Пробой в локалке

Master-lame-master

Xakep, номер #060, стр. 060-058-3

Через некоторое время хакер начал понимать, что название домена выбрано неслучайно. Машина принадлежала серьезной компании. На ней крутился MSSQL-сервер и 1C-бухгалтерия. Взломщик желал увидеть все процессы на компьютере, чтобы знать, что он может получить от этого сервера. Команда taskmgr открыла диалоговое окно с процессами и задачами (в NT подобная команда активируется при нажатии на Ctrl+Alt+Del). Среди процессов хакер обнаружил персональный фаервол. Зачем он был запущен – непонятно, т.к. в нем отсутствовали какие-либо фильтры портов.

Интерес представляли только две базы, находившиеся в директории MSSQL. Одна из них содержала огромный список e-mail адресов организаций (видимо, для какой-то рассылки). Хакер мог продать подобный файл заинтересованным лицам за неплохие деньги. Второй документ был заполнен какими-то адресами и телефонами компаний (его он также взял – на всякий случай).

Чистка следов

Помимо баз, хакер прочитал деловую переписку компании и решил, что эта машина может принести ему большую пользу. На маршрутнике Linux уже стоял Adore (установка этого руткита описана в «Ломке крупного провайдера» в 9 номере ][). Взломщику необходимо было только затенить содержимое файла smbusers, а именно причастность юзера oleg к администраторским привилегиям. Для этого был создан конфиг «/etc/smb/smbusers » (с пробелом в конце) и туда записан формат старого файла. Истинный smbusers хакер скрывает командой «ava h /etc/smb/smbusers». Теперь, если админ посмотрит содержимое конфига в менеджере mc, ему не бросится в глаза посторонний алиас, а следовательно, он не заметит пребывания хакера в системе.

А что же с логами? На Linux были вычищены такие журналы, как: /var/log/secure, /var/log/messages, /var/log/samba/smbd.log и другие. В Windows взломщик убил основные записи журнала о logon’е Олега, а также прошелся по журналам фаервола (правда, там он ничего не обнаружил). В общем, хакер переоценил интеллектуальные возможности администратора и поэтому долгое время оставался в системе незамеченным.

В руке хакера

К чему привел взлом сервера крупной компании? Во-первых, взломщик нажился на базе e-mail адресов, продав ее знакомому спамеру. Во-вторых, он постоянно читал входящие письма, а следовательно, был в курсе действий работников фирмы. Теоретически хакер мог найти заинтересованных людей и сдать компанию с потрохами, но он задвинул на это дело.

История этого взлома (впрочем, как и всех предыдущих) вполне реальна. Поэтому хочу дать единственный совет администраторам: храните свои пароли в надежном месте и ни в коем случае не светите их в plain-тексте, особенно в своих самопальных скриптах.

Что помогло хакеру при взломе?

1. Хакер извлек пользу из взлома. К примеру, он продал добытые базы компании, а взломанный linux-сервер приспособил в качестве промежуточного хак-плацдарма.