Взломанная сессия

Докучаев Дмитрий aka Forb

Xakep, номер #065, стр. 065-056-3

Счастливая случайность

Я уже говорил, что на терминалке крутился AVP, который опознает любые вирусы и даже клавиатурные шпионы. Поэтому ставить хук на машине нельзя. Посканировав роутер на открытые порты, хакер ничего не добился. Да и ломать в таких условиях было невозможно. И вот наш герой добрался до администрирования сервера. Его интересовал раздел "администрирование терминалов". Он зашел туда и увидел два рутовых сеанса. Первый был его, а второй настоящего админа, который подсоединился из другого класса. Моментально сориентировавшись, взломщик отключил свой сеанс. Затем создал новый, ввел рутовый аккаунт и увидел замечательное приглашение. Оно говорило о двух параллельных сеансах и позволяло присоединиться к любому из них. Естественно, хакер выбрал не свое подключение :), и правильно сделал. Сразу после клика на номер сеанса ему показался экран терминального сервера. Среди запущенных программ он узрел putty. Зная устройство терминала, наш герой предполагал, что при каких-либо действиях в консоли он будет сразу замечен администратором. Но, услышав голос последнего (админ общался с каким-то преподом), решил, что если не провернет махинацию сейчас - не сделает никогда ;). В темпе вальса взломщик создал юзера с 0 уидом, разрешил PermitRootLogin в /etc/ssh/sshd_config и рестартанул демон.

Долгожданная информация

Не зря хакер носил с собой дискету. Заюзав ее, он скопировал putty.exe на носитель. Затем переписал на легальный сеанс и спокойно залогинился под шпионским аккаунтом. Осталось всего ничего: пропарсить smb.conf на наличие шары с инфой и слить ее себе. Smb.conf содержал 5 ресурсов, среди которых была шара с именем "students". По названию хакер понял, что это и есть данные студентов. Проследовав по пути /home/samba/students, наш герой увидел порядка 200 каталогов с различной информацией. Взломщик не стал терять времени и после минутного изучения скомандовал "tar zcf students.tar.gz students &". Бэкграунд-процесс создавался для того, чтобы во время архивирования почистить логи и удалить себя с машины. Это было проделано за рекордное время - около двух минут :).

Когда архив создался, хакер спешно перекинул его на локальную машину посредством ftp-соединения, а затем грохнул абсолютного пользователя spool (именно он имел uid=0). Размер файла был огромен - 550 метров, по понятным причинам на дискете он не умещался :). Web на сервере доступен, но класть туда архив стремно - админ мог в любой момент его заметить, да и выкачивать по инету такой файл взломщику совершенно не хотелось. Поэтому сетевой партизан решил унести данные на болванке. Благо на машине, за которой он сидел, имелся резак.