ежедневный it.exe и отредактируйте значение ключа 377 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows READSMB > PASSWD backup или к дискетам ERD, то вы можете скопировать файл SAM оттуда. Если вам удалось Как вы видите из данной команды, вся использовать дискету ERD, скопируйте оттуда информация, полученная сетевым sniffer'ом будет сжатый файл sam._ и затем выполните команду:

перенаправляться в текстовый файл passwd. Для EXPAND SAM._ SAM сбора всех хешированных паролей пользователя достаточно запустить sniffer один раз утром, в Затем разжатый файл sam._ может период времени, когда большинство пользователей импортироваться в L0phtCrack.

приходит на работу и производит регистрацию в Однако, если администратор системы сети. Затем вы можете прервать работу этой установил Service Pack 3 for NT 4.0 и использует программы и открыть файл passwd в L0phtCrack.

утилиту SYSKEY для дополнительной Для включения режима отладки sniffer'а криптоустойчивой шифрации файлов реестра, то используйте команду v:

программа L0phtCrack (это справедливо для версий READSMB V более ранних, чем L0phtCrack 2.5) не сможет произвести импорт файла SAM.

На медленных машинах v опция может Использование сетевого sniffer'а для приводить к тому, что readsmb будет пропускать получения для получения хешированных некоторые пакеты, так что эта опция паролей действительна только для отладки и исследования.

Если администратор системы использует Выделение паролей из хеша утилиту SYSKEY, и вам отказано в доступе к После того, как вы получили набор системному реестру по сети, имеется хешированных паролей, и загрузили их в третий метод для получения хешированных программу L0phtCrack, а также открыли словарь паролей. Для этого используется сетевой sniffer, word english, вы можете приступить к вычислению который выполняет прослушивание и отбор настоящих текстовых паролей. Для начала этой пакетов для всех устройств в физическом сегменте операции выполните команду «Run» (Запуск) из Ethernet сети. Сетевой sniffer, включенный с меню «Tools» (Сервис). Опции, установленные в L0phtCrack, реализован в виде файла readsmb.exe, диалоговом окне «Tools Options» по умолчанию, который работает только в Windows NT 4.0 (в определяют, что сначала будет произведено последней версии программы реализован сетевой вычисление паролей при помощи словаря word sniffer для Windows 95/98).

english. Затем будет производится определение Для запуска сетевого sniffer'а следует паролей при помощи последовательного перебора использовать команду:

379 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows заданных значений, что требует уже более «Отладка программ» и является членом группы длительного времени. L0phtCrack сохраняет Administrators. Кроме того, данная утилита может состояние вычислений каждые 5 минут в *.LC использоваться в том случае, если с атакуемой файл. системы удалось получить копию базы данных безопасности системы.

Новые возможности L0phtCrack 2. Получение паролей Windows NT при Увеличение быстродействия на 450% помощи PWL файлов.

за счет оптимизированного ассемблерного кода Если вы получили доступ к клиентским для Pentium, Pentium MMX, Pentium Pro, и Pen компьютерам Windows 3.11/95/98, которые tium II и III. Это приводит к увеличению функционируют в локальной сети, вы можете быстродействия. Все алфавитно цифровые пароли узнать пароль системного администратора или могут быть найдены за трое суток на Pentium других бюджетов в домене Windows NT косвенным II/450.

образом. Для этого необходимо собрать все Новый гибридный метод доступные *.PWL файлы, которые располагаются в расшифровки объединяет самые лучшие качества системных каталогах Windows 3.11/95/98. Для словарного и метода прямого подбора.

расшифровки этих файлов вы можете Возможность подключения использовать программу repwl.exe, которую можно национальных словарей. найти по адресу http://webdon.com /vitas/pwltool.htm. Это одна из лучших программ Реализация сетевого SMB sniffer'а для для вычисления паролей из PWL файлов, которая операционных систем Windows 95/98.

почти мгновенно может вычислить любой пароль.

Встроенная утилита PWDUMP2, Открыв при помощи кнопки «Browse» которая позволяет произвести извлечение (Пролистать) PWL файл, выберите в списке хешированных паролей из файла SAM, который нужный набор символов и затем нажмите кнопку зашифрован при помощи утилиты SYSKEY из «Search Password» (Поиск пароля). Найденные SP3.

таким образом пароли помогут вам затем получить Утилита PWDUMP доступ к главному доменному серверу http://www.webspan.net/~tas/pwdump2/ позволяет Windows NT.

получить список хешированных паролей даже в Но помните, что для более совершенной системе с включенной утилитой SYSKEY. Данная защиты, системные администраторы, которые программа может функционировать если только, посообразительней, могут не ограничиться пользователь, ее запустивший, имеет привилегию 381 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows применением специальных утилит, но могут сети домена, вы можете использовать установить вручную еще более жесткие права на недостаточность защиты сетевых соединений объекты файловой системы. В частности, за серверов Windows NT. Слабая защита сетевых рекомендациями по установке таких ограничений соединений приводит к тому, что, используя они могут обратиться по адресу: специализированное программное обеспечение, вы http://www.microsoft.com/ntserver/security/exec/overv сможете завесить сервер Windows NT («отказ в iew/ Secure_NTInstall.asp обслуживании») или даже получить права администратора путем перехвата Соответственно там же можно искать и административных сетевых соединений. Для этого противоядие от их мощной защиты.

применяются следующие виды атак:

К счастью, у дяди Билли работают еще Использование Named Pipe File System такие люди, которые могут совершить ошибку, и благодаря таким людям мы можем проникнуть в Использование средств удаленного систему через те дыры, которые они нам управления предоставляют. В частности, одной из таких дыр является возможность повысить свой уровень Глава 6: Использование Named Pipe привилегий и войти в группу администраторов, а File System потом… Достигается это с помощью программы GetAdmin.exe (автор — Константин Соболев).

Named Pipe File System является виртуальной Правда в Service Pack 4 возможность эта файловой системой, которая не управляет устранена, но рискнуть стоит.Идея, заложенная в файлами, а управляет каналами named pipes.

ней, довольно таки проста и гениальна.

Каналы named pipes относятся к классу файловых Системные процессы в NT работают, как правило объектов вместе с файлами, дисковыми под System Account, а значит имеют на локальном директориями, устройствами и почтовыми рабочем месте администраторские права. Делайте ящиками (mailslots). Поэтому большинство вывод. Но, к сожалению Billy сработал функций, предназначенных для работы с файлами оперативно, в SP4 это уже залатали. Но не стоит (в том числе CreateFile, ReadFile и WriteFile), отчаиваться, кто ищет, тот всегда найдет.

работают и с каналами. Канал named pipes представляет собой виртуальное соединение, по Глава 5: Доступ в локальной сети которому передается информация от одного процесса к другому. Информация может Если вы получили полный доступ к одной передаваться как в одну сторону (однонаправленный из рабочих станций в локальной или глобальной 383 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows канал), так и в обе стороны (двунаправленный или Если канал имеет несколько экземпляров, дуплексный канал). Создание виртуального канала клиент может быть подключен к любому в Windows NT происходит следующим образом: свободному (не занятому другим клиентом) экземпляру этого канала.

Серверный процесс создает канал на локальном компьютере с помощью функции После установления виртуального программного интерфейса Win32 соединение серверный процесс и клиентский «CreateNamedPipe». процесс могут обмениваться информацией при помощи пар функций «ReadFile» и «WriteFile».

Серверный процесс активизирует Если один участник информационного обмена канал при помощи функции «ConnectNamedPipe», записывает данные в канал при помощи функции после чего к каналу могут подключаться клиенты.

«WriteFile», то другой участник может прочитать, Далее производится подключение к используя функцию «ReadFile».

каналу \\computer_name\pipe\pipe_name Интерфейс Named Pipe File System широко посредством вызова функции «CreateFile».

используется операционной системой Windows NT Клиентский процесс может отключиться от для множества задач, некоторые из которых канала в любой момент с помощью функции играют важную роль в обеспечении безопасности «CloseHandle». Серверный процесс может операционной системы. Например, удаленный отключить клиента в любой момент с помощью вызов процедур (RPC) в Windows NT реализован функции «DisconnectNamedPipe».

как надстройка над NPFS.

После прекращения связи с клиентом Однако в смысле защиты информации и серверный процесс может повторно использовать устойчивости программам, интерфейс Named Pipe канал с помощью повторного вызова функции File System может использован для взлома или «ConnectNamedPipe».

выведения из строя операционной системы. Ниже При помощи одного и того же канала приведены две программы PipeBomb и AdminTrap, сервер может одновременно обслуживать которые используют непродуманность реализации нескольких клиентов. Для этого серверный Named Pipe File System.

процесс может создать N ное количество экземпляров канала, вызвав N ное количество раз функцию «CreateNamedPipe» (при этом в каждом вызове должно быть указано одно и то же имя канала).

385 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows Затем следует нажать кнопку «Create» Глава 7: Программа PipeBomb (Создать) или «Write» (Записать), после чего любой сервер Windows NT будет завешен в Прикладная программа PipeBomb производит течение двух минут.

