Мозговой штурм Финляндии

Master-lame-master

Хакер, номер #070, стр. 070-056-3

Полосатые носки атакуют

В качестве проксика я решил поставить пятые соксы, чтобы юзать не только прелести WWW, но и другие сервисы. Для этого я скачал архив (ftp.cdut.edu.cn/pub/linux/network/server/socks5/socks5-v1.0r5.tar.gz). Быстро скомпилив socks5 в домашний каталог, я оформил конфиг ~/socks/etc/socks5.passwd, в который вписал тестовый логин и пароль для соединения. Теперь мне предстояла работа по составлению рабочего конфига носков. На самом деле достаточно написать всего две строки, и соксы будут авторизовать юзера по заполненному паролю. Строки в ~/socks/etc/socks5.conf выглядит следующим образом:

auth - - u

permit u - - - - -

Это означает, что сокс будет авторизовать юзера по паролю, а также разрешать коннекты на любые хосты и порты. То, что доктор прописал :). Осталось лишь переименовать файл ~/socks/bin/socks5 во что-нибудь невзрачное и запустить его.

После того как я заюзал носки, скрипт успешно зарегил аккаунт в системе и дал мне возможность стащить важные документы. Когда главная цель была выполнена, стало можно приступать к взлому финской локалки.

Воруем ключи

Сперва я запустил mc и стал бродить по папкам в поисках ценной информации. Я мониторил истории команд, логи httpd-запросов, но ничего путного не обнаружил. Мне очень хотелось забраться на другие тачки в сегменте. Я набрал команду locate known_hosts, чтобы узнать, какие юзеры любят путешествовать по SSH-протоколу :). В итоге выяснилось, что 4 пользователя юзают SSH. Однако ни одного ключика не было найдено :(. Внезапно мое внимание привлек интересный каталог /mnt/backup. В этой директории располагался бэкап системы. Но не того сервера, которым я овладел, а какого-то иного. Разумеется, locate не ищет файлы в папке /mnt, поэтому я не знал, находятся ли файлы с именем known_hosts в каталоге с бэкапами. Оказалось, что находятся. Прошвырнувшись по домашним каталогам, я обнаружил, что у юзера arasila помимо списка хостов имеются и авторизационные ключи. Мне хотелось проверить валидность этих ключиков для соседних серверов. По всей видимости, на этих тачках должны находиться аналогичные приватные ключи.

Прежде чем действовать, я аккуратно забэкапил рабочий каталог .ssh у юзера arasila, и лишь затем перенес туда файлы с другой машины. Теперь можно выполнять su - arasila и соединяться с хостами по ключу. Однако меня поджидал крутой облом: кей был защищен паролем, который не позволял соединиться с узлом.

Но все оказалось не так уж и плохо. Я вспомнил, что существуют тулзы, которые умеют перебирать пароль SSH-ключа. Одна из них выпущена командой THC и находится тут: www.thc.org/root/tools/thc_ssh_crack.c. В этой софтине юзаются функции SSL, которые пытаются вытащить приватный ключ из файла. Если им это не удается, значит, пароль неверный и перебирается другое слово. Недолго думая, я слил эту тулзу, скомпилил с параметром -lssl и запустил перебор по словарю. К сожалению, брутфорс не принес никаких успехов. Но что-то заставило меня прочитать исходник tch_ssh_crack.c и увидеть там рекомендацию по взаимодействию брутфорсера и известного John'а The Ripper'а. Дело в том, что Джоник является неплохим генератором паролей, которые можно использовать в качестве эталонных. Эта идея мне очень понравилась, и я решил воплотить ее в жизнь. Для этого мне пришлось перенести ключ на другой сервер, где уже стоял Джон, и осуществить симбиоз двух брутфорсеров. Строка запуска выглядела следующим образом: