книги хакеры / журнал хакер / 049_Optimized

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

D

069>

o

r

r

BUY

NOW!

BUY

NOW!

to

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

кации (вывод новостей, как ты, наверное, понял,

осуществляется посредством чтения из этого же

файла). Поэтому не стоит забывать об атрибуте

666 на файл news.txt, поставляемом со скрип-

том, иначе запись будет невозможна.

Кроме того, в самом скрипте news.cgi имеет-

ся содержимое таблицы. Его ты тоже смо-

жешь поменять, если тебя не устроит дизайн.

Наш скромный прокси-чекер

СКАНЕР БЕЗОПАСНОСТИ НА ТВОЕМ

САЙТЕ - МЕЧТА ИЛИ РЕАЛЬНОСТЬ?

Следующим счастливым претендентом на до-

бавление в скриптинг-раздел сайта будет ска-

нер-анализатор WWW-сервера - nikto.pl. Он

мне приглянулся большой базой уязвимостей

Полоса новостей

и приятным интерфейсом. Изначально он за-

думывался как консольное приложение, но у

ПОЛОСА ВЗЛОМОВ

Столь полезная фишка на хакерских сайтах :)

него есть поддержка web-формата результата

и сохранения его в html-файл. Поэтому, с по-

È,

наконец,

самый

вкусный

è

козырной

своему вкусу, но помни, что права на файл хране-

мощью небольшого скрипта scan.cgi, мы пере-

скрипт, который я не мог найти даже в инете

ния дефейса должны быть 666, а на директорию

дадим параметр сканеру (сервер, который бу-

в public-источниках - полоса взломов сайтов.

777 (иначе скрипт просто не сможет записать в

дем изучать).

После

недолгого

раздумья

Äëÿ

òåõ, êòî

в танке,

объясняю,

÷òî ýòî

çà

файл или создать новую папку в директории).

скрипт откроет нам result.html, в котором будут

скрипт. Deface line - таблица на сайте, кото-

$header='header.html';

храниться результаты

сканирования. После

рая содержит зеркала взломанных сайтов (как

$footer='footer.html';

этого файл будет удален.

è

ñàì ñàéò),

добавленные

юзером. То есть

$adminheader='adminheader.html';

Для корректной работы сканера создай директо-

пользователь

добавляет

свежий

deface,

$adminfooter=

рию с именем scan, в которой будет храниться

скрипт скачивает index-файл взломанного ре-

'adminfooter.html';

файл с результатами. К тому же права на этой

сурса и сохраняет его на сервере, а затем

директории должны быть 777 для возможности

ждет, пока администратор сайта, то есть ты,

Заголовки и окончания html-файлов общей и

создания файла.

не ознакомишься со взломом и не подтвер-

admin-страницы. Общая страница использует-

Теперь немного

теории. Что

же делает этот

дишь постинг этого дефейса. После этого де-

ся для выдачи результатов операций (удале-

скрипт? Он создает соединение с исследуемым

фейс считается подтвержденным и помещает-

ния/добавления дефейса), а админ-страница

web-сервером, проходит по базе уязвимостей и

ся в таблицу.

для изменения статуса дефейсов. Файлы

ñ

выводит подробный отчет о найденных ссылках

А теперь приведу небольшое руководство по уста-

дефолтовым значением этих переменных по-

(может выдать

сообщение о

существовании

новке. Вывод в html происходит через SSI (сервер

ставляются вместе со скриптом и, в принци-

/......./etc/passwd, например :)). Данная софтина

должен поддерживать includes), либо при обра-

пе, могут оставаться такими же.

довольно полезна и наверняка понравится мно-

щении к скрипту с параметром what=show. То

гим пользователям, облюбовавшим твой ресурс,

åñòü

таблица

будет

выведена

ïðè

ссылке:

$method='POST';

так как скрипт-кидисов развелось невероятное

http://your.site.ru/cgi-bin/deface.cgi?what=show.

количество, а их хлебом не корми - дай что-ни-

Помимо списка дефейсов, таблица содержит две

Метод передачи форм. Рекомендую оставить

будь посканить.

формы: для добавления дефейса юзером и вход

POST, так как он более надежен по сравнению

С размещением

формы

для сканера на html-

администратора.

с GET, хотя, хозяин - барин.

странице, я думаю, у тебя проблем не возникнет.

А теперь займемся редактированием изначальных

Это все переменные, которые ты можешь изме-

Форма должна содержать один параметр со зна-

настроек скрипта. Открываем скрипт deface.cgi и

нить. Далее идет код, который рассчитан практи-

чением исследуемого хоста.

последовательно изучаем переменные:

чески на любую конфигурацию системы и не

НОВОСТНАЯ ПОЛОСА САЙТА

### This variables may be changed without

нуждается в изменении.

От тебя требуется лишь сделать SSI вставку в

any risk

Разумеется, твой сайт будет обновляться. Но как

Index-файле

сайта,

например:

<!--#exec

$language='ru';

оповестить юзеров о новых разделах, програм-

cgi="/cgi-bin/deface.cgi?what=show"-->.

$langfile='deface.lang';

мах или о полезной инфе на твоем ресурсе? Тут

Это язык системных сообщений и файл языка со-

И ЭТО НЕ ПРЕДЕЛ

не обойтись без

cgi, ибо редактировать html-

ответственно. По умолчанию русский. Если захо-

файл каждый раз для добавления новости скучно

чется сделать английскую версию, то поменяй

Итак, ты успешно поместил вышеописанные

и неспортивно. Я предлагаю тебе полосу ново-

значение на 'en'.

скрипты на свой сайт, посещаемость ресурса

стей как вариант решения проблемы. Она пред-

$salt='PLIWUtJFEPrqQ';

увеличилась, и, кажется, все довольны. Но не

ставляет собой отдельную страницу (или, опять

Зашифрованный пароль администратора. По

обольщайся результатом. Скрипты довольно

же, часть index.html) с названием новости. При

умолчанию - 'deface'. Но как ты, наверное, пони-

быстро приедаются, поэтому подключай фан-

обращении к скрипту новостей news.cgi без па-

маешь, пароли по умолчанию до добра не дово-

тазию и развивай свой сайт в правильном на-

раметров подразумевается распечатка всех но-

дят, поэтому советую тебе его сменить. Для это-

правлении. Посещай сайты с коллекцией cgi

востей. Печатается сама новостная таблица, но

го выполни команду на каком-либо shell "perl -e

или php-скриптов, либо пиши свои (в идеале).

предусмотрена

поддержка

header.html

è

'print crypt "пароль","PS" . "\n"'", где "пароль" -

Ибо материала по

кодингу cgi-приложений

footer.html - начальная и конечная html-вставка

новый пароль. Полученный SALT сделай значени-

очень много (][ не исключение), и постарав-

соответственно (отточенные под твой дизайн).

ем переменной $salt.

шись, научиться кодить совсем нетрудно, бы-

Чтобы добавить

свежую новость,

существует

$defacedb='deface.db';

ло бы желание.

форма (по умолчанию файл newsadd.html), со-

$defacedir='deface';

Как обычно

ñàìè

файлы брать здесь:

стоящая из параметра 'news' - текст новости и

$defacefile='index.html';

www.xakep.ru.

'pwd' - пароль администратора. При совпадении

Файл хранения дефейсов, директория для зеркала

пароля (по дефолту - 'news') скрипт записывает

дефейса и файл зеркала. Можешь изменить их по

в специальный файл текст новости и дату публи-

5 Юниксоид 6 X-Стиль

7 Кодинг

8 Юниты

9 Quit>

69

hang

e

C

E

X

-

d

F

t

P

i

D

<Page 070>

r

NOW!

o

to

BUY

w Click

m

Взлом

w

w

o

.

.c

p

g

df

n

e

-xcha

ХАКЕР\¹49\Январь\2003

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

ЗАТКНИ СКВОЗНЯКИ В «ФОРТОЧК Х»
ЗАТКНИ
Toxa ([e-mail])
		»
		«ФОРТОЧКАХ
Â
СКВОЗНЯКИ		ПРОБЛЕМЫ
		БЕЗОПАСНОСТИ
		WIN2000/XP

Самыми надежными в плане безопасности из NT-систем на сегодняшний день являются Win2000 и WinXP. Но и в них присутствует множество уязвимостей, существующих еще со времен NT4. Большинство из них живут до сих потому, что, как известно, в Microsoft все делается через одно место (через Билла Гейтса), и по умолчанию система поставляется весьма и весьма плохо сконфигурированной в плане безопасности. Эта ситуация является прямым итогом политики, которую можно охарактеризовать, как "чтобы все работало даже у самого криворукого админа". Поэтому наша задача - устранить эти даже не баги, а скорее недочеты в конфигурации по умолчанию, сделав систему более защищенной.

Рассматривать мы будем Win2k/XP, т.к. они мало чем отличаются друг от друга в плане безопасности, и в дальнейшем под термином WinNT я буду подразумевать именно эти две системы. Также отмечу тот факт, что случаи, когда NT-машина является контроллером домена или иные экзотические ситуации рассматриваться не будут. Считаем, что в нашем подчинении находится обычная рабочая станция, например, в локалке. И наша задача - защитить ее от посягательств других клиентов из локальной сети.

ПАРОЛИ В NT

Начнем, как водится, со святого - с пользовательских аккаунтов. Любые неприятности на- чинаются именно здесь. Известно, что в WinNT

пароли хранятся в специальном файле SAM (%папка_с_виндой%\system32\config\SAM). Но это не значит, что любой юзер, имеющий учетную запись на нашей машине, сможет его себе скопировать. Во время работы системы доступ к файлу полностью запрещен, даже администратору. Поэтому единственный выход получить доступ к файлу SAM - загрузить на компьютере альтернативную операционку. Локально это не представляет никакого труда. Существует множество "систем на одной дискете", способных читать из раздела NTFS (Trinux, PicoBSD, и т.д.). Но мы говорим о локальной сети, и в этих рамках опасной представляется ситуация, имеющая в народе широкое распространение - наличие на машине связки "Win9x (для игр) + WinNT (для работы)". Очевидно, что получить доступ к SAMфайлу из Win9x можно, только если он лежит на FAT32-разделе. Отсюда вывод - ставить WinNT на FAT-раздел глупо. А в случае наличия

на компьютере Win9x вообще недопустимо, ибо вся безопасность NT летит в тартарары. Банально, но факт - очень многие оставляют свежепоставленную NT на FAT'е именно для того, чтобы можно было из 98-й винды обращаться к документам, лежащим на разделе с WinNT. Справедливости ради отмечу, что многие полезные функции NT (квотирование, шифрование файловой системы, и т.д.) работают только на NTFS, и с этой точки зрения установка NT на FAT-раздел выглядит тем более идиотским решением. А мое личное мнение - нужно вообще отказаться от какого-либо использования Win9x.

