На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Сканирование таблиц имен NetBIOS с помощью программы nbtscan

 


Популярность

9

Простота

10

Опасность

2

Степень риска

7


Программа nbtstat имеет два недостатка: она не может работать на нескольких узлах одновременно и выводит данные в довольно сложном формате. Этих недостатков лишена бесплатная программа nbtscan, написанная Аллой Безручко (Alia Bezroutchko). Программа nbtscan молниеносно собирает данные таблиц NetBIOS по всей сети и выводит их в удоб­ном формате (2).
Лйстингг4:2 ..Отчет програ»
fijbtscJajai
C:\>nbtscan 192.168.234.0/24
Doing NET name scan for addresses from 192.168.234.0/24
IP address
NetBIOS Наше Server
User
MAC address
192.168.234.31 192.168.234.34 192.168.234.43 192.163.234.44 192.168.234.46
PRNTSRV
LAPTOP
LUXOR
CAESARS
<server> PRINT 00-50-da-30-le-0f
<ser«er> <unknown> 00-bO-dQ-56-bf-d4
<sswer> <ml(iiown> O0-01-O3-24-O5'7e
<server> <unknown> 00-02-b3-16-db-2e
<sewer> <unknowr.> 00-d0-b7-l£-eS-bO
Обратите внимание, что только сервер PRNTSRV указывает на пользователя, прошедшего аутентификацию. Это единственный компьютер под управлением Windows 2000 по данным отчета, что подчеркивает важность высказанного выше замечания о том, что в таблицах имен NetBIOS систем Windows Server 2003 теперь по умолчанию не выдается информации об име­нах учетных записей. В любом случае, программа nbtscan представляет хорошую возмож­ность быстро выявить узлы сети, работающие под управлением системы Windows. Попробуй­те применить эту программу для вашей любимой сети класса С и вы поймете, о чем мы гово­рим. Из-за капризов службы NBNS выполнение данной программы через Internet может привести к ошибочным результатам.
Инвентаризация контроллеров домена


Популярность

""9

Простота

10

Опасность

2

Степень риска

7

Для дальнейшего углубления в сетевую структуру Windows Server 2003 воспользуемся утилитой nltest из пакета Windows Server2003 Support Tools (устанавливается из каталога \support\
каким образом программа nltest выявляет контроллеры домена (хранилища идентификацион­ных данных сети Windows Server2003) в домене систем под управлением Windows Server 2003 (3).
О Меры противодействия инвентаризации сетей NetBIOS
Во всех описанные выше методах инвентаризации используются UDP-порт 137 службы имен NetBIOS (обратите внимание, что утилита nltest также пытается получить доступ к близким службам каталогов наподобие LDAP). Желательно закрыть доступ к этим портам с помощью маршрутизатора, брандмауэра или другого сетевого шлюза. На уровне узла необхо­димо соответствующим образом сконфигурировать фильтры IPSec (см. главу 16, "Возможности и средства защиты в системах Windows") или установить программный брандмауэр.
Если доступ к системе NBNS должен быть открыт, то .единственный способ сохранения конфиденциальности пользовательских данных из таблицы имен NetBIOS— отключить службу предупреждений (Alerter) и службу сообщений (Messenger) на отдельных узлах. Запуск этих служб настраивается в разделе Службы (Services) панели управления. Как мы уже ука­зывали, эти службы по умолчанию отключены в системах Windows Server 2003,
Инвентаризация RPC-служб
Не меньшей популярностью, чем инвентаризация с помощью службы имен NetBIOS, пользуется инвентаризация с помощью службы Microsoft RPC Endpoint Mapper (MSRPC), использующей TCP-порт 135. Сразу хотим сказать, что информация, получаемая с помощью MSRPC, не сильно отличается от информации, предоставляемой протоколом SMB (см. раз­дел "Инвентаризация с помощью SMB" далее в этой главе), но MSRPC практически всегда запускается в локальных сетях систем семейства Windows NT, а нередко к ней можно полу­чить доступ и через Internet (это делается, например, для поддержки службы Exchange).
•fits
Инвентаризация с помощью RPC-служб


Популярность

7

Простота

8

Опасность

1

Степень риска

5

Запрос к RPC-службам преобразования портов является проверенным методом зло­умышленников для сбора информации на UNIX-компьютерах. В системах Windows служба преобразования Портов (рогтаррег) называется распределителем конечной точки (RPC — Endpoint Mapper) и также позволяет получить сведения о RPC-службах. Программа edump предоставляет данные об IP-адресах хостов и номерах портов, открытых для получения за­просов RPC-служб (хотя и в очень неудобной форме). Это средство существует так давно, что мы даже не уверены в его происхождении, но оно все равно остается эффективным (мы спе­циально сократили отчет листинга 4.4, чтобы выделить основные элементы).
С -\>epdump нагтегаалю
binding is  1ncacn_ip_tcp:servername1 int 12345678-1334-abcd-ef00-0123456789ab vl-0
binding 0000@ncacn_ip_tcp:192.168.234.43[1025]
annot 'IPSec Policy agent endpoint' int 3473dd4d-2e88-4006-9cba-22570909ddl0 v5.1
binding 0000@ncalrpc:[LRPC0000061c.00000001]
annot 'WinHttp Auto-Proxy Service' int Iff70682-0a51-30e8-076d-740be8cee98b vl.O
binding 0000@ncacn_ip_tcp:192.168.23 4.43[102 6]
annot ''
Основное внимание следует обратить на строки int, обозначающие интерфейсы RPC-сдужб, а также на следующие за ними записи binding и annot. В строке binding указыва­ются IP-адрес и номер порта хоста, на которые ожидаются запросы этой RPC-службы (от слова bind — привязка), например 192.168.234.4311025], а строка armot (annotation — комментарий) зачастую содержит стандартное имя службы конечной точки (порта), напри­мер 'IPSec Policy agent endpoint".
К числу более современных средств, предназначенных для получения сведений о конеч­ных точках служб MSRPC, можно отнести программу rpedump. Существует несколько вер­сий программы rpedump. ехе, которые не следует путать с программой rpedump (средство для создания запросов к службе portmapper на TCP-порту ill UNIX-хостов), написанной в 1999 году Дэвидом Литчфилдом (David Litchfield). Две другие версии используются для соз­дания запросов к службе MSRPC: одна из пакета Resource Kit, а вторая создана Тоддом Саби­ном (Todd Sabin) и входит в его набор программ RPC Tools. Программа rpedump Тодда Сабина опрашивает все интерфейсы каждого зарегистрированного RPC-сервера с помощью функции API RpcMgmtlnqlf Ids, что позволяет предоставить дополнительные сведения, а не просто вы­вести список зарегистрированных интерфейсов сервера. Программа Сабина как и epdump вы­водит последовательный перечень портов. Программа rpedump из набора Resource Kit при вы­воде данных распределяет их по типу интерфейса, что позволяет отличать локальные RPC-службы от RPC-служб, доступных по сети (5).
Листинг 4.5. Инвентаризация RPC-служб с помощью грсс
С:\>rpcdump /s servername
Querying Endpoint Mapper Database...
31 registered endpoints found.
ncacn_np(Connection-oriented named pipes]
\\SERVERNAME[\PIPE\protected_storage] [1234567 8] IPSec Policy agent endpoint ;NOT_PINGED
ncalrpc(Local Rpc) [dsrolej [12345678] :NOT_PINGED
IPSec Policy agent endpoint
ncacn_ip_tcp(Connection-oriented TCP/IP)
192.168.234.44[1025] [123 4577 8]
192.168.234.44[1026] [0a74eflc;
192.168.234.44[1026] [3 78e52b0;
192.168.234.44(1026] [Iff70682;
192.168.23 4.44 11025] [1234567 8] endpoint :NOT__PINGED

NOT_PINGED NOT_PINGED NOT_PINGED NOT_PINGED IPSec Policy agent ■
rpedump completed successfully after 1 seconds


Не трудно догадаться, что предоставленная информация будет очень полезна злоумышлен-

нику. Он сможет строить дальнейшие атаки в зависимости от доступных RPC-служб. Как пра­вило, самой полезной информацией подобного отчета является внутренний IP-адрес многока­нальных систем, а также виртуальный IP-адрес, одного и того же сервера, которые предоставь ляются как привязки к портам для RPC-служб. Эти сведения помогут хакеру понять, с какой системой он имеет дело и какие RPC-службы запущены.
ф Меры противодействия инвентаризации RPC-служб

 


Бюллетень

Нет

 

BID

Нет

Исправлено в SP

Нет

 

Фиксируется

Нет

■ ■

 

Несмотря на усилия Microsoft по уменьшению числа устанавливаемых по умолчанию служб в системе Windows Server 2003 (см. главу 16, "Возможности и средства защиты в системах Windows"), служба RPC Endpoint Mapper по-прежнему доступна по умолчанию и представляет угрозу несанк­ционированного разглашения потенциально опасной информации. Таким образом, наилучшим средством защиты является блокирование TCP/UDP-порта 135. Это может вызвать затруднения для организаций, которые используют Web-приложения на основе MSRPC, например Exchange. В этом случае необходимо оставлять открытым ТСР-порт 135 для клиентов службы MAPI (Messaging Application Programming Interface — интерфейс прикладного программирования для электронной почты). В качестве решения можно предложить использовать службу OWA (Outlook Web Access) вместо MAPI или использовать RPC поверх HTTP (TCP-порт 593). Кроме того, можно рассмотреть варианты установки брандмауэра или создания виртуальной частной сети (VPN) для предварительной проверки доступа к RPC-службам.
Для обеспечения возможности более точного управления, доступ к каким именованным ка­налам может быть предоставлен анонимным пользователям, можно в Security Policy (Политика безопасности) для параметра "Network access: Named pipes that can be accessed anonymously" ("Доступ по сети: доступные анонимно именованные каналы") удалить запись EPMAPPER.
Не забывайте, что служба Endpoint Mapper только перенаправляет клиентов на соответст­вующий порт RPC-службы приложения, и не забудьте также заблокировать эти порты. В разде­ле "Дополнительная литература и ссылки" в конце этой главы содержатся ссылки, благодаря ко­торым можно получить дополнительные сведения об ограничении динамического предоставле­ния доступа к портам RPC-служб.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика