Вторжение в госпиталь

Master-lame-master

Хакер, номер #074, стр. 074-046-3

Проверить наличие домена можно командой df –h. Ее вывод показывал, что в домене существовал нехилый кластерок, общим объемом в один терабайт. Ты представляешь, сколько данных лежит на этом сервере? Я тоже нет :). Я уже сталкивался с доменом в SunOS, поэтому знаю об одной интересной команде под названием ypcat. Она позволяет получить информацию с главного контроллера домена. Сейчас меня интересовал список сетевых пользователей, который можно легко получить с помощью запроса ypcat passwd. Эту команду вправе выполнить любой юзер, даже с мизерными привилегиями. Самое интересное, что помимо логина покажется и пароль пользователя, зашифрованный методом DES.

Через пару секунд я получил списочек, состоящий из 258 различных аккаунтов. Думаю, понятно, что вывод команды занял несколько окон терминала. Транспортировать аккаунты через Сеть не представлялось возможным - это неудобно и небезопасно, поэтому я включил опцию «Logging printable output» в моем любимом ssh-клиенте (я имею в виду PuTTY). Затем пару раз выполнил запрос ps –ef, чтобы переполнить буфер и слить лог в текстовый файл. Далее, как ты уже понял, я скопировал информацию о клиентах в папку с John The Ripper’ом. Уже после расшифровки single-методом я получил рабочий пароль сетевого юзера. С этого момента меня ждали удивительные открытия.

Серверные путешествия

Теперь, когда у меня был доступ к доменному аккаунту, теоретически я мог подконнектиться к любой машине, входящей в домен. Однако определить это дело можно только подключением по SSH. Я успешно зашел по открытому 22 порту на взломанный сервер, а затем глянул в /etc/hosts. Там мне довелось увидеть еще один адрес, имеющий символическое имя mbone. Кстати говоря, на эту машину извне так просто не пускало. Но, использовав сетку сервера archive, я без труда подключился к mbone. Как и следовало ожидать, сетевого пользователя впустило на машину. Сервер находился под управлением SunOS 5.8. Коренное отличие от предыдущей машины прослеживалось в сетевых свойствах. В компьютере находились целых три сетевых интерфейса, и я поспешил этим воспользоваться :).

Чуть позже я выяснил, что mbone выступает в качестве Primary Domain Controller. Соответственно, все домашние каталоги должны находиться именно на этой машине. Мне не потребовалось особого труда, чтобы их найти, – директории находились в /home. Но просмотреть их содержимое мне не удавалось – не хватало прав :(. Из двух сотен папок лишь 20 удавалось прочитать. В них я не нашел полезной информации – в основном один мусор и какие-то непонятные конфиги.

После такого облома я вспомнил, что существуют и локальные домашние папки, которые очень часто может прочитать рядовой пользователь. Их местонахождение - /export/home/users. Действительно, в этом каталоге я нашел три локальные папки. В одной из них обнаружился очень занятный 84-килобайтный файлик hosts.txt. Его содержание повергло меня в шок – в нем находились все айпишники центральной больнички. По скромным прикидкам адресов было чуть больше пятисот. Но далеко не каждая машина отвечала на echo-запрос. Короче говоря, благодаря этому списку я нашел еще пять солярок, на которые можно было войти. На этих машинах находились несколько интересных документов по внутренним медицинским проектам, которые я до сих пор пытаюсь продать (пока что безуспешно ;)). Что касается безопасности, то тут не к чему было прикопаться – ни один .history файл не читался, а в конфигах не было паролей в чистом виде. Поднять права с помощью эксплойта мне тоже никак не удавалось.