Этюд в цифровых тонах
Xakep, номер #049, стр. 049-050-3
TX packets:511249 errors:0 dropped:0 overruns:0
Interrupt:13
[vasya@mail /sbin]$
Всего одна сетевая карточка, то есть это не шлюз, а web/mail-сервер. Вот тут-то он и задумался о том, где стоит этот сервер - у провайдера или в самой конторе? Других адресов конторы у него нет, а значит, ниточка обрывается. Путь один - расшифровать passwd, зайти под рутом и очень внимательно изучить мыльную систему. То есть посмотреть, с каких адресов забирается почта. Под обычным юзверем /var/spool/mail и прочие мыльные директории хакер просмотреть не мог, permission denied. Поставил он Джоника (John the Ripper) на расшифровку на самом сервере (да, здесь хакер проявил верх наглости, ну а что делать?) и лег спать.
День второй (точнее ночь)
Пока хакер спал, расшифровалось 39 паролей из 51, среди которых был и рутовский. Нормально. Полез он опять в консоль. Набрал su, пароль рута и получил #. Потом cd /var/spool/mail, заархивировал все файлы, скопировал в /home/httpd/, скачал, вытер. В этих письмах было много информации непосредственно по деятельности конторы, что и пошло первым отчетом заказчику. Но цель была – найти, откуда забирают почту. В /etc/hosts.allow и /etc/hosts.deny было все по дефолту. А вот "cat /etc/mail/ip_allow" выдал все адреса, с которых разрешено было сливать мыло. Это были 6 адресов подряд из той же подсети. Хакер опять запустил nmap. Из 6-ти IP активными были только 4. Одна машина оказалась циской, 2 фрибзди и одна win2000. На циске открыты только 23 и 80 порты, дефолтные пароли не прошли, сплоит на телнет не сработал. Крокодил не ловится, не растет кокос =). Ну, да пинг с ней. На выни2к открыты 135, 139, 445 и 515 порты. Вот это уже лучше. Когда же админы начнут закрывать на инет нетбиос? Наверное, никогда. Это неизлечимо. Запустил хакер nbtdump.exe (ftp://ip.portal.ru/pub/security/nbtdump.exe) и он выдал следующее:
NetBIOS
Share Information
Share Name :IPC$
Share Type :Default Pipe Share
Comment :
WARNING - Null session can be established to \\123.123.123.124\IPC$
Share Name :D$
Share Type :Default Disk Share
Comment :
Share Name :print$
Share Type :Disk
Comment :
Share Name :A$
Share Type :Default Disk Share
Comment :
Share Name :ADMIN$
Share Type :Default Disk Share
Comment :
Share Name :C$
Share Type :Default Disk Share
Comment :
Account Information
Account Name :The 445 days ago. This account has been used 2 times to logon.
This account is the renamed original default Administrator account.
Comment
User Comment :
Full name :
Account Name :The 0 days ago. This account has been used 0 times to logon.
Comment
User Comment :
Full name :
То есть на машине прописаны 2 аккаунта, один из них переименованный Administrator. И, судя по дампу, логины написаны не латинскими буквами. Вообще сдурели, хотя... Это может быть всего лишь русская версия Windows 2000! Запускает хакер Essential NetTools (http://www.tamos.ru/ent3.zip), там выбирает NetBIOS Auditing Tools, вводит логин на перебор "Администратор" и простейший файл паролей. Не успел он сделать пары шагов от компа, как ENT запищал. Оказалось, что пароль был... "12345"! Админский пароль сервера с выходом в Internet и доступом к локалке!