На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

HTTP

Данный протокол позволяет серверу получить некоторую ин­формацию о клиентской машине, основываясь, главным образом, на составе и порядке Iieader-ов в запросе (несущих вспомогательную ин­формацию).
Так, например, заголовок содержит информацию об
используемом браузере, а зачастую, и о клиентской операционной сис­теме.
Более подробную информацию о клиенте (которым, собственно, является браузер) сервер может получить, отослав клиенту lit ml-доку-мент, содержащий специальный javascript-код, определяющий необхо­димые серверу параметры и возвращающий их серверу, используя, на­пример, механизм CGI. Наэтом основывается работа многочисленных баннерных сетей и счетчиков. Хорошим примером подобного javascript-кода может служить счетчик spylog'a. Однако подобная тех­ника не может считаться полностью пассивной, так как может быть опознана на клиентской стороне.
FTP
Несмотря на кажущуюся простоту, и этот протокол позволяет серверу достаточно точно определить клиентское программное обес­печение. При успешном соединении клиент в начале ftp-сессии подает некоторые из следующих команд: AUTH, USER, PASS, PWD, PORT, SYST, EPSV, PASV, LIST, CWD. To, какие именно команды и в каком порядке он подает, позволяет уверено различать многих клиентов:
линукс-клиент (AUTH, USER, PASS, SYST, PORT)
стандартный Windows-клиент (USER, PASS, PORT)
клиент, встроенный в Far (USER, PASS, PWD)
FreeBSD-клиент (USER, PASS, SYST, EPSV)
MSIE (USER anonymous, PASS IEUser®, TYPE I, PASV, CWD)
GoIZilla (USER anonymous, PASS PASV, LIST)
ReGet (USER anonymous, PASS User@x-x-x-xxx.ReGet.Com, SYST).
Telnet
Протокол telnet предписывает обмен определенными парамет­рами между серверной и клиентской сторонами при установке соеди­нения. Различные реализации имеют различные наборы параметров и их порядок в наборах, что позволяет определить клиентское программное обеспечение.
SMTP/P0P3/NNTP
Служебные заголовки сообщений электронной почты дают обильную информацию об источнике и процессе пересылки письма. Анализируя их, исследователь может получить список хостов внутри сети исследуемой системы, участвующих в процессе пересылки почты, и сделать некоторые относительно правил маршрути-
зации почты в исследуемой подсети. В заголовках всегда фигурирует ip или hostname источника письма. Рассмотрение таких полей, как Message-ID, X-Mailer, User-Agent, дает возможность определить кли­ентское программное обеспечение, использованное при написании и отсылке письма (вплоть до номера версии) и, часто, операционную систему клиента. Например:
Message-ID:   (это Linux,   Pine v4.10)
X-Mailer:  QUALCOMM Windows Eudora Version 4.3.2
X-Mailer:   Microsoft  Outlook Express  5. 00.3018.1300
Аналогичную информацию можно получить, анализируя заго­ловки новостных сообщений (NNTP). Здесь наиболее выразительны­ми являются User-Agent, X-Http-User-Agent, X-Mailer, Message-ID, X-Newsreader, X-Operating-System.
Кому же и зачем нужны подобные алгоритмы? Сегодня спектр их применения весьма широк: Pot и IDS системы оборудуются
софтом, работа которого основана на производящим отслеживание и идентификацию злоумышленников.
Используя специальное программное обеспечение, администра-
торы сетей могут быстро обнаруживать аномальные явления (такие, например, как появление Linux-машины в сети Windows-машин).
Опытные злоумышленники могут, используя подобные методы, определить версии ОС и ПО удаленной машины с тем, чтобы затем, найдя наиболее уязвимое место, произвести целенаправленную атаку.
Script-kiddies, наоборот, ищут системы, уязвимые для имеющих­ся у них инструментов. В любом случае знание и понимание подобных механизмов может пригодиться читателю как при повседневной дея­тельности в сети, так и в чрезвычайных ситуациях.
Троянская конница
Дистрибутивы NTWS4.0 и NTS4.0 включают утилиту rollback. ехе, предназначенную для настройки пользователями предустанов­ленной системы. Ее запуск приводит к очистке реестра (без преду­преждения) и возврату к концу Character Based Setup (часть установ­ки до появления GUI). Запуск ее из-под рабочей системы приводит к тем же невеселым последствиям (потеря аккаунтов, настроек протоко­лов, пользовательских настроек и т. п.). Найти ее можно на CD-ROM с NT в каталоге:
Support\Deptools\<system>\ Подробности:
http://support.microsoft.com/support/kb/articles/Q14 9 /2/83.asp
Каталоги %systemroot% и %systemroot%\system32 имеют по умолчанию право доступа Change для Everyone. Это может привес­ти к самым разнообразным последствиям типа замещения части сис­темных (111 «троянскими» и т. п. При этом они могут быть вызваны из самых разных программ — в том числе из программ, работающих с си­стемными правами доступа.
Для защиты достаточно грамотно установить права доступа. Кстати, программа позволяет вывести права доступа для
различных объектов — файлов, реестра, принтеров и т.п. в общий спп-сок, удобный для просмотра.
В реестре есть ключ
<HKLM\SYSTEM\CurrentControlSet\Control\Lsa> со значением
<Notifi.catior Packages:  reg_multi_sz : fpnwclnt> Эта DLL существует в сетях, связанных с Netware.
Поддельная FPNWCLNT.DLL в каталоге %systemroot%\sys-
tem32 вполне может проследить все пароли. После копирования и пе­резагрузки все изменения паролей и создание новых пользователей будут отслеживаться этой (111 и записываться (открытым текстом) в файл c:\temp\pdwchange.out.
Для защиты достаточно удалить этот ключ и защитить эту часть реестра от записи. Исполняемые файлы могут быть переименованы в файлы с любым расширением (или без расширения), но они все равно запустятся из командной строки (например, переименуйте notepad.exe в notepad.doc и запустите «start notepad.doc»).
Ну и что, спросите вы? . Тогда попробуйте представить процесс прочтения файла roll-back.exe, переименованного в readme.doc. Очень эффективно.
Большая часть реестра доступна для записи группе Everyone. Это же относится и к удаленному доступу к реестру. Может оказаться опасным, особенно в сочетании с автоматическим импортом reg-фай-лов. В реестре появился ключ
ControlSet\Control\SecurePipeServers\winreg>, при нали­чии которого доступ к реестру открыт только администраторам.
В NT Server этот ключ существует по умолчанию, в NTWS мо­жет быть добавлен.
Подробности:
http://support.microsoft.com/support/kb/articles/Q155 /3/63.asp
Проблемы приложений
В FrontPage Ы пользователь IUSR_* имеет право доступа Full Control к каталогу _vti_bin и Shtml. ехе.
Если взломщик узнал пароль
IUSR_<hostname> (обычно достаточно простой), то он может получить доступ к каталогу с исполняемыми файлами. В FrontPage'97 это упущение исправлено.
Подробности:
http://support.microsoft.com/support/kb/arti-cles/Q162/1 .asp
При запуске администратором в Windows NT 3.51 File Manager из панели MS Office 7.0 он получает доступ к каталогу, на который у него нет прав доступа. Это связано с тем, что File Manager наследует права 'backup and restore permissions' от панели Office, которые ис­пользуются Офисом для записи пользовательских настроек в реестр.
Ошибка исправлена, начиная с Office7.0a.
Подробности:
http://support.microsoft.com/support/kb/articles/Q14 6 /6/04.asp
Служба FTP позволяет устанавливать пассивные соединения на основе адреса порта, указанного клиентом. Это может быть использо­вано взломщиком для выдачи опасных команд службе FTP.
Реестр содержит ключ
<HKLM\System\CurrentControlSet\Services\MSFTPSVC\Para meters>
со значением <EnablePortAttack: REG DWORD: > Убедитесь, что значение установлено в а не
Подробности:
http://support.microsoft.com/support/kb/articles/Q147 /6/21.asp
Несанкционированный доступ
Драйвер ntfsdos.exe позволяет читать раздел с NTFS из DOS,Windows,Windo\vs'95. Права доступа при этом игнорируются.
Авторами был обещан вариант драйвера с возможностью записи.
Аналогичный драйвер (read only) существует для Linux:
http://www.informatik.hu-berlin.de/~loewis/ntfs/
Один из популярных методов проникновения в систему — под­бор пароля.
Для борьбы с этим обычно устанавливают блокировку учетной
записи пользователя после определенного числа неудачных попыток входа.
Приятным исключением является учетная запись администра­тора. И если он имеет право доступа на вход через сеть, это открывает
лазейку для спокойного угадывания пароля.
Для защиты рекомендуется переименовать пользователя Administrator, установить блокировку учетных записей, запретить ад­министратору вход в систему через сеть, запретить передачу па­кетов через TCP/IP (порты 137,138,139), установить протоколирова­ние неудачных входов.
Подробности:
http://somarsoft.com/ntcrack.htm
Еще один способ — перехват проходящей по сети информации.
Подробности:
IP-
Watcherhttp://www.engarde.com/software/ipwatcher/watc her.html
MS SMS Netmonhttp://www.microsoft.com/smsmgmt/ Проблемы IIS
Пользователь Anonymous может получить в IIS права пользова­телей домена при установке IIS на контроллер домена
Подробности:
http://www.microsoft.com/kb/articles/ql47/6/91.htm.
Internet Information Server 1.0 (IIS) допускает использование batch-файлов в качестве CGI-приложений. Это весьма опасно, по-
скольку batch-файлы выполняются в контексте командного процессо­ра (cmd.exe).
Подробности:
http://www.microsoft.com/kb/articles/ql55/0/56.htm http://www.microsoft.com/kb/articles/Ql48/1/88.htm http://www.omna.com/iis-bug.htm
В IIS 1.0 адрес типа 'http://www.domain.com/..\.,» позволяет про­сматривать и скачивать файлы вне корневого каталога web-сервера.
Адрес ^tp://www.domain.com/scripts..\..\scriptname^ позволяет выполнить указанный скрипт.
По умолчанию пользователь Guest или IUSRWWW имеет пра­ва на чтение всех файлов во всех каталогах. Так что эти файлы могут быть просмотрены, скачаны и запущены.
Адрес
«http://www.domain.com/scripts/exploit.bat>PATH\tar-
bat»
создаст файл 'target.bat/. Если файл существует, он будет обрезан. К тем же последствиям приведет адрес
«http://www.domain.com/scripts/script_name%OA%OD>PATH \target.bat».
Подробности:
http://www.omna.com/iis-bug.htm
Если соединиться через telnet с портом 80, команда «GET ../..» <сг> приведет к краху IIS и сообщению:
«The application, exeUnetinfo.dbg, generated an application error
The error occurred on date@ time
The exception generated was C0000005 at address 5398.4655
(ТСP_AUТНЕNТ;: TCP_AUTHENT»

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика