Взломанная сессия

Докучаев Дмитрий aka Forb

Xakep, номер #065, стр. 065-056-2

Заражение системы

Самое главное, что хакер не нашел активных антивирусов ни на одной машине. Зато на терминальном сервере был установлен новенький AVP. Поэтому он решил поставить кейлогер на первую машинку, чтобы отловить пароль админа на терминалку. Так как и там и там произведена аутентификация к одному домену, наш герой был уверен, что пароль отснифается успешно. Хакер вышел в коридор. Было чисто, значит, администратор ушел с кафедры. Вернувшись, взломщик быстро включил машину и минуты две ждал, пока загрузится винда. Затем достал заветный флопик со знаменитым ХукДампом (http://perecod.chat.ru/hookdump.rar). Этот старенький, но проверенный кейлогер умел скидывать в файл все нажатые комбинации (а также движение курсора и координаты мышки ;)). Конфиг также прилагался. Его хакер настроил в спокойных домашних условиях, оформив лог-файл в виде c:\windows\system\kernel.log ;). Наскоро установив ХукДамп, наш герой поспешно вырубил машину и с ламерским видом сел за старую, дописывать курсач.

Он не запалил себя. Админ вернулся через 15 минут с сетевушкой в руках. Видимо, он бегал на склад ;). Взломщик отрапортовал, что курсач почти готов, но он торопится и вернется в класс через пару дней. Системщика, похоже, это не обрадовало. Однако хакер с чувством выполненного долга быстро покинул университет.

Результат налицо

Взломщик сдержал слово и через пару дней снова появился на кафедре. По той же причине - доделать незаконченный курсовик. Увидев нашего героя, системный администратор молча открыл дверь класса и небрежно сказал: "Садитесь за любую машину". "Нашим лучше",- подумал про себя хакер и нагло уселся за целерончик админа. Дождавшись, когда последний смоется с глаз, он стал поспешно изучать лог от хука. В нем он нашел запись трепа в чатах, линки на порносайты и много другой интересной информации :), но самое главное, засветился журнал от программы "Клиент служб терминалов", в котором явно был виден админский пароль на самбу. Записав его и удалив логгер из автозагрузки, взломщик решил проверить правильность пассворда и поспешно залогинился на терминал.

Это был обычный Win2000 без всяких наворотов. Даже сервис-пак стоял первый. Но для хакера эта система не представляла особого интереса после того, как он порылся в личной директории админа. Никакой информации там не было, лежал только клиент putty для соединения с файловым сервером. Значит, вся хорошая инфа хранится именно там. Взломщик запустил putty и попробовал сконнектиться с сервером под рутом. Пароль не прокатил, значит, либо SSH не допускает юзера с 0 уидом, либо пассворды различаются.