Паленый сервис

Master-lame-master

Хакер, номер #083, стр. 083-052-2

Запустив nmap с опцией -P0, я получил список открытых портов: 22, 25, 80, 1723, 5000 и 6709. Воспользовавшись телнетом, я узнал, что за цифрой 6709 скрывается обычный проксик типа Squid. Оставалось определить, что за сервис находится под 5000 портом. Все стало ясно после того, как я зашел на сайт конторы: эти ребята предоставляли не только proxy, но и vpn-сервис. Так что под этим портом скрывался OpenVPN - это я выяснил по характерным иероглифам, которые выдавались после соединения.

Однако все эти исследования не сдвинули дело с мертвой точки. Необходимо было хоть каким-то образом проникнуть на машину. Сканирование скриптов на traversal, sql-injection и прочие баги не привели к большому успеху, поэтому я стал просто тупо ходить по ссылкам и... нашел кое-что интересное. Нет, я не обнаружил невидимый phpmyadmin или web-шелл, как ты мог предположить. Я наткнулся на страницу, где в картинках описывалась настройка VPN-соединения. И один из скриншотов меня очень насторожил. На нем отображался последний шаг настройки VPN, вот только логин был не очень стандартный. Вместо каких-то тривиальных имен типа demo, test и т.п. использовался логин michael. В качестве пароля отображались пять звездочек. Может быть, это было случайно придуманное имя, однако дальнейший шаг доказал, что это было неспроста. Я решил попробовать отправить тестовое письмо пользователю michael через их SMTP-сервер. Думаю, понятно, на что я рассчитывал - если системного имени не существует, мне вернется ответ демона о некорректном имени пользователя. Но такого ответа не вернулось, следовательно, логин Майкла существует и, по-видимому, активно используется.

[активная атака]

Дальнейшая логика моих действий была следующей: мне ничего не оставалось, как запустить процесс перебора пароля на сервис PPTP VPN с быстрого шелла. Для эффективного брутфорса я отфильтровал все пятизначные пароли из большого словаря. Действительно, если имя совпало, то, скорее всего, совпадет и длина пароля. По крайней мере, я на это искренне надеялся.

И я не прогадал (я вообще редко когда пользуюсь брутфорсерами, если не уверен в победе). PPTP-Bruter, про особенности которого я уже писал в моих статьях, справился с задачей «на ура». Спустя полчаса брутер ответил, что успешно подобрал пароль к учетной записи. Сразу после этого было принято решение попробовать полученную комбинацию l/p для входа по SSH. И опять успех - michael имел доступ к машине по ssh. Для пущей маскировки я залогинился с ключиком -T, чтобы не подвязывать к себе псевдотерминал и не палиться в журналах /var/log/wtmp и /var/run/utmp. В консоли на тот момент никого не было, поэтому можно было без палева изучать удаленный сервак. Первым делом я посмотрел процессы - стандартный набор: pptpd, openvpn, squid, sendmail, exim и еще несколько сервисов. На первый взгляд - ничего необычного - простая Linux-станция. Насторожило лишь одно: то, что админы повесили Web-сайт на рабочий proxy- и vpn-сервер. Обычно под это дело выделяется отдельная тачка, хотя бы ради безопасности. К несчастью, мне не хватило прав не только на просмотр учетных записей proxy и vpn, но и на чтение каталога /usr/service, содержащий всю интересную информацию. Поэтому мне нужно было приложить все усилия и повысить свои права до нулевого уровня.