Обсерваторные злодеяния

Master-lame-master

Xakep, номер #054, стр. 054-060-3

Чистка логов

Логам наш герой уделял особое внимание. Он осознавал, что только через них админ сможет узнать о взломе сервера. Потратив около получаса на анализ /var/webmin/webmin.log, /var/log/messages, /var/log/secure, а также бинарного /var/log/wtmp, хакер стал изучать локалку в системе Sao. Ведь он всегда помнил, что www-сервер компании далеко не конечная цель. Впереди его ждала еще одна нелегкая работенка.

/sbin/ifconfig показал, что в системе существовали две локальные подсетки: 10.0.0.0/24 и 10.0.1.0/24. Но конечным объектом хакера был сервер с ip-адресом 10.0.1.35, поэтому на другие машины он попросту задвинул. Для дальнейшего изучения тачки 10.0.1.35 хакеру понадобился сканер. Он создал временную директорию /usr/man/info, скачал и установил в эту папку nmap (./configure --prefix=/usr/man/info).

Взлом через SSH

После непродолжительного сканирования стало ясно, что за адресом 10.0.1.35 скрывается пингвин. Только вот открытых портов на нем было всего два: ssh и ftp. Взлом через ftp отпадал сразу - отсутствовала поддержка анонимного доступа. Хакеру оставалось лишь надеяться на удачу и изучать главный relay-сервер изнутри, либо использовать промежуточный взлом для проникновения на интересующую его машину. Использовать снифер он не хотел, т.к. знал, что при таком раскладе админы его обнаружат уже на следующее утро, да и заказчик платил только за срочную и качественную работу.

Зайдя в рутовую директорию, хакер увидел там множество архивов с различным софтом, следовательно, админ своевременно апдейтил бинарники в своей системе. Файл /root/.bash_history показал, что системщик не зря получает зарплату, занимаясь исключительно полезным делом. Взломщик уже собирался уходить из владений рута, но шестое чувство заставило его выполнить команду find /root -type f для просмотра всех файлов в рутовой дире без исключения. Несмотря на нелепость этой команды, внимание взломщика привлек файл identity, лежащий в папке /root/.ssh. Тот, кто знает методы авторизации OpenSSH, уже догадался, что рут, как и все админы, был ленив и авторизовывался ключами. Плюс данного метода авторизации в том, что он не требует наличия пароля: обмениваясь ключами, sshd решает, пускать пользователя на сервер или нет. Чем же хакер хуже рута? Тем более ip-адрес 10.0.1.35 находился в known_hosts, значит, есть надежда, что админ и на этот сервер входит при помощи ключиков.

Опять неудача. Ключ все-таки был защищен фразой-паролем. Помянув недобрым словом всех родственников админа, хакер продолжил поиски путей проникновения на машину. Методы авторизации заставили его задуматься: ведь не только рут мог ходить по ssh, используя ключи. Команда locate identity показала, что ключи любил также некий пользователь sergey. Более того, в его known_hosts находился ip-адрес нужной машины.

На этот раз фортуна улыбнулась нашему герою. После команды su sergey и ssh 10.0.1.35, хакер попал на интересующую его тачку. Судя по motd, этот сервер отводился под некую библиотеку астрофизической обсерватории. Теперь он догадался, почему заказчик не хотел отдавать свои документы в чужие руки. Все бы ничего, но нарушителю кибернетического порядка не понравилось, что в системе помимо него находились около десятка пользователей, в том числе и root (с www.sao.ru). Идл-тайм всех пользователей превышал час, поэтому тревога оказалась ложной (хотя хакер терпеть не мог, когда кроме него в системе находятся другие, пусть даже молчаливые личности :)).