На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Хакинг компьютеров Windows 2OOO/Xp

Итак, хакеру удалось подсоединиться к локальной сети, воспользовавшись ка­ким-то заброшенным (чужим) компьютером, или нелегально подсоединиться к сетевому кабелю, проходящему где-то в подвале, применив специальное устрой­ство (подробнее о таких приспособлениях вы можете прочитать, например, в [1]). Впрочем, все это, как правило, излишне - при царящем в нынешних локальных сетях хаосе достаточно получить доступ к обычному сетевому компьютеру - и далее все зависит от вас. Итак, хакер получил доступ к локальной сети и теперь хочет получить доступ к информационным ресурсам сетевых хостов. Как же он
может это сделать?
Далее работа утилит хакинга иллюстрируется на примере нашей экспериментальной сети TCP/IP, которую мы использовали на про­тяжении всей книги. Эта сеть позволит продемонстрировать на­бор технических приемов хакинга сетей TCP/IP без нарушения чьих-либо прав на конфиденциальность информации. Автор категориче­ски настаивает на неприменении описанных далее средств к реаль­ным сетям и предупреждает о возможной ответственности.
В Главе 1 мы описали все этапы хакерского нападения и указывали, что хакер вначале попытается узнать все что только можно об организации атакуемой сети и применяемых в ней сетевых технологиях. В этой главе мы опустим этап пред­варительного сбора данных - он достаточно подробно описан, например, в Вместо этого мы поподробнее рассмотрим все последующие этапы сетевой ата­ки, которые, собственно, и делают хакинг таким «интересным» занятием. Как указывалось в Главе 1, первое, что должен сделать хакер для проникновения в сеть - это выполнить ее сканирование и инвентаризацию.
Сканирование cemu
Сканирование преследует цель определение IP-адресов хостов атакуемой сети, и для выполнения сканирования можно воспользоваться утилитой ping из набора средств, представленных в пакете W2RK (Windows 2000 Resource Pack). Эта утилита посылает сетевым хостам с IP-адресами в заданном диапазоне паке­ты протокола ICMP (Internet Control Message Protocol - Протокол управляющих сообщений в сети Интернет). Если в ответ на посланный пакет приходит ответ -значит по соответствующему адресу находится сетевой хост. На 1 пред­ставлен результат сканирования утилитой ping хоста

Хакинг компьютеров Windows 2000/ХР
Из результата видно, что компьютер по указанному адресу подключен к сети и соединение работает нормально. Это самый простой способ сканирования сети, однако, он не всегда приводит к нужным результатам, поскольку многие узлы блокируют ответную отправку пакетов ICMP с помощью специальных средств защиты. Если обмен данными по протоколу ICMP заблокирован, хакерами мо­гут быть использованы другие утилиты, например,
Эта утилита способна фрагментировать (т.е. делить на фрагменты) пакеты ICMP, что позволяет обходить простые устройства блокирования доступа, которые не умеют делать обратную сборку пакетов.
Другой способ обхода блокирования доступа - сканирование с помощью утилит, позволяющих определить открытые порты компьютера, что в ряде случаев спо­собно обмануть простые системы защиты [3]. Примером такой утилиты является SuperScan (http://www.foundstone.com), которая предоставляет пользователям удобный графический интерфейс (см. 2).
На 2 приведен результат сканирования сети в диапазоне IP-адресов 1.0.0.1-1.0.0.7. Обратите внимание на древовидный список в нижней части окна, отображающий список всех открытых портов компьютера Sword-2000, среди которых - любимый хакерами TCP-порт 139 сеансов NetBIOS. Запомнив это, перейдем к более детальному исследованию сети - к ее инвентаризации.
Ии&еитзризация сети
Инвентаризация сети заключается в определении общих сетевых ресурсов, учет­ных записей пользователей и групп, а также в выявлении приложений, исполняе­мых на сетевых хостах. При этом хакеры очень часто используют следующий не­достаток компьютеров Windows - возможность создания нулевого
сеанса NetBIOS с портом 139.