Многие спросят - а как же тогда работают многочисленные программы для подбора паролей в NT. Дело в том, что дамп паролей хранится не только в файле. Во время работы системы он отображается в реестре, и все программы типа LophtCrack выдирают его именно оттуда. К счастью, к ветке реестра с

			1		2		3		4
70		Ньюсы		Феррум		Inside		PC_Zone		Взлом

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Ä

ÈÇ

ÄÓ Å Ò

Ô Î È Ç

ÐÒ Î × Å Ê

ÔÎ Ð Ò Î × Å Ê

				hang		e
			C				E
		X
	-							d
F									t
<PageP	071>								i
D									r
							NOW!		o
				to	BUY
w Click										m
w
w									o
	.							.c
		p					g
			df			n		e
				-x cha

паролями доступ имеют только юзеры с правами администратора. Казалось бы, беспокоиться не о чем: не ставь на комп вторую операционку, не работай из-под учетной записи админа, и никто до паролей не доберется. Но это не так. Та же L0phtCrack умеет перехватывать передаваемые по сети хэши паролей (работа в режиме снифера), поэтому в сети с логической топологией "общая шина" удаленный доступ к своей машине (например, к принтеру) представляет определенную опасность. Примечание: строго говоря, в NT сами хэши паролей по сети НЕ передаются, но передаются хэши, полученные на основе хэшей паролей. Короче, перехватить данные, на основе которых можно получить пароль пользователя, представляется возможным.

Как же быть? Допустим, что хэши паролей ка- ким-то образом перехвачены (из файла SAM, из реестра, или отснифаны по сети). В таких случаях обычно рекомендуют выбирать надежные пароли длиной не менее семи символов, дабы получивший хэш-код взломщик не смог их расшифровать подбором "в лоб" (bruteforce) за приемлемое время. Но этого мало.

Дело в том, что в WinNT пароли по умолчанию хранятся зашифрованными сразу по двум алгоритмам. Сделано это в целях все той же пресловутой совместимости. Первый алгоритм - так называемый LM-hash, существующий для совместимости с аутентификацией в сетях LanMan, второй - собственный NT'шный, алгоритм NT-hash. LM-алгоритм работает не просто криво, а очень криво. А именно, он разделяет полученный пароль на две части по семь символов каждая (т.е., например, если пароль состоит из десяти символов, то он преобразует его в два слова, из семи и из трех символов соответственно), переводит все символы в верхний регистр, шифрует каждую часть отдельно, и два полученных хэша объединяет вместе, получая тот самый LM-hash. Надо ли говорить, что подбор зашифрованных таким алгоритмом паролей значительно проще (оче- видно, что легче расшифровать два пароля из семи и трех символов, чем один из десяти)? И все программы подбора паролей умеют пользоваться этой возможностью, взламывая две половины пароля одновременно. На скриншоте представлен процесс взлома паролей утилитой L0phtCrack, и видно, что последний,

восьмой символ пароля пользователя winroot (переименованная учетная запись администратора) определился сразу, т.к. подобрать пароль из одной буквы не составляет труда.

L0phtCrack взламывает восьмисимвольный пароль

Учитывая, что многие пароли представляют собой простые слова или сочетания слов, из-за применения в винде LM-hash'а может сложиться ситуация, когда пароль из семи символов надежнее пароля из десяти. Ведь на основании быстро угаданных последних трех символов можно сделать вывод обо всем пароле в целом. А избавиться от недостатка очень легко. Через панель администрирования, оснастку Local Security Policy, в разделе Local Security Settings -> Security Options найти политику "Network Security: LAN Manager authentification level" и изменить дефолтовое значение (Send LM & NTLM responses) на что-то вроде Send NTLM response only (или использовать NTLMv2, если не нужна совместимость или в сети отсутствуют машины на NT4/Win9x).

Политика хранения паролей

УДАЛЕННЫЙ ДОСТУП

Поговорим еще про одно святое место сетевой операционной системы: про ресурсы с открытым общим доступом по сети, проще говоря, шары. Кульные хацкеры, как известно, слетаются на них, как мухи на г... на мед :). Получе- ние файлов через шары - тема довольно избитая, а вот сбор информации о системе через расшаренные ресурсы обсуждается реже.

По умолчанию WinNT сконфигурирована так, что любой может получить по сети информацию о системе (имена пользователей, групп, общие папки, политику паролей, информацию о сетевых соединениях). Способствуют этому два создаваемых по умолчанию расшаренных ресурса - ADMIN$ и IPC$. Первый служит для обеспечения удаленного управления системой, второй отвечает за межпроцессное взаимодействие по сети для доступа к общим ресурсам (IPC - InterProcess Communication). Убедиться, что они действительно существуют, можно, например, с помощью многофункциональной утилиты net.exe, входящей в стандартную поставку Win2k/XP:

C:\>net use \\127.0.0.0\ ipc$ ""/u:'' (передаем "пустой" аккаунт).

Собственно, сбор информации о системе путем подключения к шаре IPC$ с пустым именем пользователя и пароля получил название нуль-сессии (nullsession) - пресловутый способ удаленной инвентаризации WinNT, работающий как в первых версиях NT, так и в последней XP. Наверное, ты слышал уже этот термин. Но слышал ли ты, как сделать свою машину защищенной от этого бага? Дело в том, что полностью отключить эти две шары невозможно. Точнее говоря, возможно, но это будет слишком радикальным шагом, и если доступ к машине по сети все-таки нужен, то сделать необходимо следующее. В редакторе реестра (regedit32.exe) по адресу HKLM\SYSTEM\CurrentControlSet\Control\Lsa необходимо создать параметр типа REG_DWORD с названием restrictanonymous (он, возможно, уже создан) и присвоить ему значение 1 или 2. Значение 1 запрещает анонимным юзерам просматривать учетные записи и общие ресурсы удаленно (т.е. для защиты от null-session этого достаточно, саму сессию установить по-прежнему можно, но вот полу- чить информацию через нее уже нельзя). Значение 2 вообще отказывает любой неявный доступ к системе. Учитывая, что существуют програм-

5 Юниксоид 6 X-Стиль 7 Кодинг 8 Юниты 9 Quit> 71

hang

e

C

E

X

-

d

F

t

P

i

D

<Page 072>

r

NOW!

o

to

BUY

w Click

m

Взлом

w

w

o

.

.c

p

g

df

n

e

-xcha

ЗАТКНИ СКВОЗНЯКИ В «ФОРТОЧКАХ»

Toxa ([e-mail])

ХАКЕР\¹49\Январь\2003

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

мы (GetAcct, user2sid, и т.п.), с помощью которых можно собрать информацию даже при параметре restrictanonymous, установленном в 1, советую выставить его значение в 2 (если, разумеется, компьютер не является контроллером домена). При этом машина исчезает из "сетевого окружения" (network neiborhood), но получить доступ к ней попрежнему можно, обратившись \\по.ее.ай.пи.

Спасаемся от null-session

А если тебе вообще не нужны удаленные подключения к системе, то просто отключай "службу сервера" (Server) в оснастке Services панели администрирования или руками в реестре создавай параметр REG_DWORD по адресу HKLM\SYSTEM\CurrentControlSet\Services\Lanm anServer\Parameters с названием AutoShareWks и присваивай ему значение 0. Теперь к тебе никто не пролезет.

СОБСТВЕННО ШАРЫ

Я уже упомянул, что расшаренные ресурсы является излюбленным местом сосредоточения сил компьютерных хулиганов. Ведь даже при отключенном анонимном сеансе через IPC$ существует возможность просмотреть и полу- чить доступ к шарам путем простого подбора пароля. На скриншоте показан просмотр расшаренных ресурсов с помощью BSD'шной утилиты smbutil.

Смотрим шары из BSD

Гораздо хуже, когда имеется возможность получить список имен NetBIOS (протокол, служащий для предоставления удаленного доступа к файлам и папкам). В WinNT это делается с помощью стандартной утилиты nbtstat.

Получаем информацию об именах NetBIOS

Что нам это дает? Как видно из скриншота, можно узнать имя компьютера, домен или рабочую группу, в которую он входит, запущенные в данный момент сервисы. В рамках рабочей станции это не представляет особой угрозы, но с серверов и контроллеров домена можно собрать приличное количество информации.

Учитывая все вышесказанное, ты решил, что шары нам не нужны совсем, и NetBIOS - зло? Отлично, отключаем их, запретив его использование. Для этого в свойствах соединения, во вкладке "свойства протокола TCP/IP" -> "дополнительно" выбираем пункт "отключить NetBIOS через TCP/IP". Затем в тех же "свой-

ствах соединения" убираем галочку у пункта "Доступ к файлам и принтерам сети Microsoft". Это самый радикальный способ обезопасить себя от левых подключений, но помни, что после этого никто не сможет подключиться к твоим расшаренным ресурсам (которых просто не будет). Даже ты не сможешь путешествовать по чужим папкам с общим доступом.

Положи конец шарам

Изменения ты можешь увидеть сразу, набрав до и после отключения в командной строке C:\>netstat -a. На скриншоте видно, какие три связанных с NetBIOS сервиса отсутствуют во втором случае. Чем именно каждый из них занимается, ты можешь посмотреть в файле %папка_с_виндой%\system32\drivers\etc\services, где описаны все сервисы системы.

			1		2		3		4
72		Ньюсы		Феррум		Inside		PC_Zone		Взлом

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

D

073>

o

r

r

BUY

NOW!

BUY

NOW!

to

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

ПОСЛЕДНИЕ ШТРИХИ

После того как мы пофиксили очевидные не-

дочеты, наведем финальный лоск. Эти советы

ты наверняка мог прочитать во всех статьях по

WinNT, íî âñå æå...

Во-первых, отключи все ненужные тебе сервисы.

Подчеркиваю - все. Если сомневаешься, выстави

режим запуска не в Disabled, а в Manual. Просто

если данный сервис понадобится, то система

предложит его запустить. Все знают о GUI'вой

Прелюдия к апдейту

оболочке управления сервисами

(Administrative

Tools -> Services), но мало кто слышал про кон-

В-третьих, по возможности никогда не выпол-

сольную, но более продвинутую утилиту sc.exe. В

няй повседневные дела под аккаунтом адми-

WinXP она включена по умолчанию, а для Win2000

нистратора, пусть и переименованным. В NT

С нетбиосом и без

входит в пакет Win2k Resource Kit. С помощью

распределение полномочий пользователей ос-

мощной sc.exe можно проворачивать

гораздо

новано на списках контроля доступа (ACL

-

больше операций. Так, например, узнаешь, что

ПОЛЬЗОВАТЕЛЬСКИЕ АККАУНТЫ

Access Control List), определяющих права до-

на самом деле степеней запуска сервисов семь, а

ступа юзера к папкам/файлам/ключам реест-

не три, как показывает утилита Services.

Во многих источниках проскакивает информа-

ра. Поэтому в случае подсовывания тебе ба-

Во-вторых, как ни банально это звучит, озаботь-

ция, что при работе в NT неплохо бы изменить

нального трояна и запуске его от имени адми-

ся, чтобы на твоей системе стояли все последние

логин администратора (administrator) на что-

нистратора, права зловредной программы бу-

хотфиксы и сервиспаки. Правда, недавняя прак-

нибудь менее броское, да и сам Microsoft ре-

дут также абсолютными. Если понадобится за-

тика установки SP3 на Win2000 показывает, что не

комендует смену имени учетной записи адми-

пустить какую-либо программу под админом,

все так гладко, и не все то полезно, что лежит на

на как одно из первых действий после уста-

используй встроенную службу RunAs (вызыва-

Microsoft TechNet в разделе Downloads,

íî ýòî

новки системы. Теперь-то тебе уже должно

ется по нажатию правой кнопкой мыши по эк-

скорее исключение из правил. К тому же MS в це-

быть понятно, для чего такие предосторожно-

зешнику или из консоли).

лях в том числе и заботы о пользователях пред-

сти. Есть куча программ (в том числе и упомя-

ставил сканер системы на установленные патчи -

В завершение

поставь себе хороший

нутая выше nbtstat), которые могут зафикси-

MS Baseline Security Analyser (и его расширенную

ровать нахождение пользователя в системе, и

персональный фаервол. Без него сейчас

консольную версию nshc.exe). Не пренебрегай

если таким пользователем будет Administrator,

никуда. И помни, что 90% "кибертерро-

этими утилитами, благо проверять свою систему

то это значит, что взломщику нужно будет

ристов" ломают не то, что хотят, а то, что

на неустановленные модули обновления еще ни-

подбирать только пароль! Поэтому идем в по-

ломается легче всего. Твоя система не

когда не было так просто. Между делом замечу,

сещенные нами сегодня Local Security Policy -

будет легкой добычей, правда?

что превратиться в еще одну утилиту для хакеров

> Security Options, и в политике Rename

(как случалось с некоторыми программами из

administratior account задаем свое имя.

Win2k Resource Kit) MBSA, видимо, не суждено.

Ведь для того чтобы просканировать систему,

нужно иметь на ней права администратора. Впро-

чем, не забывай и об остальных популярных ска-

нерах безопасности. Напомню, что всевозмож-

íûå X-Spider'û, ShadowSecurityScanner'û,

Retina'ы и прочие Nessus'ы создавались как раз

для аудита системы, а не для изучения жертвы.

Воспользуйся ими и увидишь, насколько уязвима

твоя собственная система.

Был админ - и вот его не стало

5 Юниксоид 6 X-Стиль

7 Кодинг

8 Юниты

9 Quit>

73

				hang	e
			C			E
		X
	-						d
	F							t
P								i
	D			<Page 074>
								r
					NOW!			o
				BUY
w Click				to	Юниксоид
									m
w
	w							o
	.						.c
		p				g
			df		n		e
				-xcha

ХАКЕР\¹49\Январь\2003

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

МОЙ DNS - МОЯ КРЕПОСТЬ

Andrushock ([e-mail])

ÌÎÉ		DNS		-
Сегодня
ìû ñ òî-	КРЕПОС
бой затронем
различные аспек-
ты защиты пакета ÌÎß
BIND (The Berkley
Internet Domain			ÒÜ

торый на протяжении них лет получил пространение в

ней на момент была версия 9.2.1, для детального

пользование последней версии не полную защиту, однако она менее уязвима для ленных атак, обладает лучшей защищенностью и усовер- шенствованными механизмами безопасности, по сравнению

с четвертыми и восьмыми версиями BIND.

