Сквозь огненные стены

Докучаев Дмитрий aka Forb

Xakep, номер #066, стр. 066-064-4

Перловые проказы

Я уже говорил, что очень часто файрвол останавливает хакера и заставляет оставить сервер в покое. Все потому, что взломщик не может запустить полноценный бэкдор и окончательно допинать машину локально. Однако при этом совсем не обязательно пользоваться портами - разумнее использовать прелести Web'а и довериться различным скриптам. Одним из таких скриптов является CGI-telnet. Перловый сценарий представляет собой полноценную интерактивную оболочку, с помощью которой можно выполнять практически любые команды, а также скачивать и заливать файлы. Ну не сказка? Ставится CGI-telnet очень легко - достаточно залить скрипт на машину, установить на него режим 755 и радоваться жизни. Только перед этим необходимо поменять дефолтовый пароль (eatme) в сорцах сценария.

Кроме этого, ты можешь запросто замутить соединение с интересующим тебя портом, написав нехитрый сценарий на одном из скриптовых языков. Например, ты имеешь аккаунт на mysql-сервере, но 3306 порт наглухо зафильтрован (какая досада ;)). На скорую руку пишется perl-скрипт, который юзает модуль DBI и выцарапывает нужную информацию. Либо php-скрипт, выполняющий обращение к базе без дополнительных модулей. Либо консольный сценарий с использованием /usr/bin/mysql (для особых извращенцев). После всего скидываешь данные в лог и со спокойной душой его изучаешь. Этот прием универсален и срабатывает при любых настройках брандмауэра.

Ты сделал это!

Надеюсь, что хотя бы один из вышеперечисленных приемов помог тебе обойти файрвол. Все эти способы проверены лично мной и действительно заслуживают внимания, так что смело юзай любой из них. Только не переусердствуй - мутить форвардинг с замененным MAC'ом на доверенной машине - это, по-моему, уже слишком :).

Как не запалить себя?

Если ты обошел файрвол и попал на защищенный сервер, у тебя возникнет страстное желание поправить правила файрвола, чтобы твой IP пускали всегда и везде :). Но, выполнив данную команду, ты рискуешь тем, что админ быстро заметит твое пребывание (администраторы очень часто любят пересматривать правила своих файрволов). Чтобы не запалить себя, руководствуйся нижеследующими полезными советами:

1. Лучше удалить, чем добавить. Если файрвол содержит больше сотни сложных рулесов, и после удаления одного (максимум двух) ты сможешь получить постоянный доступ к серверу - удали их. Есть вероятность, что этот поступок сойдет тебе с рук :).

2. Удаляй грамотно. Чтобы деактивировать правило, создай в нем опечатку. Пропусти жизненно важную букву, поставь лишнее тире. Главное, чтобы смотрелось правдиво и не бросалось в глаза.

3. Не брезгуй кодом. Когда в файрволе с десяток рулесов, а доступ поиметь охота, ничего не остается, как модифицировать исходный код брандмауэра. Найди место, где распечатываются правила, и скрой вывод своих. В этом случае до ближайшего апдейта файрвола твое пребывание останется в секрете.