открытие на запись в вечном цикле новых Эту атаку можно применять через Internet, экземпляров определенного системного канала и инкапсулируя пакеты SMB в пакеты TCP/IP записывает в них порции бесполезной (сетевая составляющая интерфейса Named Pipe File информации. Через довольно короткий System организована как надстройка над промежуток времени все свободные экземпляры протоколом SMB).

канала будут заняты, после чего серверный процесс определяет, что все экземпляры его Глава 8: Программа AdminTrap канала заняты, после чего начинает создавать новые экземпляры канала.

Программа AdminTrap производит создание Каждый новый экземпляр канала троянского экземпляра одного из системных обслуживается новым потоком (thread), под каналов и ждет, когда к нему подключится клиент.

который отводится новый буфер в оперативной Затем AdminTrap выполняет вызов функции Win памяти для хранения информации. Клиентский «ImpersonateNamedPipeClient», которая назначает процесс постоянно открывает новые экземпляры маркер доступа (access token) клиента экземпляра канала, поэтому серверному процессу приходится канала, handle серверного конца которого указан в создавать новые потоки. Это приводит к качестве параметра максимальной загрузке процессора сервера, а функции. Если выполнение функции прошло объем свободной оперативной памяти этого успешно, один из потоков программы AdminTrap компьютера быстро уменьшается. Через несколько получает полномочия пользователя клиента минут атакованный компьютер становится троянского экземпляра канала.

практически неработоспособным. Данная Вероятность того, что программа AdminTrap программа одинаково эффективно работает как после вызова «ImpersonateNamedPipeClient» получит для атак на рабочие станции, так и на сервера полномочия администратора, весьма велика, если Windows NT 4.0. Для начала атаки необходимо случайно удастся перехватить следующие сетевые запустить программу PipeBomb и в поле ввести соединения:

имя атакуемого компьютера.

winreg — удаленное управление реестром, списком сервисов, репликацией и 387 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows административными оповещениями (alerts), Данное программное обеспечение может удаленный просмотр системных журналов, работать на компьютерах с установленными удаленное диагностирование и оценка операционными системами Windows 95/98 и Win производительности;

dows NT.

spoolss — удаленное управление Клиентская часть BO2K (файл bo2kgui.exe) принтером. используется на компьютере хакера и позволяет получить доступ к машине с установленной После запуска программа ожидает серверной части по протоколам TCP или UPD по подключения администратора.

порту 31337.

Когда администратор начнет выполнять Обычно перед внедрением серверной части одну из административных операций, сетевое (размер 120 кб) производится сканирование соединение администратора перехватывается, подсети и выявление по конкретного IP адреса.

программа выдает на экран окно, содержащее имя Затем серверная часть запускается на сервере при и список привилегий этого администратора, и помощи любого локального бюджета. Хакер, предлагает осуществить создание нового используя клиентскую часть, может выполнять пользователя с именем AdminTrap, который входит следующие действия:

в группу «Administrators».

производить редактирование реестра;

осуществлять полный контроль над Глава 9: Использование средства файловой системой через браузер;

удаленного управления получать информацию о введённых Back Oriffice паролях;

Программа Back Orifice (дословный просматривать текущее состояние перевод — задний проход) является еще одним экрана на сервере;

средством взлома серверов Windows NT и просматривать сетевые ресурсы, удаленного управления ими через Internet. BO2K подключенные к серверу;

состоит из клиентской, серверной части и утилит, управлять системными процессами;

позволяющих добавлять некоторые новые функции и производить настройку серверной выполнять удалённую перезагрузку;

части.

389 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows удалённо выполнять программы с Web сервер, вы тоже сразу же сможете интуитивно возможностью перенаправления консоли на определить, с какой операционной системой вы компьютер хакеру. имеете дело. Для этого следует, используя браузер, провести исследование страничек и отрытых для Перед внедрением серверная часть просмотра каталогов Web сервера. Для Web конфигурируется при помощи Мастера серверов конфигурирования BO2K Configuration Wizard IIS 3.0/4.0/5.0, которые являются продуктами (файл bo2kcfg.exe). Мастер BO2K Configuration Wiz Microsoft и работают исключительно под Windows ard позволяет выбрать файл сервера BO2K NT, характерны следующие особенности: Web (bo2k.exe) и задать пароль, который затем будет страницы имеют расширения *.htm, *.asp;

использоваться для доступа по сети. Кроме того, страницы имеют кодировку Win1253, а не KOI8 R мастер позволяет выбрать порт для IP соединения, (для русскоязычных страниц) и прочие косвенные метод шифрования соединений между клиентом и признаки.

сервером. Вам необходимо указать, какой сетевой модуль будет использоваться в IP соединениях Кроме того, следует тщательно просмотреть TCP или UPD. TCP соединения обычно структуру каталогов документов и скриптов.

используются для организации управления через Каталоги документов, в которых отсутствуют сеть Internet. UPD соединения применяются для файлы index.htm покажут вам полный список работы в ЛВС. файлов и расположенных ниже директорий.

Случайно бродя по Интернету вы можете случайно Кроме того, данная утилита используется наткнуться на такой Web сервер новостей штата для добавления к основному запускаемому модулю Айдахо http://www.idahonews.com/, который bo2k.exe дополнительных возможностей, которые полностью соответствует описанным критериям.

реализованы в виде Plugins DLL.

Но самое смешное, то, что у этого сервера открыты для просмотра каталоги скриптов scripts и Глава 10: Удаленный взлом cgi bin.

Windows NT через Internet Если каталоги скриптов scripts и cgi bin открыты для просмотра, то этот сервер просто Самым трудным взломом Windows NT находка для опытного хакера. Используя браузер, считается удаленный взлом через Internet. В самом удаленный клиент может запускать любые файлы начале у атакующего отсутствует вообще какая из этих директорий на Web сервере. Остается либо информация, кроме имени хоста и его каким либо способом загрузить одну из программ, IP адреса. Если на удаленном сервере работает описанных раннее, в каталоги скриптов scripts и 391 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows *** 'E:\docs\idaho8' error message at: 1999/10/25 13:51: cgi bin. Для этого исследуем открытые каталоги более подробно. Can't open perl script "E:\docs\idaho8": Permission denied Как вы можете видеть из рисунка, Конечно, данный журнальный файл дает не открытый каталог слишком много информации, кроме той, что cgi bin позволил нам получить информацию о том, основные документы расположены на диске E: в что данный сервер Windows NT использует язык каталоге docs, и также Perl.exe использовался Perl. Используя обычный браузер, вы можете раннее для неудачных попыток проникновения в скачать все скрипты из этих директорий и систему. Затем следует просмотреть документацию произвести их анализ на получение различного в сети Internet по ошибкам и дырам в реализации рода информации об удаленном сервере. Кроме Perl 5.0 для Windows NT и, исходя из этого, того, в каталоге cgi bin находится подкаталог произвести анализ находящихся в каталогах scripts MSWin32 x86 object. Войдем в него и просмотрим и cgi bin его содержимое.

*.pl скриптов.

Как мы видим из рисунка, подкаталог Производим просмотр каталога scripts.

MSWin32 x86 object содержит инсталлированную Открытый каталог scripts дает нам версию языка Perl 5.0, а также сам дистрибутив следующую информацию:

Perl 5.00502.exe. Затем скачаем из этой директории Подкаталог /scripts/centralad/ файл регистрации ошибок PerlIS Err.log:

содержит средства для централизованного *** 'E:\docs' error message at: 1998/11/24 13:23: администрирования какой то информационной системы.

Can't open perl script "E:\docs": Permission denied *** 'E:\docs' error message at: 1998/12/25 04:49:16 Подкаталог scripts/iisadmin/ содержит HTML версию для администрирования Can't open perl script "E:\docs": Permission denied Web сервера IIS, которая очень может пригодится *** 'E:\docs' error message at: 1999/03/26 16:05: при взломе системы.

Can't open perl script "E:\docs": Permission denied Подкаталог scripts/tools/ содержит *** 'E:\docs' error message at: 1999/09/08 11:39: различные утилиты для IIS.

Can't open perl script "E:\docs": Permission denied Файл General.mdb — файл базы *** 'E:\docs' error message at: 1999/09/08 11:58: данных Microsoft Access, говорит о том, что Can't open perl script "E:\docs": Permission denied возможно на сервере установлена СУБД MS Access;

393 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows Файлы PASSWRD2.EXE и Утилита Ogre обеспечивает взломщика PASSWRD2.CPP имеют очень странное имя PASS эффективным инструментом для сбора WRD2.*, которое напоминает одно из известных информации об уязвимых местах для серверов хакерских инструментов. Создается впечатление, Windows NT и прочих хостов Internet.

что данный сервер уже ломали раннее, т.к.

Ogre позволяет выполнить ряд тестов для возможно эти файлы были загружены на сервер выбранной подсети класса C и проверить хосты на хакерами.

известные дыры в операционных системах Win Затем можно просканировать данный хост dows 95 и Windows NT, а также в установленном на наличие открытых портов, и, следовательно программном обеспечении. Утилита Ogre сервисов, на нем установленных. Для позволяет:

сканирования портов вы можете использовать Определить активные хосты в данной следующие сканеры портов Windows:

подсети класса C;

7th Sphere PortScan v1. Просмотреть выявленные хосты, All Around Internet чтобы определить доступные удаленные службы и порты, по которым к ним можно обратиться;

Ogre v0.9b Получить информацию относительно Port Scanner v1. состояния netbios (Nbtstat);

PortScan Plus Просмотреть доступные сетевые SiteScan by Rhino9/Intercore ресурсы, выделенные в совместное использование TCP Port Scanner (net view);

UltraScan v1.2.

Проверить существование серверных расширений Microsoft Frontpage;

Данные утилиты вы можете получить со страницы Проверить присутствия в системе http://208.234.248.19:81/hack/genar/archive5.html.

средства администрирования HTML для IIS;

Наиболее полезным и простым сканером портов Проверить существование является Ogre v0.9b (Rhino9). Другие сканеры индексированных по умолчанию документов Index портов под Windows или UNIX вы сможете Server.

отыскать при определенном упорстве в сети Internet.

395 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows После сканирования получим следующие Глава 11: Использование утилиты результаты:

Ogre для проверки подсети сервера Scanning — 198.60.102. новостей штата Айдахо ====================== Перед использованием этой утилиты Commencing Port Scan:

необходимо получить IP адрес сервера http://www.idahonews.com/. Для этого выполним Port 21: Closed команду ping www.idahonews.com:

Pinging www.idahonews.com [198.60.102.4] Port 23: Open with 32 bytes of data:

Port 25: Closed Request timed out.

Port 53: Closed Request timed out.

Port 79: Open Request timed out.

Port 80: Closed Request timed out.

Port 110: Closed IP адрес сервера отображается через DNS, Port 111: Closed однако ping не проходит. Это означает, что данный Port 139: Closed сервер прикрыт firewall'ом и сканирование его Port 443: Closed портов будет неудачным. Однако сканирование данной подсети позволит выявить другие сервера Port 1080: Closed домена Port 8181: Closed idahonews.com.

Для тестирования подсети, в которой Scanning — 198.60.102. находится сервер новостей штата Айдахо, введем первый адрес подсети в IP в поле «Starting IP» ====================== (Начальный IP адрес) 198.60.102.1. Затем, введем *Inactive IP address* последний адрес подсети в «Ending Octet» (Конечный октет). Для начала сканирования нажмем кнопку «Start scan» (Начать Scanning — 198.60.102. сканирование).

====================== 397 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows *Inactive IP address* Scanning — 198.60.102. ====================== Scanning — 198.60.102.4 *Inactive IP address* ======================....

*Inactive IP address*....

Scanning — 198.60.102. Scanning — 198.60.102.5 ======================= ====================== *Inactive IP address* Commencing Port Scan:

Scanning — 198.60.102. Port 21: Closed ======================= Port 23: Closed Commencing Port Scan:

Port 25: Open Port 53: Open Port 21: Closed Port 79: Open Port 23: Closed Port 80: Closed Port 25: Open Port 110: Open Port 53: Open Port 111: Closed Port 79: Open Port 139: Closed Port 80: Closed Port 443: Closed Port 110: Open Port 1080: Closed Port 111: Closed Port 8181: Closed Port 139: Closed Port 443: Closed Port 1080: Closed Port 8181: Closed 399 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows Scanning — 198.60.102.40 Scanning — 198.60.102. ======================= ======================= *Inactive IP address* *Inactive IP address*....

........

Scanning — 198.60.102.54....

======================= Scanning — 198.60.102. *Inactive IP address* ======================= *Inactive IP address* Scanning — 198.60.102. ======================= Идеальным вариантом при взломе Windows NT были бы открытые порты 135 139. Тогда бы Commencing Port Scan:

мы смогли получить массу познавательной информации о сервере, его сервисах и прочих Port 21: Closed ресурсах. Однако при сканировании мы получили:

Port 23: Closed Scanning — 198.60.102. Port 25: Open ====================== Port 53: Open *Inactive IP address* Port 79: Open Действительно, данный сервер прикрыт fire wall'ом. Попробуем определить его тип, выполнив Port 80: Closed трейсинг соседних активных хостов. Для этого Port 110: Open выполним команду tracert 198.60.102.1 (для UNIX Port 111: Closed команда traceroute):

Port 139: Closed Tracing route to cisco.idahonews.com [198.60.102.1]over a maximum of 30 hops:

Port 443: Closed 11 240 ms 241 ms 240 ms gbr Port 1080: Closed p01.wswdc.ip.att.net [12.123.8.241] 12 Port 8181: Closed ms 260 ms 251 ms gbr1 p40.oc 401 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows 48.sl9mo.ip.att.net [12.122.2.82] 13 330 ms ms router.idahonews.com [198.60.102.5] 301 ms 390 ms gbr2 p50.oc Trace complete 12.sffca.ip.att.net [12.122.3.17] 14 301 ms Опять мы получили информацию, что 320 ms 311 ms ar2 a3120s4.sffca.ip.att.net хостом по адресу 198.60.102.5 является [12.127.1.145] 15 401 ms 350 ms маршрутизатор router (который может быть ms 12.126.207.46 16 381 ms 350 ms реализован в виде аппаратного устройства или 371 ms cisco.idahonews.com [198.60.102.1] обычного Trace complete UNIX роутера). У хоста router.idahonews.com Еще одной распространенной ошибкой открыты порты:

администраторов небольших сетей является 25 (SMNP почта), 53 (DNS сервер), 110 (POP манера давать названия хостам, исходя из сервер). Исходя из открытых портов, можно с выполняемой ими функций. Благодаря этому мы уверенностью заявить, что данный сервер является получили информацию, что хостом по адресу почтовым и DNS сервером. Можно с большой 198.60.102.1 является Firewall корпорации Cisco. уверенностью сказать, что данный маршрутизатор Его так просто не хакнешь. Хотя, конечно, передает пакеты во внутреннюю локальную существует шанс, что ленивый админ забыл подсетку idahonews.com 192.168.0.*.

сменить заводской пароль. У хоста cisco.ida Трассировка других хостов подсетки honews.com открытыми являются полученные при 198.60.102.6 253 дала информацию, что другие IP сканировании Ogre порты: 23 (Telnet), 79.

адреса не имеют никакого отношения к домену Затем выполним команду tracert idahonews.com.

198.60.102.5:

Как мы видим, полученной полезной информации явно не хватает для проникновения в Tracing route to router.idahonews.com систему. Для взлома www.idahonews.com [198.60.102.5]over a maximum of 30 hops:

необходимо собрать наиболее полную 12 260 ms 270 ms 261 ms gbr информацию обо всех трех хостах. Кроме того, p40.oc 48.sl9mo.ip.att.net [12.122.2.82] взлом Firewall'ов Cisco и Unix роутеров выходит за 321 ms 310 ms 300 ms gbr2 p50.oc границы данной темы. Поэтому мы рассмотрим 12.sffca.ip.att.net [12.122.3.17] 14 идеальный вариант, при котором сервер Windows ms 321 ms 320 ms ar NT не был прикрыт Firewall'ом и порты 135 a300s3.sffca.ip.att.net [12.127.5.177] были бы открыты.

341 ms 340 ms 371 ms 12.126.207.34 371 ms * * 198.60.104.181 17 361 ms 361 ms 403 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows Port 25: Open Глава 12: Взлом сервера Windows NT Допустим, что открыта служба SMNP, которая входит в состав IIS Идеальный вариант Port 53: Open Итак, рассмотрим идеальный вариант, при Port 79: Closed котором к сети Internet подключен сервер Windows Port 80: Open NT, который не прикрыт Firewall'ом и хотя бы Допустим, что открыта служба HTTP, один порт в диапазоне 135 139 открыт. Такое которая входит в состав IIS.

иногда бывает и сейчас, когда молодая компания недавно начала свой бизнес, не имеет ни Port 110: Open малейшего понятия о том, зачем ей firewall, а Port 111: Closed также пытается сэкономить деньги. Кроме того, Port 139: Open может быть, в такой компании работает Допустим, что возможен File Sharing.

неопытный системный администратор, который Port 443: Closed просто инсталлирует Windows NT и устанавливает Port 1080: Closed последний Service Pack. Затем ставится и Port 8181: Closed настраивается IIS, после чего админ Surveying Web Server:

успокаивается, хотя ему следовало, прежде всего, Checking for Vulnerable URLs:

включить аудит, сконфигурировать реестр, Frontpage Extensions: Not Present поставить последние патчи и fix'ы, а также IIS HTML Administration Interface:

отключить все ненужные службы и привязки Present (Binding) в настройках аппрета «Network» (Сеть).

Допустим, что возможно управление Если сервер новостей штата Айдахо не был сервером через IIS.

подвергнут вышеописанным настройкам, утилита IIS Samples: Present Ogre выдала бы следующую информацию:

Commencing Nbtstat Scan:

Scanning 198.60.102. NetBIOS Remote Machine Name Table ====================== Name Type Status Commencing Port Scan:

Port 21: Open Registered Registered Registered Допустим, что открыта служба FTP, которая Registered Registered Registered Registered входит в состав IIS. Registered Registered Registered Registered Port 23: Closed 405 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows MAC Address = XX XX XX XX XX XX бюджеты, которые стандартно присутствуют в Символами X, Y и Z, заменены реальные Windows NT (Guest, Administrator), однако значения, которые мы получили бы, если бы наверняка у вас ничего не получится. Кроме того, сервер не был бы firewall'ом. вы можете попытаться использовать бюджеты IIS (Internet Information Service), обычно они выглядят YYYYY <00> UNIQUE Имя машины так IUSR_<имя машины>. При помощи утилиты YYYYY <20> UNIQUE Ogre мы получили информацию, что имя машины ZZZZZZZZZ <00> GROUP YYYYY, следовательно, бюджет IIS будет IUSR_ ZZZZZZZZZ <1C> GROUP YYYYY.Однако и с этим вариантом, наверное, ZZZZZZZZZ <1B> UNIQUE тоже ничего не получится.

ZZZZZZZZZ <1E> GROUP YYYYY <03> UNIQUE Для взлома сервера Windows NT с ZZZZZZZZZ <1D> UNIQUE выделенными в совместное использование INet~Services <1C> GROUP каталогами, вам следует использовать утилиты,..MSBROWSE.<01> GROUP которые позволяют производить подключение к IS~YYYYY.......<00> UNIQUE выделенным ресурсам с пользовательскими Кроме того, информацию по NetBIOS мы бюджетами и выполняют подбор пароля из можем получить, выполнив команду nbtstat A словаря и/или прямым перебором всех возможных x.x.x.x.Для расшифровки кодов имен NetBIOS вы вариантов.

можете использовать описания кодов.

Использование программы NAT для Термин UNIQUE означает, что подбора паролей к выделенным в одному имени которого присвоен один IP адрес;

совместное использование Термин GROUP означает нормальную ресурсам группу, одному имени которой может Наиболее удобной и полнофункциональной принадлежать группа IP адресов.

из этих утилит является программа NetBIOS Audit Для идеального варианта, который мы ing Tool, реализации которой есть как под UNIX, рассматриваем, мы получили информацию, от так и под Win32.

которой можно отталкиваться при взломе Windows Изначально программа Nat была создана NT. Из этой информации можно понять, что для выполнения различных проверок защиты сервер предоставляет доступ для выделенных в операционных систем, использующих NetBIOS.

совместное использование ресурсов и FTP.Затем Данная программа работает в режиме командной можно попробовать зайти на сервер, используя строки. Вот ее синтаксис:

407 Ломаем и защищаем Windows 2000 Ломаем и защищаем Windows NAT [ O <ФАЙЛ_РЕЗУЛЬТАТОВ>] [ U сервером практически что угодно. Если бюджет, <ФАЙЛ_СПИСКА_ПОЛЬЗОВАТЕЛЕЙ>] [ P <ФАЙЛ_ который программа NAT определила, не является СЛОВАРЯ_ПАРОЛЕЙ>] бюджетом Administrator, то время взлома зависит от того, какими возможностями обладает данный По умолчанию в качестве файла списка аккаунт и на какие ресурсы он имеет права пользователей используется файл Userlist.txt.

доступа. Может быть, удастся подсоединить диск, Подправим этот файл, добавив в него новые используя команду NET USE и скопировать имена, полученные при помощи программы Ogre.

резервную копию файла базы данных паролей Файл словаря паролей лучше взять из программы SAM._ из каталога WINNT/REPAIR для L0phtCrack, сохранить под именем Passlist.txt.

последующего вскрытия при помощи программы Добавим в него имена, полученные при помощи L0phtCrack, как уже было описано выше. Кроме программы Ogre. Затем из командной строки того, подсоединив диск при помощи NET USE выполним программу nat:

(или при помощи FTP) может быть удаться NAT o REZALT.TXT 198.60.102. загрузить на удаленный компьютер одну из Программа NAT произведет тестирование программ, которые помогут получить права всех сетевых служб, пробуя произвести администратора (Getadmin и т.д.). Для выполнения подключение.

таких программ удаленно на серверах Windows NT, следует скопировать данные в каталог Обычно данный процесс бывает довольно скриптов или в длительным, продолжительность которого зависит InetPub/cgi bin. Затем, используя браузер, можно от того, насколько удачно были составлены файлы выполнить удаленно на сервере данные списка пользователей и паролей. Однако с программы, введя в строке адреса строчку:

большой уверенностью можно сказать, что http://www.idahonews/scripts/getadmin.exe?mmmm программа NAT сумеет подобрать пароль к одному из бюджетов в промежутке от 30 минут до где mmmm, является именем пользователя, часов.

пароль которого вы определили.

Далее процессу взлома сервера Windows NT Таким же образом возможно выполнить гарантирован практически 100% успех. Время, любую хакерскую утилиту вроде PWDUMP.EXE которое потребуется для взлома системы зависит (для получения хеша пароля администратора) или от того, насколько туп администратор системы.

троянские программы вроде Back Orifice или Net Если программе NAT удалось определить пароль Bus (http://indigo.ie/~lmf/nb.htm), которые для бюджета Administrator, то на этом процесс позволят сделать довольно многое.

взлома успешно закончен, и вы можете делать с 409 Приложения Приложения Ключ от квартиры Приложения Джулия Борт Будет ли разрешен вывоз современных шифровальных технологий?

Lan Magazine/Русское издание.

Список использованных книг, На линии огня статей и других материалов Анита Карве, Lan Magazine/Русское издание.

Ключ от комнаты или дырявая сеть AVP Virus Encyclopedia Александр Авдуевский, Lan Magazine/Русское издание.

AVP.

Задраить люки!

Aaanoaea X Windows Ли Че, Lan Magazine/Русское издание.

Digital Equipment Corporation.

Круговая оборона Unix «Руководство для хакера» или самые свежие мысли о том, Синди Куллен — старший системный инженер компании Bell как развлечься на выходные Communications Research (Пискатавей, шт. Нью Джерси). С ней W.S.U.

можно связаться через Internet по адресу:

cdc@bellcore.com, Lan Magazine/ ХАКИНГ UNIX: Руководство хакера Русское издание.

Sir Hackalot Неизбежные попутчики Unix haters handbook Lan Magazine/Русское издание.

Simson Garfinkel et al, IDG Books.

Вслед за деньгами Взлом Internet Ричард Пауэр — редактор Computer Security Alert, The Computer Mike Smith.

Security Journal, Frontline и других изданий, публикуемых Com puter Security Institute (Сан Франциско). С ним можно связаться Защита сообщений электронной почты через Internet по адресу: rpower@mfi.com, Lan Михаил Ашаров. Акционерное общество «Информэйшн Magazine/Русское издание.

Компьютер Энтерпрайз».

Интернационализация в проекте GNU. Полное описание Вам нужна сеть, защищенная от взлома?

подхода Джеймс Кобиелус, Журнал «Сети». GNU к делу i18n Ulrich Drepper.

Информационная безопасность в Intranet Владимир Галатенко 411 Приложения Приложения Configuration HOWTO Computer Crime A Crimefighter's Handbook Guido Gonzato (guido@ibogfs.cineca.it). Shepelevich Konstantin By David Icove, Karl Seger, William VonStorch.

(sh_ki@hotmail.com).

Linux Security HOWTO Использование TTF в Linux, Fedor Ashanin Kevin Fenzi (kevin@scrye.com), Dave Wreski (DAVE@nic.com) (mini howto) перевд Константина Шепелевича (sh_ki@hotmail.com).

Linux General HOW TO, Part 1 Ivan Postnikov (ivanp@dsbw.ru).

Debian GNU/Linux Сетевая поддержка в Linuxе, Linux NET 3 HOWTO.

cbytes@homepage.ru Тэрри Доусон (основной автор), Алессандро Рубини (сопровождающий — alessandro.rubini@linux.it), Егор Дуда Конфигурация и настройка TCP/IP стека в Solaris 2.5. (перевод — deo@logos m.ru).

Андрей Ефимочкин (fima@fima.net).

Comer Internetworking with TCP/IP, Volume 1:

Framebuffer в Linux'e и как его использовать principles, protocols and architecture Идея создания принадлежит Martin Schaller. Sergey Minakov Douglas E.

(25.05.99).

Unix Network Programming RPM HOWTO W. Richard Stevens.

Donnie Barnes, перевод Alex Ott (http://www.linux.org.ru).

Руководство по операционной системе UNIX Linux Kernel HOWTO Готье.

Brian Ward Kernel Hacking Options Building Internet Firewalls Linus D. Brent Chapman, Elizabeth D. Zwicky.

Множественная загрузка Practical UNIX & Internet Security Steve Lembark Garfinkel & Gene Spafford.

Возможные варианты команды make Computer Security Basics Ryan McGuire Deborah Russell, G.T. Gangemi.

Linux Network Administrator's Guide Olaf Kirch.

PGP: Pretty Good Privacy Simson Garfinkel.

Pages:     | 1 |   ...   | 2 | 3 ||



© 2011 www.dissers.ru - «Бесплатная электронная библиотека»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.