Паленый сервис

Master-lame-master

Хакер, номер #083, стр. 083-052-4

Дело оставалось за малым - нам нужно было определиться с хорошим снифером, который отлавливал только пароли. Посмотрев список, я остановился на софтине PHoss (www.phenoelit.de/phoss/PHossS.gz). По словам разработчиков, этот снифер умеет отлавливать пароли по протоколам POP3, IMAP, FTP, TELNET, LDAP и VNC. Короче, то, что доктор прописал.

Я закачал этот нюхач на сервер, затем распаковал и был приятно удивлен: снифер состоял всего из одного прекомпиленного файла. Сначала у меня были некоторые сомнения, что это чудо природы вообще запустится. Но после команды ./PHossS --help все стало ясно. Софтина доказала свою профпригодность: в параметрах можно было указывать конкретный интерфейс, осуществлять фильтрацию и включать буферизацию. В общем, минимум возможностей, с которыми можно жить.

Итак, прежде чем запускать снифер, я внимательно ознакомился с процессами. Среди них было несколько потоков httpd и программы для авторизации squid под названием nsca_auth. Я решил замаскировать нюхач под эту прогу, однако мне нужно было каким-то образом скрыть редирект, который бы отображался в процесс-листе. Здесь можно было поступить двумя способами: либо вызвать функцию execl() в специальном приложении, где можно оговорить параметр, поступающий в процесс-лист. Либо поступить более хитро, как сделал я. Сперва я переместил PHossS в /usr/bin и назвал его nsca_auth. Затем с помощью гениального приложения nohup запустил снифер. Появилось оповещение, что весь вывод приложения будет записываться в nohup.out. В общем, строка запуска выглядела так: «nohup nsca_auth &». Проверив процесс-лист, я убедился, что подложный процесс практически никак себя не выдает. А тем временем в файле nohup.out стала накапливаться конфиденциальная информация.

[разбор полетов]

Через пару дней активного снифинга, я выключил анализатор пакетов и слил логи себе на комп. Удалось поймать порядка 10 мегов информации. Теперь нам предстояла сложная задача по отделению мух от котлет, чем мы и стали заниматься. Примечательно, что мой товарищ знал провайдера, к которому подключена жертва. Это и явилось ключевым фильтром. Пробив по WHOIS диапазон адресов московского прова, мы быстро отфильтровали несколько учетных записей на FTP- и POP3-протоколы. Среди них большинство, действительно, принадлежало нашему неприятелю, по крайней мере, так сказал мой корефан. Через некоторое время выяснилось, что жертва промышляла фишингом: нам удалось достать пароли на FTP-серверы с логами от разных богатых персон.