Hack-FAQ #4

SideX (hack-faq@real.xakep.ru)

Хакер, номер #088, стр. 088-060-2

Q: Что за атака на NT с подменой файла скринсейвера?

A: Данная тема успешно эксплуатировалась в контексте NT 4.0 и до неизвестного времени была успешно применима на неизвестных билдах NT 5.0. Нужно было установить вторую NT на разбираемом компе, в настройках поменять загрузочную директорию на оригинальную. Чтобы потом нашелся и был удален файл заставки входа во взламываемую систему logon.scr. На его место записывался cmd.exe, будучи переименованным во все тот же logon.scr. В большинстве систем logon.scr запускается после 15 минут неактивности при входе в систему. Старая и неразумная система запускала консоль cmd.exe, впускала тебя в свое чрево для беспредельного контроля. Любители GUI’я могли с успехом подменить заставку файлом explorer.exe. При работе с cmd.exe обыкновенно набивалась строчка net user administrator 123456, которая меняла пароль администратора на прозаический 123456.

Q: Как можно отследить соединения по Remode Desktop?

A: Если тебя интересует решение посредством специального софта, то подойдет любой монитор порта вроде включенного в львиную долю файрволов. Надо лишь смотреть коннекты на 3389; простейшей софтиной для данного несложного процесса окажется Port Reporter (support.microsoft.com/kb/837243) от родной MS. Также коннекты можно отслеживать по security-логам системы, где успешные логоны будут помечены как 528 и 540. Тебя будут интересовать логоны типа 10, то есть RemoteInteractive. Для облегчения своей участи окажется полезной работа с LogParser (неофициальный сайт www.logparser.com), который отфильтрует логи под твои очень персональные нужды. Возможно, это не касается твоего вопроса, но когда нужны логи в виде кадров работы с RD, может прийти на помощь продукт вроде TurboDemo (www.turbodemo.com). К сожалению, долговременное и детальное снятие вещдоков часто приводим к сбоям в работе софтины.

Q: Почему меня постоянно сканят при логоне в ИРЦ-сетку?

A: Почему вахтер всегда смотрит в лицо посетителю? Потому что надо бы знать, кто же к нам стучится в теремок, не несет ли он чего нехорошего? В твоем случае речь идет, вероятно, о портах 1080 и 80, которые обыкновенно проверяются автоматически администрацией сети. Проверяются по той простой причине, что 1080 обыкновенно используется SOCKS’ами, а 80 — HTTP-проксами. Оба случая порой эксплуатируются негодяями при атаках на обозначенные сети, прохождении сквозь K-line‘ы запрещенными юзерами и проведения массированных рекламных кампаний. Впредь будет логичным изучать MOTD (message of the day) используемых IRC-сервантов; там всегда пишут о проводимом сканировании.

Q: Что делать, если моя сетка забанена IRC-сетью?

A: Вариант первый определенно связан с предыдущим пунктом – тебе придется пользоваться другой сетью для доступа. Скажем, запуская ИРЦ-клиент с удаленного сервера вроде ircii/bitchx или установив там комфортабельный BNC. Второй вариант прозрачнее, но занимает больше времени – нужно связаться с администрацией сети и объяснить, что ты не баран. Большинство сетей приводит их abuse-контакт во время выброса тебя из сети, просят отправить все данные k-line сообщения и описать суть твоей проблемы. Практика показывает, что до 80% подобных писем остаются без ответа. Эффективность заметно повышает отправка замечания-просьбы администратором сети (лучше – самим провайдером). По своему опыту скажу, что заметно полезнее оказывается личное общение с администрацией сети онлайн. Так, на DALnet’e подобные вопросы решались в канале #services. Если твоя сеть была использована при проведении атаки, или один из юзеров успел успешно попить крови администрации, то добиться полного снятия бана будет сложно. Логичнее окажется просить о вписке исключения по твоему адресу, если он является статическим. Вполне понятно, что для проведения судьбоносного разговора надо будет воспользоваться незасвеченным хостом.