Rozdział 4.
Techniki rozpoznania i skanowania W dzisiejszych czasach coraz częstszym i bardzo pilnym problemem kaŜdej firmy jest zachowanie bezpieczeństwa i poufności przetwarzanych danych oraz dostępności prowadzonych usług. Jest to tym trudniejsze, Ŝe oprogramowanie wykorzystywane w tym celu jest coraz bardziej skomplikowane, a co idzie z tym w parze — coraz bardziej podatne na infiltrację. Aby jednak przeprowadzić jakiekolwiek działania w celu zaatakowania wybranego celu, haker musi najpierw go zlokalizować, a następnie zebrać o nim jak najwięcej informacji, by wybrać najodpowiedniejszy sposób zaatakowania. I tu właśnie pojawiają się technologie umoŜliwiające przeprowadzanie rozpoznania i skanowania. Skanowanie to pojęcie bardzo zbliŜone do rozpoznania, moŜna by nawet powiedzieć, Ŝe jest szczególnym przypadkiem rozpoznania. Skanowanie jest równieŜ sposobem zbierania informacji, szczególnym ze względu na sposób ich otrzymywania, który polega na poszukiwaniu otwartych i nasłuchujących portów komputera, a następnie ich badaniu. Skanery portów (programy wykonujące tę operację) potrafią znacznie więcej — ich zadanie nie ogranicza się do sondowania pojedynczych portów czy teŜ komputerów. Nowoczesne skanery potrafią zbadać wiele portów róŜnych komputerów przy uŜyciu czasem bardzo wymyślnych technologii, mogą równieŜ odpowiednio przetworzyć otrzymane dane, tak by stanowiły dla uŜytkownika programu wymierną podstawę do dalszych działań. W rozdziale tym nauczymy się zbierać informacje o potencjalnym celu naszego ataku. Do naszych badań wykorzystamy technologie oparte na skanowaniu portów.
Rozpoznanie UŜytkownicy zarówno prywatni, jak i korzystający z łączy w pracy, pragnęliby zapewne zachować anonimowość podczas korzystania z Internetu. Jest to wprawdzie moŜliwe, lecz bardzo trudne do zrealizowania. Istnieje jednak usługa, dostępna pod adresem www.anonymizer.com, pozwalająca na anonimowe poruszanie się po stronach WWW (patrz rysunek 4.1).
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
99
100
Hack Wars. Tom 1. Na tropie hakerów
Rysunek 4.1. Usługa pozwalająca na anonimowe przeglądanie stron WWW
W tej części ksiąŜki przyjrzymy się technologiom stosowanym przez hakerów do badania sieci i poszczególnych jej składników. Rozpoznanie jest pierwszym krokiem podejmowanym przy planowaniu ataku na sieć, czy to odległą, czy teŜ lokalną. KaŜda dobrze przemyślana próba penetracji wymaga pewnej wiedzy o celu ataku. Atak wykonywany z zewnątrz sieci docelowej nazywany jest atakiem zdalnym. Przedstawię teraz kilka sposobów na otrzymanie informacji o sieci za pomocą Internetu. Działania przedstawione w tej części mogą być uŜyte w dowolnej kolejności, zaleŜnie od naszej wiedzy o atakowanej sieci. Przykład, którego uŜyjemy, będzie się odnosił do atakowanej firmy o nazwie XYZ, Inc. (nazwa firmy, domena oraz adres zostały zmienione).