Иулевой сеанс
Нулевой сеанс используется для передачи некоторых сведений о компьютерах Windows NT/2000, необходимых для функционирования сети. Создание нулевого сеанса не требует выполнения процедуры аутентификации соединения. Для созда­ния нулевого сеанса связи выполните из командной строки Windows следующую команду.
net "" /user:
Здесь 1.0.0.1 - это IP-адрес атакуемого компьютера Sword-2000, IPC$ - это
аббревиатура Inter-Process Communication - Межпроцессное взаимодействие (название общего ресурса сети), первая пара кавычек означает использование пустого пароля, а вторая пара в записи указывает на пустое имя удален-
ного клиента. Подключившийся по нулевому сеансу анонимный пользователь по умолчанию получает возможность запускать диспетчер пользователей, при­меняемый для просмотра пользователей и групп, исполнять программу про­смотра журнала событий. Ему также доступны и другие программы удаленного администрирования системой, опирающиеся на протокол SMB (Server Message Block - Блок сообщений сервера). Более того, подсоединившийся по нулевому сеансу пользователь имеет права на просмотр и модификацию отдельных разде­лов системного реестра.
В ответ на ввод вышеприведенной команды, не защищенный должным образом компьютер отобразит сообщение об успешном подключении; в противном случае отобразится сообщение об отказе в доступе. В нашем случае появится сообщение об успешном выполнении соединения компьютера (система Windows XP)
с компьютером Sword-2000 (система Windows 2000). Однако нулевой сеанс Sword-2000 с А1ех-3 уже не получается - очевидно, разработчики Windows ХР учли печальный опыт «использования» нулевого сеанса в системах Windows 2000, которые, по умолчанию, позволяли нулевые сеансы.
Нулевые сеансы связи используются всеми утилитами инвентаризации сетевых ресурсов компьютеров Windows NT/2000/XP. Самый простой метод инвентари­зации состоит в использовании утилит net view и nbtstat из пакета W2RK. Утили­та net view позволяет отобразить список доменов сети.
C:\>net view /domain Домен
SWORD
Команда выполнена успешно.
В результате отобразилось название рабочей группы SWORD. Если указать най­денное имя домена, утилита отобразит подсоединенные к нему компьютеры.
C:\>net view /domairv.SWORD Имя сервера Заметки
WALEX-3 \\SWORD-2000
Команда выполнена успешно.
А теперь определим зарегистрировавшегося на данный момент пользователя сер­верного компьютера Sword-2000 и запущенные на компьютере службы. С этой целью применим утилиту nbtstat; результат ее представлен на 3.
На 3 отображена таблица, в которой первый столбец указывает имя
NetBIOS, вслед за именем отображен код службы NetBIOS. В частности, код
<00> после имени компьютера означает службу рабочей станции, а код <00> после имени домена - имя домена. Код <03> означает службу рассылки сообще­ний, передаваемых вошедшему в систему пользователю, имя которого стоит перед кодом <03> - в данном случае, Administrator. На компьютере также за­пущена служба браузера MSBROWSE, на что указывает код <1 Е> после имени рабочей группы SWORD.
Итак, у нас уже имеется имя пользователя, зарегистрированного в данный мо­мент на компьютере - Administrator. Какие же общие сетевые ресурсы компью­тера Sword-2000 он использует? Снова обратимся к процедуре net view, указав ей имя удаленного компьютера. Результаты представлены на 4.
Как видим, учетная запись пользователя Administrator открывает общий сетевой доступ к некоторым папкам файловой системе компьютера Sword-2000 и диско­воду CD-ROM. Таким образом, мы уже знаем о компьютере достаточно много - он разрешает нулевые сеансы NetBIOS, на нем работает пользователь Administrator, открыты порты 7, 9, 13, 17, 139, 443, 1025, 1027 компьютера, и в число общесе­тевых ресурсов входят отдельные папки локального диска Теперь осталось только узнать пароль доступа пользователя Administrator - и в нашем распоря­жении будет вся информация на жестком диске С: компьютера. Чуть ниже мы
покажем, как для этого используется утилита pwdump3.exe удаленного извлече­ния паролей из системного реестра Windows и программа LC4 их дешифрования.
А что можно сделать, если протокол NetBIOS через TCP/IP будет отключен (компьютеры Windows 2000/XP предоставляют такую возможность)? Сущест­вуют и другие средства инвентаризации, например, протокол SNMP (Simple Network Management Protocol - Простой протокол сетевого управления), обеспе­чивающий мониторинг сетей Windows NT/2000/XP. Атаки, основанные на уяз-вимостях SNMP, описаны, например, в
А сейчас, после того, как мы собрали сведения об атакуемой системе, перейдем к ее взлому.
Реализация цеди
Исполнение атаки на системы Windows состоит из следующих этапов.
• Проникновение в систему, заключающееся в получении доступа.
• Расширение прав доступа, состоящее во взломе паролей учетных записей с большими правами, например, администратора системы.
• Выполнение цели атаки - извлечение данных, разрушение информации и т.д.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика