Пробой в локалке

Master-lame-master

Xakep, номер #060, стр. 060-058-2

Новая жертва

Сканить локалку было бы нецелесообразным. Поэтому наш пионер набрал команду nmblookup SECURE, вывод которой выдал все включенные компьютеры в подсети. Среди них был сам сервер и три рабочих станции, заджойненные в домен. Единственным способом проникновения на виндовые машины являлся терминальный сервер. Как показывала практика, среди рабочих станций часто находились терминалы с открытым наружу портом. Для его детектирования взломщик должен был просканить все машины на открытый 3389 порт (именно он отвечает за сервис). Т.к. компьютеров было всего три, то он забил на сканеры и решил проверить порты ручками – обычным telnet’ом. Сказано - сделано. Среди трех машин всего одна была терминалом. На ней хакер и остановил свой выбор.

Ваши права?

Чтобы добавить нового администратора в список доменных аккаунтов, необходимо сделать несколько вещей. В первую очередь надо завести системного пользователя. Затем забить его в файл с паролями для самбы командой «smbpasswd –a имя». И, наконец, добавить алиас на администратора.

Хакер не хотел добавлять нового пользователя. Это заметно и может вызвать нежелательную реакцию у администратора. Поэтому было решено воспользоваться уже готовыми аккаунтами. Но как быть уверенным, что аккаунт можно юзать безопасно? По умолчанию, самба не устанавливает пароля на пользователя, поэтому строка беспарольного аккаунта выглядит следующим образом:

oleg:923:NO PASSWORDXXXXXXXXXXXXXXXXXXXXX:NO PASSWORDXXXXXXXXXXXXXXXXXXXXX:[NUX]:LCT-3F6F2A04:

Именно такую запись хакер обнаружил в файле /etc/smb/smbpasswd. Этот аккаунт он решил сделать привилегированным. Взломщик открыл /etc/smb/smbusers и смодифицировал первую строку:

root = administrator admin администратор oleg

Теперь oleg стал администратором домена. Виндовые машины должны впускать его в систему с админскими правами.

Добро пожаловать в домен!

Следующая проблема - отыскать необходимый клиент для терминального сервера. Хакер решил воспользоваться дефолтным, который поставляется с любым дистрибутивом Win2000 Server (code.ruhost.ru/ts.zip). Настройка программы проста до безобразия: требуется указать IP-адрес, название соединения и разрешение экрана. Наш ломалкин выбрал режим 640x480, чтобы гонять много трафика.

Осталось только реализовать туннель через маршрутник к терминал-серверу. Задача решалась в два действия:

1. Вначале необходимо установить Squid-proxy сервер на маршрутизаторе и запустить его на нестандартном порту. Хакер настраивает allow на свой IP и включает поддержку CONNECT.

2. На своей машине взломщик запускает HTTPort (www.htthost.com/httport3snf.exe). Далее устанавливается туннель между локалкой и машиной хакера, после чего жмется кнопка Start. Для удобства, наш сетевой подонок указывает значения порта равными 3389 (как удаленного, так и локального).

Теперь в свойствах терминального подключения взломщик заносит адрес 127.0.0.1 (учитывая то, что туннель работает исправно - коннект будет установлен). После клика по иконке соединения появляется окно входа в Windows 2000. Для логина бравый стахановец заюзал учетную запись oleg без пароля. Система без проблем впустила пользователя в систему.