"Горшочек меда" как способ обмана кульных хацкеров

Xakep, номер #036, стр. 036-048-3

# State Input NexStat Exit lf/file output/filename

# comment lines start with the pound sign (#)

# we are faking sendmail version 8.1.2/8.1.3

0 START 0 1 1 220 all.net ESMTP Sendmail 8.1.2/8.1.3;

0 ERROR 0 1 1 500 Command unrecognized - please say "Helo"

0 help 0 1 1 214-No help available

# if they say helo, we acknowledge and go to state 2

0 helo 1 1 1 250 all.net, pleased to meet you

0 quit 0 0 1 221 all.net closing connection

# if you don't get anything - just ignore it and wait

0 nil 0 1 0

# we got a Helo request

# it contained something with /etc/passwd in it - let's simulate a big hole

1 ! 4 1 2 /etc/passwd @fake.passwd

# this regular expression matched something in the input line - let's simulate a big hole

1 /cat\spasswd/ 4 1 2 @fake.passwd

1 mail 2 1 1 250 proceed

1 rcpt 1 1 1 500 Must say "HELO" first

1 help 1 1 1 214-No help available

1 quit 1 0 1 221 all.net closing connection

1 nil 1 1 0

1 ERROR 1 0 1 500 Server Configuration Error - all.net closing connection

# even a rcpt - this guy's good!!!

2 rcpt 3 1 1 250 proceed end with a '.'

2 help 2 1 1 214-No help available.

2 quit 2 0 1 221 all.net closing connection

2 nil 2 1 0

2 ERROR 2 0 1 500 Server Configuration Error - all.net closing connection

# getting mail - what do I do?!?!?

3 nil 1 1 1 500 Mailbox full - please start again

3 ERROR 3 0 0 500 Server Configuration Error - all.net closing connection

# I sent them a password file - better notify the authorities

4 NOTICE notify.pl Email fc@all.net Just sent a password file to an attacker - sendmail exploit

4 NIL 0 1 1 214-Unknown configuration error

4 ERROR 0 0 0 500 Server Configuration Error - all.net closing connection

Как и любая другая нормальная система защита, DTK ведет свой собственный лог, в котором сохраняются все попытки проникновения. Например, вот как выглядит попытка утянуть файл паролей через Telnet-соединение:

127.0.0.1 23 23 1998/04/02 05:34:23 8041 8041:1 listen.pl S0

- - - +3 - - 8041:1 - S1 root

- - - +1 - - 8041:1 - S2 toor

- - - +2 - - 8041:1 - S3 ls

- - - +2 - - 8041:1 - S3 df

- - - +4 - - 8041:1 - S3 cat /etc/passwd

- - - +0 - - 8041:1 - S4 NOTICE //dtk/notify.pl 23 4 Email fc@all.net Just sent a password file to an attacker - telnet login

Необходимо заметить, что DTK - это абсолютно бесплатный продукт, который можно скачать по адресу: http://all.net/dtk/dtk.tar. Развивая пакет DTK, автор разработал улучшенную, но не бесплатную версию - DTK-Pro, которая, реализуя все возможности DTK, дополняет его новыми механизмами:

* Централизованное управление несколькими DTK, установленными на разных узлах сети.

* Графический интерфейс администратора DTK-Pro.

* Проверка согласованности задаваемых обманных правил.

На базе Perl построены и другие, более простые обманные системы. Например, WinDog Deception Toolkit, которая в стандартной поставке позволяет эмулировать тот же Sendmail и Telnet. Данный пакет, в отличие от DTK, изначально разрабатывался для Windows и тестировался на совместимость с ActivePerl. Пример подмены сервиса Telnet (исключая коммуникационную часть) Unix SVR4 показан ниже: