Потрогай нежно

Александр Любимов aka Sashiks

Хакер, номер #084, стр. 084-068-3

* Возможность запустить программу в chroot и сделать setuid для любого юзера (-u)

* Считывание из файла образа, снятого с помощью утилиты tcpdump, считается очень продвинутой возможностью (-s)

* Проставление временных меток, однострочный режим логирования, сохранение результатов в базе MYSQL и так далее

Особенности. После инсталляции в систему бинарник можно запустить без параметров, либо с опцией -i, которой следует передать имя сетевого интерфейса, на котором, собственно, и должно происходить прослушивание.

Выводы. Я думаю, что дальнейшие комментарии относительно p0f излишни :). Программа обладает огромным потенциалом и функциональностью и отлично показала себя в моих тестах.

Настало время перейти к описанию программ, созданных для сбора баннеров сетевых демонов - banner grabber'ов.

[сетевые грабители]

Для начала проясню некоторые общезатасканные вопросы, чтобы больше к ним никто не возвращался. Что же такое баннер сервиса? Это приветственное сообщение, выдаваемое сервером при подключении. Представим, что у меня на локальной машине запущен pureftpd. Когда я присоединюсь к нему стандартным ftp-клиентом, покажется примерно такая вот картина:

220---------- Welcome to Pure-FTPd ----------

220-You are user number 1 of 50 allowed.

220-Local time is now 20:33. Server port: 21.

220 You will be disconnected after 15 minutes of inactivity.

Вот это и есть «баннер» ftp-сервиса. Вообще, banner может выглядеть по-другому, а может и вовсе отсутствовать. Чаще всего в нем указана версия сервиса (например, для SSH это будет запись такого вида: SSH-1.99-OpenSSH_3.6.1p2), либо другой текст, указанный администратором (Narkomany Go Home, к примеру) при настройке демона. Впрочем, чаще всего приветственное сообщение не трогают, и поэтому становится возможным определить версию демона и даже подобрать к ней работающий public-эксплойт. Кстати, демон при опросе может косвенно выдать и инфу об установленной на машине операционке, что, собственно, взломщикам только на руку. Именно поэтому banner grabbing (сбор баннеров - англ.) для взломщика очень важен, даже намного больше, чем определение версии удаленной операционки. Для этих целей бывалыми хакерами было написано огромное множество утилит и спецпрограмм, занимающихся этим нехитрым делом :).

1. Amap (www.thc.org/download.php?t=r&f=amap-5.2.tar.gz)

Описание. Это очень удобная и профессионально сделанная тулза от немецких хакеров THC. Умеет очень многое, кроме обычного снятия баннеров с машины.

Использование. Запускается amap так:

$ amap [modes] [ options] host ports

Порты должны быть указаны через пробел. А о режимах и опциях мы сейчас поговорим. Вот самые вкусные опции и параметры:

-A - включает режим, в котором определяется сервис, работающий на данном порту (баннеры не снимаются)

-B - просто снять баннеры и вывести их на экран

-P - amap становится обычным портсканером, определяющим состояние службы (баннеры и сервисы не определяются)

-i - считывать данные о машине из отчета, составленного nmap'ом (для этого, соответственно, машину нужно предварительно просканировать nmap'ом)