Взломанный госэкзамен

Неуловимый мститель

Хакер, номер #091, стр. 091-068-3

А был ли Windows?

Ночью, повторив все вышеописанные шаги, я снова был в системе. Фряха, как я уже говорил, являлась достаточно новой, поэтому об эксплоитах я и думать забыл. Была надежда, что найдется какая-то зацепка, и сдвинусь с мертвой точки. Ан нет. Воспользоваться услугами locate я не мог - permission denied. Попробовав команду find / -name *pass* -ls, я не нашел ничего, кроме /etc/passwd и какой-то фигни в /usr/share. Примечательно, что каталог /home вообще не читался, поэтому find обошел его стороной.

Но это совсем не значит, что ситуация безвыходная. Я прочитал /etc/passwd и нашел там 4 пользовательских аккаунта группы wheel с шеллом /bin/bash. Один из них звался antonic. Именно в его папку я сумел зайти командой cd /home/antonic. Следующая команда ls дала мне возможность ознакомиться с содержимым каталога. Почему я это все описываю? Да потому, что нашел там каталог 1 с файлом pass.txt. Внутри него красовалась живописная строка: «Сменить на 11039423-02». Первое, что я хотел сделать, - попробовать этот пароль на консоль (может, моя радость была преждевременной, и Антоник записал какой-то другой пароль).

Но, как ты помнишь, 22 порт нещадно фильтровался, а у connback-шелла не было псевдотерминала. Если я наберу команду su, то система будет ругаться на отсутствие ttyp и не даст мне сменить пользователя. Здесь можно было выбрать два варианта: либо залить портированный эмулятор tty под Фряху, либо воспользоваться expect-сценарием. Я выбрал третий вариант — просто написал ssh antonic@localhost и интерактивно ввел пароль. И не ошибся. Я был внутри, но уже с группой wheel!

«Ну, пробил я головой стенку, и что я буду делать в соседней камере?», — подумал я. Прочитав хистори Антоника в надежде найти там рутовый пароль, я снова обломался: оказывается этот лопоухий юзер ни разу не переключался на рута :(. Все это ввергло меня в большие печали, но тут я решил просканировать всю подсеть 85.142.20.50/29 на наличие иных серверов.

Резвый nmap (мне повезло, что он входит в поставку FreeBSD) показал еще один включенный компьютер в этой подсети с отпечатком WinXP без сервиспаков. Сначала я подумал, что это шутка или недоразумение, ведь таких машин в сети днем с огнем не сыщешь. Как оказалось позже, это действительно была голая винда, до зубов зафаерволенная изнутри. Единственный доверенный хост, как ты понимаешь, был этот Linux-сервер (а быть может, и вся подсеть).

Попробовав опять-таки портированный под фряху rpc-dcom эксплоит (еле нашел у себя на диске этот раритет), я выбрал первый таргет. Бинарник завис в ожидании и не хотел оживать. Как оказалось, виндовый айпишник перестал пинговаться. Вся моя жизнь пролетела перед глазами, и я уже представлял себя за решеткой. Но спустя пару минут айпишник снова ожил (похоже, что система ушла в экстренный ребут). Тогда я попробовал сплоит к баге lsass, потому как последний вариант этого эксплоита более гуманно относился к операционным системам из-за излишней «отточенности» таргетов. Как ни странно, меня ждал успех с первой попытки, так как 445 порт ничем не фильтровался, а заплаток к lsass на винде отродясь не стояло.