Обсерваторные злодеяния
Master-lame-master
Xakep, номер #054, стр. 054-060-1
Нашумевшие истории крупных взломов
Тебе, наверное, не раз приходилось задумываться над вопросом: кто такие хакеры? Если верить словарю, то "хакер" дословно переводится как "крушитель".
На самом деле, этим скудным определением слово "хакер" не ограничивается. Всех хакеров можно разделить на несколько типов. Существуют разные классификации, но самая популярная включает лишь три категории:
1. Скрипткидди или начинающие хакеры. Ломают сервера через известные бреши в cgi/php скриптах. Как правило, дело ограничивается красивым дефейсом, наподобие "Hacked by 31337 h4x0r" :).
2. Хакеры-экстремалы. Для них взлом - праздник души. Используя public-эксплоиты, они вламываются в систему и делают с ней все, что захотят. Некоторые взломщики этого типа запросто могут разрушить операционку, которую только что взломали. К этой же категории относится, как ни странно, большинство хакеров, познавших азы взлома и маскировки в системе.
3. Профи. Наименее распространенный тип. К нему относятся настоящие гуру, занимающиеся сложным профессиональным взломом. Они работают на заказ и преследуют определенную цель, после достижения которой забывают о взломанном сервере.
Взлом www.sao.ru
Однажды экс-сотрудник московской астрофизической обсерватории предложил одному продажному хакеру очень заманчивое дельце. Как выяснилось из непродолжительной беседы, человека уволили с работы, а на его машине остались важные документы, которые должны быть уничтожены. Все бы ничего, но, по словам заказчика, эта машина являлась локальным сервером в крупной компании и видела сеть исключительно через NAT. Таким образом, чтобы проникнуть на сервер, хакеру пришлось бы взломать как минимум две машины, что сильно усложняло поставленную задачу. В завершение разговора заказчик сказал, что поверит в то, что работа выполнена, лишь в случае предоставления ему списка всех документов в папке /usr/biblio/docs (попросту говоря, после выполнения команды ls -la /usr/biblio/docs).
Недолго думая, взломщик зашел на web-сайт обсерватории, надеясь поискать баги в cgi/php скриптах, но тут же обломался. Весь сайт был сделан исключительно на html. Это заставило хакера призадуматься: то ли админы борются за безопасность такими радикальными мерами, то ли наоборот, не знают о существовании языков программирования для web. Взломщик понимал, что ломать через веб не имеет смысла. Поэтому пошел стандартным путем: залез на неприметный буржуйский шелл и просканил nmap'ом подсеть C, принадлежавшую обсерватории.
После часа безопасного stealth-сканирования хакер получил текстовый лог с информацией об открытых портах и операционках на серверах Sao. Практически все машины в сегменте были прикрыты фаерволом, только главный www-сервер оказался исключением, поэтому наш герой решил начать взлом именно с этой машины.
Доверяя fingerprint'у сканера, хакер понял, что добить систему локально не составит труда (prtace баг еще никто не отменял). Вооружившись netcat'ом, нарушитель сетевого порядка пошел снимать баннеры с портов:
Н-да, встретить дырявый wu-ftpd, да еще и с поддержкой анонимного доступа, это прямо-таки экзотика. Найдя эксплоит для демона этой версии, взломщик натравил его на сервер. Через полчаса подбора адреса, вместо рутового шелла эксплоит выдал фатальное сообщение об ошибке. Но хакер не отчаивался и продолжал прощупывать жертву с разных сторон.