На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Предварительный сбор данных

Предварительный сбор данных — процесс создания полной картины информационных техно­логий (ИТ) избранной цели атаки, и эта картина обычно включает в себя следующие элементы.
▼ Internet. Сетевые имена доменов (DNS), диапазоны сетевых адресов организации, расположение таких особо важных систем, как серверы имен, почтовые серверы, шлюзы и т.п.
■ Intranet. По существу, те же компоненты, что и в группе Internet, но для внутренних сетей могут потребоваться отдельные локальные адреса/пространство имен.
■ Удаленный доступ. Номера а налоговых/ цифровых телефонов и точки доступа к вирту­альной частной сети.
■ Экстрасеть. Партнерские и подконтрольные организации, соединения от третьих сто­рон и т.п.
* Общедоступные источники информации. Это всеохватывающая категория, в которую входят любые источники информации, не вошедшие в другие категории, включая конференции Usenet, службы мгновенного обмена сообщениями, базы данных SEC (Security Exchange Commission— Комиссия по ценным бумагам), личные сведения о сотрудниках фирмы и т.п.
С точки зрения профессионального тсстировщика на возможность взлома, предваритель­ный сбор данных — это рекогносцировка места предстоящей работы. Необходимо методично и всеобъемлюще проверить каждый объект из приведенного выше списка, чтобы ничего не пропустить в картине информационных технологий организации для последующих сканиро­вания и тестирования возможности взлома. Бесспорно, с точки зрения хакера все выглядит примерно так же: он ищет забытые части инфраструктуры организации, которые, возможно, не контролируются вовсе, плохо администрируются или неверно сконфигурированы.
Как уже отмечалось, описание проверки многих из перечисленных компонентов выходит за рамки этой книги, которая посвящена непосредственно теме Windows Server 2003. Например, предварительный сбор данных о наличии удаленного доступа к цели атаки обычно заключается В анализе телефонных записей и автоматическом прозвоне телефонных номеров, а эти процес­сы не являются специфичными только для систем Windows Server 2003. Нельзя говорить, что проведение такого анализа не имеет значения ДЛЯ построения общей картины информацион­ных технологий организации, но для него обычно требуются методы, которые не относятся к одной области знаний и не обязательно используются именно в целях атаки систем под управ­лением Windows Server 2003. Эти темы подробнее описаны в главе 1 книги Секреты хакеров. Безопасность сетей — готовые решения, четвертое издание, и мы не станем воспроизводить опи­сание ЭТИХ методов в полном объеме. Вместо этого кратко опишем предварительный сбор дан­ных о доступе в Internet, поскольку часто именно соединения с Internet вызывают наиболее опасную утечку информации об организации, подключенной к сети.
Предварительный сбор данных с использованием программ whois и Sam Spade


Популярность

6

 

Простота

9

 

Опасность

1

 

Степень риска

5

 

Существует множество средств для сбора информации о присутствии организации в сети Internet, но наиболее полным и эффективным из нихявляется программа whois, стандартная ути­лита для запроса регистрационных данных в Internet. С помощью этой программы можно получить самую разную информацию о присутствии организации в Internet, включая такие данные:
▼ регистрационные данные;
■ информация об организации;
■ серверы системы доменных имен DNS;
■ предоставленные организации диапазоны сетевых адресов; * контактная информация.
Прекрасным средством выполнения запросов whois является программа Sam Spade, кото­рая поставляется в версии для Win32, ее версия с Web-интерфейсом доступна по адресу http: //samspade. org. С помощью запроса whois из программы Sam Spade можно полу­чить такую полезную информацию, как серверы DNS, диапазоны IP-адресов и иногда номер домашнего телефона президента компании, как показано на 1.
Кроме того, существует множество Web-сайтов по предоставлению информационных ус­луг программы whois (мы уже упоминали адрес http; //samspade.org). Хорошим источ­ником информации о присвоении диапазонов IP-адресов является база данных ARIN (American Registry for Internet Numbers). Конечно же, для получения информации о неамери­канских блоках глобальной сети стоит обращаться и к информации из других баз данных, на­пример APNIC (Asia-Pacific Network Information Center) и RIPE (Reseaux IP Europeans). Ре­зультат выполнения запроса о компании Foundstone к базе данных ARIN показан на 2.
Программа Sam Spade предназначена для отправки запросов whois нескольких типов и по­зволяет проводить поиск во многих базахданных Internet (ARIN, APNIC, RIPE И т.п.). Кроме запросов whois, она выполняет и другие задачи, среди которых запросы ping, traceroute, dig, перенос зоны DNS, тестирование обмена данными по протоколу SMTP, сбор информации на Web-страницах (crawling) и многое другое. Это действительно полезная программа.
Меры противодействия предварительному сбору данных с помощью команды whois


Бюллетень

Нет

 

BID

Нет

 

Исправлено в SP

Нет

 

Фиксируется

Нет

 

Так как сейчас Internet характеризуется свободой и открытостью информации, данные, которые хранятся в регистрационных базах данных, являются общедоступными. Хотя роль компаний-регистраторов в Internet может измениться за следующие несколько лет, на дан­ный момент нельзя кому-либо помешать получить список диапазонов IP-адресов, предостав­ленных вашей компании, из базы данных ARIN.
Но это не значит, что организации не могут принять некоторые меры по ограничению ин­формации, доступной с помощью таких запросов. Золотое правило состоит в том, что данные, предоставляемые для служб регистрации, не должны содержать прямой Информации для кон­такта с некоторыми сотрудниками компании или другую неуместную информацию. В нашей консультационной практике был случай, когда компания средних масштабов в качестве кон­тактной информации в одной из крупных регистрационных баз данных Internet опубликовала имя директора компании, его прямой телефонный номер и адрес электронной почты. Конечно же, эту информацию элементарно можно было получить с помощью запроса whois.
Пользуясь полученными данными, легко представиться директором компании и быстро по­лучить удаленный доступ к нескольким уязвимым внутренним ресурсам клиента, а через не­сколько дней получить доступ ко всей сетевой инфраструктуре. Так что стоит проверить, какую информацию возвращают запросы whois о вашей организации.
Предварительный сбор данных о системах Щ Windows Server 2003 с использованием средств
поиска в Internet


Популярность

6

Простота

9

Опасность

1

Степень риска

5

-
Пользуясь стандартными средствами поиска в Internet среди узлов или доменов, очень легко можно определить системы под управлением Windows. Поисковая служба Google — од­но из наших любимых средств поиска в Internet, с ее помощью можно найти во всей сети Internet (или на конкретном узле/домене) полные имена файлов, характерные для систем се­мейства Windows NT. На 3 показан пример поиска в Google по домену . com общего для систем семейства Windows NT пути корневого каталога Web-сервера С \lnetpub. Отметим, что при этом поиске было выявлено около 15900 подходящих результатов за 0,84 секунды.
Пользуясь возможностью расширенного поиска в Google, можно легко сузить поиск до конкретного узла или домена, например, www.victim.com или victim.com. Некоторые другие интересные строки поиска собраны в табл. 3.1.
Главный источник этой проблемы в том, что полное имя системного файла хранится в HTML-коде Wcb-странииы. Поскольку поисковые системы, такие как Google, просто индексируют со­держимое узлов в Internet, их очень удобно использовать для создания списка узлов, на страницах которых попадаются строки, подобные строке с: \winnt. Например, имя файла и путь к странице могут находиться в ее заголовке (между тегами <title> и </title>). Редактор Microsoft Front Page при создании HTML-кода иногда автоматически вставляет полный путь к документу. Осте­регайтесь этого, поскольку в результате разглашается излишняя информация о системе.


Таблица 3.1. Примеры строк для поиска системi ceMeficT|a-Wfindows NT
с помощью поисковых серверов              s11Я|||1.

Строка поиска     Потенциальный результат

 

 

с: \ inetpub       Серверы, на страницах которых есть ссылки на корневой каталог lnternel-служб в Win­dows NT/2000
TSWeb/ Выявляет доступность служЗы Windows Server 2003 Terminal
default.htm       Services через элементы управления ActiveX в браузере
© Меры противодействия использованию хакерами

 

 

 

 

 

Бюллетень

Нет

 

 

-

BID

Нет

 

 

Исправлено в SP

Нет

 

 

 

Фиксируется

Нет

 

 

 

 

Чтобы ваш Web-узел не был обнаружен в результате такого простого поиска, просто убе­рите из HTML-кола все потенциально опасные строки. Если вам не хочется самостоятельно искать недостатки в собственным HTML-коде, то для этого всегда можно воспользоваться той же поисковой системой!
В оставшейся части главы и, по существу, во всей этой книге будем считать, что наиболее важ­ная часть работы по предварительному сбору данных уже проведена. При этом не следует умень­шать значение роли сбора данных для всего пронесся атаки. Совершенно ясно, что если основопо­лагающие действия выбранной стратегии не были проведены основательно и вдумчиво, то страдает весь процесс — особенно это касается стратегии построения систем безопасности, где один слабо защищенный сервер или уязвимое модемное соединение может свести на нет все усилия систем­но го адм и н истратора!

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика