Поради системного адміністратора, Безпека ПЗ, Security & Hack, статті

www.hackerz.ru

Кожен день по всьому світу зламуються комп&#8217;ютерні мережі і сервера. Рівень цих атак різний. Всупереч загальному уявленню що більшість з них відбувається через слабких паролів, безліч атак використовує більш складний спосіб. Ці способи менш відомі і їх важко виявити. Щоб захиститися від таких проникнень необхідно розуміти їх. Ми спробуємо пояснити деякі з них &#8230; Чому ми вирішили написати цей документ? Більшість книг і документів присвячених захисту дивляться на неї очима адміністратора &#8211; людини який сидить усередині системи і іноді погано уявляє її зовнішні кордону. Давайте відійдемо від звичних уявлень про систему захисту. Подивимося на неї очима потенційного зломщика. Для цієї людини ваша система &#8211; чорний ящик (або коробка шоколадних цукерок). Показуючи що він може зробити для того щоб отримати доступ на ваш комп&#8217;ютер, ми намагаємося допомогти системним адміністраторам отримає уявлення про там на скільки реально захищений ваш хост. Ми не припускаємо розкрити тут всі технології і лазівки в системі &#8211; їх кількість зростає щодня. Системи вдосконалюються &#8211; змінюються технології. Яку інформацію ми можемо отримати про віддалену системі? Існує безліч мережевих сервісів до яких слід звернутися: finger, rusers, showmount, rpcinfo, dns, ftp, sendmail &#8230; В ідеалі варто збирати всю можливу інформацію &#8211; інформація це влада. Давайте спробуємо. Що ми можемо дізнатися? 0. Можливо не поганий крок спочатку дізнатися можливі allias, ім&#8217;я nameserver і складу мережі в якій стоїть цей хост. У цьому може допомогти nslookup (Дивись man nslookup). 1. finger і rusers Ці сервіси дають нам акаунти, дозволяють нам дізнатися хто в даний момент працює в системі, їх shell і домашній каталог, можливо імена довірених хостів. Зверніть увагу на графу Idle, якщо в ній стоїть кілька годин, то швидше за все в даний момент ніхто не зверне на вас увагу.<br /> 2. rpcinfo rpcinfo дає інформацію про запущені RPC сервесах. Найбільш цікаві з них mountd, nisd, ypserv і ypbind, statd, bootparam, pcnfsd, rexd. statd дозволяє стерти віддалено будь-який файл<br /> (rs host //../../../../../../../../../etc/passwd), pcnfsd і mountd дають доступ до дисків машини, rexd &#8211; віддалене виконання команд.<br /> 3. NIS (nisd, ypbind, ypserv). Якщо ця машина є NIS сервером, то знаючи NIS ім&#8217;я домену ви можете отримати будь-які NIS карти простим rpc запитом. Звичайно це ім&#8217;я співпадає з ім&#8217;ям домену і можна спробувати його вгадати.<br /> (Ми замінили перші два символу кожного пароля на &#8216;__&#8217; і змінили імена тут і далі в тексті)<br /> Якщо вгадати NIS ім&#8217;я домену не вдається, можливо отримати його через bootparam сервіс або підглянути в директорії / var / yp, якщо вона доступна публічно.<br /> 4. showmount За допомогою showmount ми дізналися про розділи, що надаються цим хостом, про правах доступу до них і можливо про довірених хостах. Такі важливі каталоги як export, home, usr доступні всім! Спробуємо &#8230;<br /> 5. sendmail Так ми спробували вгадати кілька системних акаунтів і звичайно записали версію sendmail&#8217;a &#8211; програми містить легендарне кількість помилок. Чи не будемо загострювати на них уваги. Нові версії виходять регулярно, старі помилки виправляються, з&#8217;являються нові. 🙂<br /> 6. tftp tftp широко відома програма схожа на ftp, служить для найпростішого трансферу файлів. Помилки в ній відомі і виправлені в більшості ОС, але і вишепреведенний приклад можна зустріти.<br /> 7. ftp Сервіс ftp є не тільки зручним, але і небезпечним для вашої системи. Небезпека представляє не тільки можливість вкрасти довірену інформацію або занести свою при неправильній конфігурації демона. Небезпека представляє можливе крах демона командами користувача.<br /> 8. rexd<br /> devil# su daemon<br /> $ on -i faxnetxx.xxx.ru /bin/sh -i<br /> $ uname -a<br /> faxnetxx faxnetxx 3.2 2 i386<br /> $ id<br /> uid=1(daemon) gid=1(other)<br /> $ 9. Сканування портів Портмеппер повідомляє тільки про rpc сервісах. Про інших запущених сервісах можна дізнатися прямим скануванням портів. Наведемо тільки найбільш важниее порти:<br /> а) X server. X сервер базується на портах 6000 + номер діслея. Якщо Х сервер не використовує для аутенфікаціі magic cookies або захист відключена командою &#8216;Xhost +&#8217;, інформація з його дисплеїв може бути підглянена або вкрадена, натискання клавіш записані, програми &#8211; запущені віддалено (xspy, xpush, etc). Якщо хост підтримує з&#8217;єднання до 6000 порту то це може бути використано для denial_of_service атак. б) rlogin і talkd. У більшості систем ці сервіси мають помилки пов&#8217;язані з переповненням буфера. rlogin намагається отримати від віддаленої системи змінну TERM, а talkd &#8211; дізнатися ім&#8217;я хоста вимагає з&#8217;єднання. Якщо ці демони отримують в відповідь рядок великої довжини то відбувається переповнення буфера. Це дає можливість виконати віддалено команди з привілеями root. (rlogin &#038;<br /> talkd exploits). в) rsh і rexec. rsh і rexec дозволяють отримати командної оболонку неї залишаючи записів у log-файлах. Крім того ці сервіси не відстежують заборону на віддалений root логін (/ etc / default / login).<br /> devil# rsh -l smtp xxxx.xxx.ru /bin/csh -i<br /> Warning: no access to tty; thus no job control in this shell&#8230;<br /> # id<br /> uid=0(root) gid=0(root)<br /> &#8230;<br /> devil# nc -v xxxx.xxx.ru 512<br /> xxxx.xxx.ru [194.85.xxx.xxx] 512 (exec) open<br /> ^@root^@rootpasswd^@/bin/csh -i^@<br /> Warning: no access to tty; thus no job control in this shell&#8230;<br /> # id<br /> uid=0(root) gid=1(other)<br /> &#8230; 9. Довірені хости Зазвичай, працюючи в межах однієї групи користувачам дозволяється без пароля входити на сусідні комп&#8217;ютери. Такі довірчі машини вказуються в файлах. rhosts і hosts.equiv. Припустити які хости є довіреними можна відстежуючи звідки найбільш часто заходять користувачі, особливо адміністратори, переглядаючи права на доступ до NFS розділах. Використання довірчих відносин створює певний зручність, але разом з тим породжує небезпеку проникнення в систему зловмисників. Зломщик може спотворити інформацію в DNS або NIS сервері і видавати себе за довірений хост.<br />

Схожі статті:


Сподобалася стаття? Ви можете залишити відгук або підписатися на RSS , щоб автоматично отримувати інформацію про нові статтях.

Коментарів поки що немає.

Ваш отзыв

Поділ на параграфи відбувається автоматично, адреса електронної пошти ніколи не буде опублікований, допустимий HTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

*