	ОБЕСПЕЧЬ БЕЗОПАСНОСТЬ СВОЕМУ DNS-СЕРВЕРУ!
			prefix=/opt/bind --with-openssl=no --enable-			САЖАЕМ ДЕМОНА В ПЕСОЧНИЦУ
	Domain Name System		ipv6=no --with-kame=no			По умолчанию демон named в системе работает
	(DNS) - доменная		Этим мы запрещаем добавление в бинарики
	система имен - это		отладочной информации (не указываем флажок			с правами суперпользователя. Если злоумышлен-
	распределенная база		"-g", который идет по дефолту), включаем оп-			ник успешно выполнит атаку на DNS-сервер, то
	данных, используемая
	в интернете для		тимизационные фишки, указываем, в какую ди-			он получит возможность выполнять команды от
	определения		ректорию будем ставить, отменяем поддержку			имени root. Как ты понимаешь - это не есть хо-
	соответствия между
	именами хостов и их		OpenSSL (эта поддержка необходима для			рошо, и мы этого не допустим. Для того чтобы
	IP-адресами.		DNSSEC - специальных расширений для обес-			избежать связанного с этим возможного ущерба,
			печения достоверной передачи DNS-данных в			нам необходимо запускать named от имени не-
	СТАВИМ НА НОГИ		масштабах глобальной сети) и отключаем под-			привилегированного пользователя и в
			держку IPv6 - новой версии протокола IP, так			chroot()'ной среде - среде с измененным для де-
	Итак, забираем сырцы с		как она пока не получила широкого распростра-			мона корневым каталогом, который на самом деле
			нения, естественно, если что нужно - включаем			является обычным каталогом в файловой системе.
	ftp://ftp.isc.org/isc/bind9/9.2.1/bind-9.2.1.tar.gz, ðàñ-
			=). Для Linux-систем с версиями ядра меньше			Если пользователя и группы named еще в систе-
	паковываем архив tar zxvf bind-9.2.1.tar.gz, перехо-
			2.2.18 и 2.3.99 необходимо также добавить па-			ме не существует, то добавляем:
	дим в созданный каталог cd bind-9.2.1 и выполня-
			раметр "--disable-threads".			groupadd -g 53 named
	ем сценарий configure с такими аргументами:
			Производим сборку: make и устанавливаем:			adduser -c "Domain Name Service" -d /var/named -
	CFLAGS="-O2 -funroll-loops -ffast-math -malign-
			make install. Все, инсталляция завершена, но это			g named -u 53 -s /bin/false -r named
	double -mcpu=i686 -march=i686 -fomit-frame-
			только начало...			В *BSD будет выглядеть так:
	pointer -fno-exceptions" ./configure --
	74 Ньюсы	1 Феррум		2 Inside	3 PC_Zone		4 Взлом

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

D

075>

o

r

r

BUY

NOW!

BUY

NOW!

to

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

useradd -c "Domain Name Service" -d /var/named -

nslookup, может получить от по умолчанию наст-

options {

-x cha

g named -u 53 -s /sbin/nologin named

роенного DNS-сервера файл зонной пересылки, с

...

И строим песочницу - виртуальную файловую си-

помощью которого без особого труда сможет со-

allow-transfer { none; }; //êîìó ìû ìî-

стему для нашего DNS-сервера:

ставить топологию внутренней сети, узнать IP-ад-

жем передавать нашу зону

mkdir -p /var/named

реса, имена узлов, определить серверы зон (NS

allow-query { trusted; }; //êîìó ìû îò-

cd /var/named/

записи), почтовые ретрансляторы (MX записи),

вечаем на запросы

mkdir -p dev etc var/log var/named var/run var/stat

географическое месторасположение (LOC запи-

allow-recursion { trusted; }; //êòî íàì

Каталог /var/named будет корневым, а его подка-

си), информацию об узлах (TXT записи) и т.д. Для

может посылать рекурсивные запросы

талоги необходимы для файлов устройств, кон-

того чтобы ограничить запросы, посылаемые на-

blackhole { fakenets; }; //кого игнори-

фигов, логов, зонных файлов, pid-файла и файлов

шему DNS-серверу, противодействовать атакам с

ðóåì

статистики named.

целью имитации доменного имени и отказа в об-

...

Далее в поддиректории dev создаем необходи-

служивании, необходимо воспользоваться спис-

};

мые для работы демона файлы устройств null и

ками управления доступом (Access Control List,

Присутствует возможность ограничения передачи

random:

ACL) или криптографической аутентификацией.

конкретно для каждой зоны, например:

mknod --mode=666 null c 1 3

zone "myexample.net" {

mknod --mode=644 random c 1 8

type master;

Для *BSD следует использовать другие старшие и

file "db.myexample.net";

младшие версии устройств:

allow-transfer { IP-адрес_вспомогатель-

mknod -m 666 null c 2 2

ного_DNS_сервера; };

mknod -m 644 random c 2 3

};

И передадим syslogd в скрипте /etc/rc.d/init.d/sys-

и в named.conf вспомогательного DNS-сервера

log ключ для создания дополнительного сокета в

прописываем:

chroot()'ной среде (таких сокетов в системе мо-

zone "myexample.net" {

жет быть не более 19, в OpenBSD не более 20):

type slave;

SYSLOGD_OPTIONS="-a /var/named/dev/log -m 0"

file "backup.myexample.net";

FreeBSD'шные пользователи прописывают в

masters { IP-адрес_основно-

/etc/defaults/rc.conf и вместо ключа "-a" использу-

го_DNS_сервера; };

ют "-l", OpenBSD'шные ищут в /etc/rc.conf секцию

allow-transfer { none; };

syslogd_flags и используют, как и Linux-юзеры, па-

Сколько всего интересного...

};

раметр "-a".

К другим элементам подсистемы безопасности

Так, теперь нам для корректной работы демона

Обычно для каждого сервера задаются как мини-

можно отнести секции и директивы:

необходимо изменить расположение некоторых

мум два списка в самом начале файла

системных файлов в главном конфигурационном

named.conf: один с IP-адресами хостов из так на-

а) allow-update - определяем, кто может делать

файле named.conf в разделе options:

зываемой "доверенной" сети, второй с недопус-

динамические обновления. По умолчанию дина-

directory "/var/named"; //указываем рабочий ката-

тимыми IP-адресами.

мические обновления запрещены. Директива ис-

лог named с файлами зон

//доверенные подсети

пользуется в связке DNS и DHCP серверов, на-

pid-file "/var/run/named.pid"; //путь к pid-файлу

acl "trusted" {

пример:

dump-file "/var/stat/named_dump.db"; //ïóòü ê ôàé-

127.0.0.1;

zone "myexample.net" {

лу с дампом базы данных

192.168.1/24;

type master;

statistics-file "/var/stat/named.stats"; //путь к файлу

192.168.5/24;

file "db.myexample.net";

со статистикой DNS-сервера

};

allow-update { IP-адрес_DHCP_серве-

Обрати внимание, что в этих директивах мы уже

//кому явно запретить доступ

ðà; };

указываем абсолютный путь относительно

acl "fakenets" {

};

chroot()'ного каталога /var/named. На этом мы

0.0.0/8;

б) allow-notify - определяем, от кого помимо мас-

временно остановимся и перейдем к рассмотре-

1.0.0/8;

тер-сервера будем получать уведомления об из-

нию средств защиты в файле named.conf.

2.0.0/8;

менениях зоны:

169.254.0/16;

options {

И СНИТСЯ НАМ НЕ ЗОНА МАЙКРОСОФТА

224.0.0/3;

allow-notify { IP-адрес; };

10.0.0/8;

};

По своей сути DNS - это иерархическая база дан-

172.16.0/8;

в) listen-on - на какие сетевые интерфейсы и на

};

какой порт подвешиваем нашего демона (по

ных с IP-адресами, именами хостов и некоторым

И теперь для всех случаев, т.е. для глобально-

умолчанию используются все доступные интер-

их описанием. Любой пользователь, сделав спе-

го определения поведения нашего сервера

фейсы и 53 порт):

циальные запросы, используя утилиты dig, host и

описываем:

options {

listen-on { 192.168.1.1 port 53;

192.168.5.1 port 53; };

Для того чтобы узнать версию BIND, можно

};

воспользоваться утилитой dig, сделав

г) version - меняем отклик на запрос версии BIND

соответствующий запрос:

options {

/opt/bind9/bin/dig @victim.com chaos txt version.bind.

version "Secure by custom";

В ответ получим что-то типа:

};

;; ANSWER SECTION:

version.bind.

0

CH

TXT

"9.2.1"

А для получения полного дампа базы данных DNS-

сервера заюзаем nslookup:

nslookup

> server victim.com

Default Server: victim.com

Address: ip_addr_of_victim.com

?

ls -d victim.com

?

Скрываем версию

5 Юниксоид 6 X-Стиль

7 Кодинг

8 Юниты

9 Quit>

75

					hang	e
				C			E
			X
		-						d
		F							t
	P								i
		D			<Page 076>
									r
						NOW!			o
					BUY
					to
	w Click					Юниксоид
										m
w
		w							o
		.						.c
			p				g
				df		n		e
					-xcha

МОЙ DNS - МОЯ КРЕПОСТЬ

Andrushock ([e-mail])

д) bogus - задаем с помощью этой директивы, какие серверы никогда нельзя опрашивать: server 192.168.6.1 {

bogus yes;

};

е) кто может удаленно админить наш DNS-сер- вер:

controls {

inet * allow { any; } keys { "id_rndc_key"

};

}

				hang		e
			C				E
		X
	-							d
	F								t
ХАКЕР\¹49\Январь\2003	P D								i
									r
						NOW!			o
					BUY
				to
	w Click									m
	w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Архиполезная инфа: Максим Коновалов "Securing Bind" "Chroot-BIND-HOWTO"

"FreeBSD Handbook" раздел 17.9 DNS

Dave Lugo "Dual chrooted BIND/DNS Servers" Craig H. Rowland "Securing DNS"

BIND 9 Administrator Reference Manual Cricket Li "Securing An Internet Name Server" Paul Vixie "DNS and BIND Security Issues" Squire James "Domain name takeover and spoofing"

AusCERT "Denial of Service attacks using the DNS"

ИСТИНА ГДЕ-ТО В ЛОГАХ

Без сомнения, особое внимание необходимо уделить подсистеме журнальной регистрации демона named, которая конфигурируется в секции logging файла named.conf. Сначала мы определим каналы - места назначений посланных сообщений, затем категории журналирования и имена каналов, куда будут приходить эти сообщения.

logging {

channel chroot_logfile {

file "/var/log/named.log" versions 3 size 300k; //задаем лог-файл, количество ротаций и его размер

severity debug 3; //указываем серьезность (можно выставить info)

print-category yes; //добавляем метку с

категорией

print-severity yes; //добавляем метку с уровнем серьезности

print-time yes; //добавляем метку с

временем

};

category default { default_syslog; chroot_logfile; }; //записываем в syslog-поток и в лог-файл все сообщения, для которых не был назначен канал

category security { chroot_logfile; }; //записываем разрешение и запрещение запросов в логфайл

category queries { chroot_logfile; }; //регистрируем запросы в лог-файл

category lame-servers { null; }; //не регистрируем сообщения о серверах, которые якобы обслуживают зону };

ЗАПУСК ДЕМОНА НА ОРБИТУ

Ну вот, последние приготовления сделаны (размещение named.conf и файлов зон в соответствующих каталогах песочницы, а также расставление пермишенов я оставляю на твоей совести ввиду отсутствия места), осталось запустить named: /opt/bind/sbin/named -c /etc/named.conf -u named -t /var/named -n 1

Здесь все просто: указываем конфиг из песочницы, от имени какого пользователя запускаем, с каким измененным корневым каталогом и сколь-

ко кристаллов на нашей мамке. Далее смотрим в логи, чтобы убедиться в успешной загрузке нашего демона:

tail /var/log/messages

КАК ЗА ОГНЕННОЙ СТЕНОЙ

Да, с запуском мы немного поспешили, так как еще необходимо протокол DNS подружить с брандмауэром, т.е. создать набор правил фаервола для обеспечения корректной работы нашего DNS-сервера (разработку сценария firewall я также возлагаю на твои мужественные/женственные плечи). Дело осложняется несколькими вещами: DNS работает и по UDP, и по TCP - обычные запросы идут по UDP; если объем данных, отправленных одним DNS-сервером, превышает размер DNS-датаграммы, то соединение продолжается, но уже с использованием TCP; зонные передачи между серверами также выполняются по TCP. Но и это еще не все. DNS-серверы посылают другим DNS-серверам запросы, используя не 53 порт, а случайно выбранный непривилегированный (с 1024 по 65535) с использованием UDP, так же, как и DNS-клиенты. Для решения последнего "недоразумения" можно воспользоваться следующей директивой:

options {

query-source address * port 53;

};

ÇÛ

На этом спешу закончить, хотя многое осталось за бортом. Например, рассмотрение спецификаций: TSIG для обеспечения безопасного взаимодействия между DNS-серверами в пределах небольшой локальной сети с помощью сигнатур транзакций с применением симметричной схемы шифрования; DNSSEC для проверки подлинности источников и передаваемых данных, их целостности в рамках глобальной сети с помощью шифрования с открытым ключом; TKEY для автоматического генерирования секретного ключа на двух DNS-серверах. Поэтому, если будут вопросы - милости прошу, адрес наверху.

/quit Andrushock not supported by kernel

			1		2		3		4
76		Ньюсы		Феррум		Inside		PC_Zone		Взлом

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

to

BUY

w

Click

m

w

w

.

o

.c

p

g

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

to

BUY

w Click

m

w

w

o

.

.c

p

g

df

n

e

-x cha

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

D

o

r

r

<Page 078>

ХАКЕР\¹49\Январь\2003P

NOW!

BUY

NOW!

BUY

to

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

Юниксоид

ВСЕЛЕННАЯ UNIX

TanaT ([e-mail])

UNIX - это целый мир. Как и во всяком

другом, в нем царит разнообразие -

десятки различных лицензий,

дистрибутивов и версий. UNIX - это

лабиринт. Разобраться в хитросплетении

программного обеспечения и

операционных систем сложнее, чем

найти верный курс посреди океана.

Благо морякам помогают навигационные

приборы и карты, а юниксоид может

рассчитывать только на себя. И на

одноименную рубрику. Сегодня мы

научимся ориентироваться в различных

лицензиях и дистрибутивах, узнаем,

откуда взялось все это многообразие, и

зачем оно нужно.

ВСЕЛЕННАЯ

UNIX

ЭТУ ИСТОРИЮ ДОЛЖЕН ЗНАТЬ КАЖДЫЙ!

Взгляд в прошлое

GPL vs. BSD

История UNIX началась в 1969 году с работы Ке-

Но время не стояло на месте - уже через три

Начнем мы с самого главного - лицензии. Когда ты

года судьба преподнесла подарок новорож-

на Томпсона и Денниса Ритчи на позабытом все-

покупаешь CD с какой-нибудь ОС и пытаешься ее

денной. Денис Ритчи переписал ее на языке

ми компьютере PDP-7. Тогда была разработана

проинсталлировать, то первое же диалоговое окно бу-

С, который он сам и придумал. С этого вре-

первая версия ОС UNIX. Она называлась Multics.

дет содержать лицензионное соглашение. Эта ситуа-

мени UNIX могла работать на компьютерах

Этот экспериментальный проект открыл новые

различной архитектуры. Первое время она

ция характерна для любого ПО. Ибо лицензия - это

перспективы развития в области разработки ОС.

использовалась только внутри Bell Labs, но

документ, регулирующий взаимоотношения между

Он был своего рода мамонтом - древним и непо-

довольно быстро вышла за ее рамки. Благо-

разработчиками и пользователями. Он регламентиру-

воротливым. Поэтому Multics быстро погиб. Уже

даря стабильности, переносимости и откры-

ет все их права и обязанности. Лицензия - своего ро-

через год после его создания все те же два со-

тому коду, UNIX почти сразу стала весьма

да аналог обычного закона, где государство заменено

трудника AT&T Bell Laboratories целенаправленно

популярной.

производителем, а граждане - пользователями. Когда

приступили к разработке новой ОС. Так появи-

впервые появился UNIX, его основной идеей была пе-

лась первая нормальная UNIX.

реносимость. В то время существовало великое мно-

78 Ньюсы

1 Феррум

2 Inside

3 PC_Zone

4 Взлом