Cisco под прицелом

Master-lame-master

Xakep, номер #067, стр. 067-038-4

Новая забава

Но и на этом хакер не остановился. Имея доступ к маршрутизатору, он в течение месяца глумился над юзерами из сегмента. То он вздумает 80 порт закрыть, то запретит юзать ICQ. В общем, взломщик окончательно вошел в роль администратора ;). Но в конце концов все это ему наскучило, и он отстал от роутера, целиком и полностью окунувшись в поиск новой жертвы...

Hydra - брутфорсер нового поколения

Hydra очень понравилась хакеру. Этот брутфорс действительно умеет все и еще чуть-чуть :). Прежде чем запускать его, обязательно ознакомься с необходимыми опциями. Для самых ленивых привожу краткий список того, что умеет hydra:

1. Осуществлять брутфорс по многочисленным протоколам: telnet, ftp, pop3, imap, smb, smbnt, http, https, http-proxy, cisco, cisco-enable, ldap, mysql, nntp, vnc, rexec, socks5, icq, pcnfs.

2. Подключать самописные модули для других протоколов.

3. Продолжать прерванный ранее перебор.

4. Проверять на пустые пароли и пароли, равные логину, поддерживать листы серверов и потоки.

Кроме того, никто не запрещает тебе повесить гидру в бэкграунд и подождать пару недель :). Так делает подавляющее большинство хакеров при отсутствии других методов взлома.

Что помогло хакеру при взломе?

1. Никто из хакеров не любит изобретать велосипед. Им проще поделиться друг с другом советом. В нашем случае взломщик получил урл на великолепный брутфорс от THC.

2. Хакер знал команды управления роутерами Cisco. Это помогло ему быстро пофиксить правила файрвола и обойти блокировку провайдера.

3. Хакер умел предугадывать поступки админа. Он рассчитывал на то, что администратор поленится придумать сложные пароли и установит один и тот же пароль на все виды сервисов. Как видишь, взломщик не ошибся.

В чем же был прокол?

Привожу наиболее правильный ответ на вопрос в X/04 (Институтские забавы).

От: Duke Shadow >duke_shadow@yahoo.com<.

Совершенно очевидно, что строка system("/usr/bin/stdin -u daemon -r -w") вместе с логами, оставленными хакером, потрет и log-файлы всех демонов, причем при перезапуске любого демона логи гарантированно уйдут в трэш. Это 100% вызовет подозрения админа. Строка system("/bin/sh") будет запускать оболочку для

каждого демона, что админ очень легко заметит. Также допущена классическая ошибка - смена пароля. Если не хочешь, чтобы тебя засекли, - не стоит менять пароли. Даже у записи демона.

Этот читатель наиболее верно ответил на вопрос. Действительно, администратор очень любил просматривать логи на своей машине. Внезапно он озадачился тем, что syslogd перестал писать журналы сервисов. После этого админ смекнул, что его поимели, и поглядел в /etc/shadow. Там, как ты догадался, вместо звездочки красовался полноценный пароль.