Katalog Whois Odnalezienie określonej sieci moŜe być tak skomplikowane, jak przysłowiowe poszukiwanie igły w stogu siana — jest moŜliwe, lecz bardzo trudne. Whois jest usługą internetową pomagającą uŜytkownikowi znaleźć URL (Universal Resource Locator) wybranej firmy lub teŜ uŜytkownika zarejestrowanego w jej sieci. Udane zapytanie wysłane do usługi Whois pociąga za sobą znalezienie nazwy domeny sieci poszukiwanej firmy. Nazwy domen są ciągami znaków, do których przyporządkowane są adresy. Adresy te są zaś zwykle przyporządkowane interfejsom, za pomocą których komunikują się poszczególne sieci lub komputery. W nazwach domen bardzo często są zawarte słowa identyfikujące nazwę firmy, serwera, organizacji oraz rodzaju prowadzonej działalności, na przykład www.companyname.com. NajwaŜniejszym rejestrem Whois jest katalog udostępniany
100
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
101
przez Internet Network Information Center (InterNIC). InterNIC odpowiada za rejestrowanie nazw domen oraz adresów IP, jak równieŜ za rozprzestrzenianie informacji o sieci. InterNIC, połoŜony w Herndon w stanie Virginia, powstał w 1993 roku jako konsorcjum utworzone przez U.S National Science Foundation, AT&T, General Atomics oraz Network Solutions, Inc. Pod wymienionymi niŜej adresami URL znajdziesz najwaŜniejsze serwery świadczące usługi Whois: http://www.internic.net/whois.html — katalog Whois udostępniony przez
InterNIC, www.networksolutions.com/cgi-bin/whois/whois.html — informacje o domenach
w Ameryce Północnej, www.ripe.net — informacje o domenach europejskich, www.apnic.net — informacje o domenach połoŜonych w Azji oraz na Pacyfiku.
Na rysunku 4.2 oraz 4.3 znajdują się przykłady uŜycia usługi Whois (Network Solutions — InterNIC) do zlokalizowania poszukiwanej przez nas firmy XYZ, Inc. Jak widać, udało się znaleźć parę waŜnych informacji na jej temat, przede wszystkim jej URL: www.xyzinc.com. Rysunek 4.2. Główna strona serwisu wyszukiwawczego Whois dostępnego pod adresem www.netsol.com
Teraz, gdy juŜ zlokalizowaliśmy i zweryfikowaliśmy adres naszego celu, następnym krokiem jest kliknięcie nazwy domeny znajdującej się w rezultatach zapytania (patrz rysunek 4.2).
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
101
102 Rysunek 4.3. Wyniki wyszukiwawcze wskazują poszukiwaną przez nas firmę
102
Hack Wars. Tom 1. Na tropie hakerów Aborting search 50 records found ..... XYZ (MYWAYOUT-DOM MYWAYOUT.COM XYZ (DOUBLEENVELOPE2-DOM) DOUBLEENVELOPE.NET XYZ (PARAG-TRAVELS2-DOM) TRAVELS.COM XYZ (UDAYHOMEWORLD4-DOM) UDAYHOMEWORLD.ORG XYZ (XYZINC-DOM) XYZINC.COM XYZ (INDIA-ASTORO2-DOM) ASTORO.NET XYZ (XYZSTUDIOS-DOM) XYZSTUDIOS.COM XYZ (DOUBLENVELOPE-DOM) DOUBLENVELOPE.COM XYZ (INDIA-ASTORO-DOM) ASTORO.COM XYZ (DOUBLEENVELOPE3-DOM) DOUBLEENVELOPE.ORG XYZ (INFOGIUBILEO-DOM) INFOGIUBILEO2000.COM XYZ (PARAG-TRAVELS-DOM) TRAVELS.ORG XYZ (PARAG-TRAVELS3-DOM) TRAVELS.NET XYZ (INDIA-ASTORO3-DOM) ASTORO.ORG XYZ (KISSMEHENTAI-DOM) KISSMEHENTAI.COM XYZ (DOUBLENVELOPE2-DOM) DOUBLENVELOPE.NET XYZ (XY79-ORG)
[email protected] 518-372-2842 XYZ (XY25-ORG)
[email protected] 0444 492509 XYZ (DOUBLENVELOPE3-DOM) DOUBLENVELOPE.ORG XYZ (UDAYHOMEWORLD3-DOM) UDAYHOMEWORLD.COM XYZ (UDAYHOMEWORLD2-DOM) UDAYHOMEWORLD.NET XYZ Art (XYZART2-DOM) XYZART.COM XYZ Beheer (DEJOODE2-DOM) DEJODE.ORG XYZ Beheer (DEJOODE-DOM) DEJODE.COM XYZ Beheer (DEJOODE3-DOM) DEJODE.NET XYZ Bend (RECONDRUM-DOM) RECONDRUM.COM XYZ Co. (BELLSODOMREGTEST2-DOM) BELLSODOMREGTEST.COM XYZ Communications (XYZCOMMUNICATIONS2-DOM) XYZCOMMUNICATIONS.NET XYZ Communications (XYZCOMMUNICATIONS-DOM) XYZCOMMUNICATIONS.ORG XYZ Communications (XYZCOMMUNICATIONS3-DOM) XYZCOMMUNICATIONS.COM XYZ Communicazione sr1 (XYZCOMM-DOM) XYZCOMM.COM
PARAG-
INDIA-
INDIA-
PARAGPARAGINDIA-
+39
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
103
Późniejsza weryfikacja pozwoli potwierdzić poprawność otrzymanego tą metodą adresu. Szczegółowe informacje o firmie XYZ, Inc. posiadającej URL www.xyzinc.com zawierają m.in.: kontakt do administracji: Bill Thompson (oczywiście jest to pracownik XYZ, Inc.), kontakt z obsługą techniczną: najprawdopodobniej jest to adres lokalnego
dostawcy usług internetowych, adresy serwerów sieci: 207.237.2.2 oraz 207.237.2.3.
PING Kolejnym krokiem będzie wykorzystanie prostego programu opartego na protokole ICMP, a nazywającego się ping. Dzięki niemu otrzymamy adres IP serwera obsługującego www.xyzinc.com. PING (akronim od Packet Internet Groper) jest nazwą programu sprawdzającego, czy określony komputer jest podłączony do Internetu; w tym celu wysyła pakiet ICMP na adres IP sprawdzanego komputera, a następnie czeka na odpowiedź. Rysunek 4.4. Szczegółowe informacje dotyczące posiadacza odszukanej domeny: adresy administratora, obsługi technicznej, administracji oraz adresy DNS
Registrant: XYZ, Inc. (XYZINC-DOM) 123 Anystreet Ave. Ft. Pierce, FL. 34981 US Domain Name: XYZINC.COM Administrative Contact: Thompson, Bill (BT4511)
[email protected] 5613593001 (FAX) 5613593002
Technical Contact, Billing Contact: HOSTMASTER (HO1511)
[email protected] 8009291922
Record last updated on 31-Jan-2001. Record expires on 18-Nov-2001. Record created on 17-Nov-1996. Database last updated on 12-Mar-2001 17:15:37 EST. Domain servers in listed order: NS1.ISP.COM NS2.ISP.COM
207.237.2.2 207.237.2.3
Program ping moŜe być uruchomiony z okna trybu MS-DOS (w systemie Windows) lub z powłoki systemu UNIX. Sposób, w jaki uruchomienie programu ping powoduje ujawnienie adresu IP, moŜna przedstawić w pięciu krokach. 1. Program odczytuje zapytanie sformułowane przez uŜytkownika (w formie
parametrów).
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
103
104
Hack Wars. Tom 1. Na tropie hakerów 2. Nazwa domeny jest wysyłana do lokalnego serwera DNS (w celu
przetłumaczenia jej na adres IP, gdyŜ w innym przypadku niemoŜliwe byłoby dostarczenie pakietu ICMP). 3. PoniewaŜ adres URL (www.xyzinc.com) jest nieznany lokalnemu serwerowi
DNS, zostaje wysłane zapytanie do jednego z głównych serwerów DNS obsługiwanych przez InterNIC, który przesyła je dalej do serwera DNS obsługującego www.xyzinc.com. 4. Tam teŜ domena www.xyzinc.com jest kojarzona z adresem IP. 5. Ostatecznie adres ten przekazany zostaje do lokalnego serwera DNS, który
przesyła ją programowi ping jako odpowiedź. Dopiero w tym momencie ping moŜe wysłać pakiet sprawdzający połączenie z serwerem firmy XYZ. Przyjrzyj się rysunkowi 4.5 pokazującemu schemat tej operacji. Ponadto na rysunku 4.6 znajduje się wynik zapytania programu ping wykonanego dla adresu www.xyzinc.com. Rysunek 4.5. Zapytania ICMP (ping) wędrują od naszego serwera DNS do serwera DNS InterNIC, dalej do serwera DNS docelowej sieci, ostatecznie zaś do serwera WWW firmy XYZ w celu otrzymania odpowiedzi
Rysunek 4.6. Za pomocą programu ping moŜemy w prosty sposób znaleźć adres IP badanej domeny
Na CD-ROM-ie dołączonym do ksiąŜki znajduje się program automatyzujący proces przeprowadzania rozpoznania.
Typowe rekordy serwerów DNS dla domeny zawierają informacje o parach nazwaadres IP serwerów pocztowych, www i ftp. UŜywając jedynie programu ping, moŜemy zdobyć dodatkowe informacje.
104
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
105
C:\ping mail.xyzinc.com Badanie mail.xyzinc.com [206.0.126.11] z uŜyciem 32 bajtów danych Odpowiedź z 206.0.126.11: bajtów=32 czas=398ms TTL=49 Odpowiedź z 206.0.126.11: bajtów=32 czas=398ms TTL=49 Odpowiedź z 206.0.126.11: bajtów=32 czas=392ms TTL=49 Odpowiedź z 206.0.126.11: bajtów=32 czas=401ms TTL=49 C:\ping ftp.xyzinc.com Badanie ftp.xyzinc.com [206.0.126.12] z uŜyciem 32 bajtów danych Odpowiedź z 206.0.126.12: bajtów=32 czas=317ms TTL=53 Odpowiedź z 206.0.126.12: bajtów=32 czas=345ms TTL=53 Odpowiedź z 206.0.126.12: bajtów=32 czas=350ms TTL=53 Odpowiedź z 206.0.126.12: bajtów=32 czas=322ms TTL=53 Posiadamy juŜ więc informacje o najwaŜniejszych serwerach w badanej sieci. www
www.xyzinc.com
206.0.12.0
mail
mail.xyzinc.com
206.0.126.11
ftp
ftp.xyzinc.com
206.0.126.12
Serwisy wyszukiwawcze Ogólnoświatowa sieć WWW jest bardzo często nazywana autostradą informacyjną, a to z tego powodu, Ŝe zawiera miliony megabajtów informacji, które są w kaŜdym momencie przeglądane przez niezliczoną ilość ludzi na całym świecie. Za większość czynności związanych z odnajdywaniem informacji w sieci odpowiedzialne są specjalne serwery nazywane serwisami wyszukiwawczymi. Serwisy wyszukiwawcze oraz grupy dyskusyjne są wspaniałym narzędziem badania atakowanej sieci, stąd w części tej opiszemy metody zdobywania wiadomości dostępnych tą drogą. Adresy, numery telefonów, kontakty — to tylko niektóre z informacji, które moŜna uzyskać, pobrać oraz zweryfikować za pomocą wyszukiwarek internetowych. Lista najobszerniejszych i najwaŜniejszych serwisów wyszukiwawczych zawiera m.in. następujące adresy: www.altavista.com, www.businessseek.com, www.clickheretofind.com, www.google.com www.deja.com,
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
105
106
Hack Wars. Tom 1. Na tropie hakerów www.excite.com, www.goto.com, www.hotbot.com, infoseek.go.com, www.lycos.com, www.nationaldirectory.com, www.peoplesearch.com, www.planetsearch.com, www.yellowpages.com.
W czasie przeprowadzonych poszukiwań, korzystając z popularnej wyszukiwarki internetowej, udało się potwierdzić wcześniej zdobyte informacje, a dokładniej adres, numer telefonu oraz nazwisko kierownika działu informatycznego (czy pamiętasz jeszcze Billa Thompsona, który przewinął się juŜ poprzednio jako administrator?). Wiedza ta wystarcza do przeprowadzenia ataku znanego pod nazwą social engineering.
Social Engineering Social Engineering jest sposobem wymuszenia na potencjalnej ofierze strategicznych informacji o sieci (na przykład haseł). Ta popularna technika jest stosowana przez hakerów i crackerów na całym świecie. Prostym i skutecznym wykorzystaniem tej metody jest udawanie nowego uŜytkownika, jak równieŜ członka obsługi technicznej.
Wariant I: nowy uŜytkownik Po zapoznaniu się z informacjami zdobytymi w poprzednich krokach haker mógłby zadzwonić do firmy XYZ, poprosić o połączenie z działem informatycznym lub z obsługą techniczną, a następnie, podając się za pracownika tymczasowego, poprosić o tymczasowy login oraz hasło dostępu. MoŜna poprawić skuteczność tego wariantu. Na przykład znając imię i nazwisko szefa działu marketingowego, moŜemy wzbogacić i uwiarygodnić scenariusz. Po przełączeniu rozmowy do miejscowego technika haker mógłby rozpocząć w następujący sposób: „Dzień dobry, nazywam się Tom Friedman. Jestem nowym pracownikiem tymczasowym Sharon Roberts, kierowniczki działu marketingowego. Poleciła mi zadzwonić i poprosić o tymczasowy login oraz hasło do naszej sieci”.
Wariant II: członek obsługi technicznej Inny wariant mógłby wystąpić, gdyby haker, dzwoniąc, poprosił o przełączenie do kogoś z działu sprzedaŜy. W sytuacji tej mógłby oświadczyć, Ŝe Bill Thompson, kierownik działu informatycznego, polecił mu skontaktować się z kaŜdym uŜytkownikiem tego działu, by sprawdzić jego login oraz hasło dostępu do sieci.
106
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
107
Działanie to byłoby usprawiedliwione wdraŜaniem do uŜycia nowego serwera mającego zastąpić stary. Dzięki zdobytym w ten sposób informacjom haker moŜe ominąć system zabezpieczeń i bezproblemowo zalogować się na firmowym serwerze. Istnieje wiele wariantów wykorzystania tej techniki. Odpowiednio zebrane i połączone ze sobą informacje na temat firmy pozwalają wybrać i zmodyfikować te, które są w danym wypadku najskuteczniejsze. Social Engineering przynosi zaskakująco dobre efekty. Więcej informacji na ten temat oraz historię wykorzystania w/w metody znajdziesz w bibliotece adresów TigerTools (na CD-ROM-ie dołączonym do ksiąŜki).
Skanowanie portów Jak juŜ wspomniałem na początku tego rozdziału, skanowanie portów polega na zbadaniu jak największej liczby portów oraz śledzeniu tych, które są otwarte lub podatne na atak. Programy skanujące informują o portach, pomagają analizować ich słabości oraz ułatwiają znalezienie w bazie danych metod na jej wykorzystanie. Wykorzystanie wielu technologii przedstawionych w tej ksiąŜce (włączając w to skanowanie portów) jest w wielu krajach (równieŜ w Polsce i Stanach Zjednoczonych) z prawnego punktu widzenia zabronione, jeŜeli osoby i organizacje zainteresowane nie wydały na to specjalnego pozwolenia. Zarówno autor, jak i wydawnictwo Helion nie ponoszą odpowiedzialności za uŜycie informacji zawartych w tej ksiąŜce.
Techniki skanowania portów Odnajdywanie luk w bezpieczeństwie za pomocą skanera moŜna podzielić na trzy etapy: ustalenie adresu skanowanej maszyny, wykonanie właściwej operacji skanowania oraz sprawdzenie, czy zidentyfikowane usługi nie posiadają luk w zabezpieczeniach. Za pomocą niektórych metod skanowania, opisanych w tej części, moŜna spenetrować sieć znajdującą się wewnątrz obszaru chronionego firewallem. W ksiąŜce tej firewall jest zdefiniowany jako system, którego zadaniem jest ochrona określonej sieci przed zagroŜeniami związanymi z kontaktem z innymi sieciami, w szczególności zaś Internetem. Firewall zapobiega bezpośrednim kontaktom komputerów z komputerami spoza sieci i odwrotnie. Zamiast tego cały ruch sieci kierujący się na zewnątrz oraz do wewnątrz jest filtrowany przez serwer pośredniczący, który na podstawie zbioru zasad decyduje, czy dany komunikat lub plik moŜe przekroczyć granicę chronionej sieci, czy teŜ nie.
Skanery wysyłają duŜe ilości pakietów, uŜywając róŜnych protokołów, a następnie nasłuchują i zapisują kaŜdą odpowiedź. Najpopularniejsze skanery, takie jak na przykład nmap (który zostanie opisany w dalszej części rozdziału), mają
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
107
108
Hack Wars. Tom 1. Na tropie hakerów
zaimplementowaną prawie kaŜdą znaną i przydatną metodę skanowania portów i protokołów. Niektóre z nich omówimy poniŜej. Skanowanie metodą TCP (pełne). Najprostsza metoda skanowania, w której skaner stara się nawiązać ze skanowanymi portami pełne połączenie. Dzięki temu moŜna łatwo wykryć otwarte porty. Skanowanie metodą TCP SYN. Metoda skanowania nazywana równieŜ „skanowaniem połówkowym”. W metodzie tej nie następuje otwarcie połączenia, zamiast tego w kierunku skanowanego portu zostaje wysłany pakiet SYN sugerujący otwarte połączenie i oczekiwanie na odpowiedź. JeŜeli w odpowiedzi skaner dostanie pakiet SYN/ACK, oznacza to, Ŝe port nasłuchuje, w przeciwnym wypadku skaner otrzymuje pakiet RST. Po odebraniu SYN/ACK skaner niezwłocznie „zamyka” połączenie, wysyłając pakiet RST. Skanowanie metodą TCP FIN. Metoda skanowania portów utrudniająca wykrycie faktu skanowania. Niektóre urządzenia typu firewall oraz filtry pakietów (takie jak na przykład Synlogger czy Courtney) potrafią wykryć skanowanie pakietami SYN. W takich sytuacjach czasami moŜliwe jest skanowanie pakietami FIN, gdyŜ otwarte porty z reguły odpowiadają na nie pakietami RST, podczas gdy zamknięte porty ignorują tego typu pakiety. Skanowanie fragmentacyjne. Modyfikacja pozostałych metod skanowania, w której pakiety przeznaczone do skanowania dzielone są na fragmenty. JeŜeli nagłówek pakietu TCP zostanie podzielony na części, wtedy filtry pakietów będą miały znikome szanse wykrycia skanowania. Skanowanie metodą TCP Reverse Ident. Tak jak zostało to opisane przez Dave’a Goldsmitha w 1996r., protokół ident (RFC 1413) pozwala ujawnić nazwę uŜytkownika będącego właścicielem jakiegokolwiek procesu, połączonego za pomocą protokołu TCP, nawet w sytuacji, gdy proces ten nie zainicjował połączenia. MoŜna więc, na przykład połączyć się z portem serwera http, a następnie uŜyć demona ident, aby stwierdzić, czy został on uruchomiony przez uŜytkownika root. Atak FTP Bounce. Interesującą cechą protokołu FTP (RFC 959) jest dopuszczenie połączenia FTP przy uŜyciu swego rodzaju serwera pośredniczącego. Innymi słowy, istnieje moŜliwość nawiązania połączenia sterującego z evil.com do portu FTP-PI (protocol interpreter — port na serwerze FTP, przez który odbierane i wysyłane są polecenia sterujące i komunikaty) serwera target.com. Następnie zaś moŜna na adres tego portu wysłać Ŝądanie otwarcia aktywnego połączenia z portu FTP-DTP (data transfer process — tym portem są transportowane wszystkie dane), a w konsekwencji wysłania pliku w dowolne miejsce w Internecie! Skanowanie metodą UDP ICMP_PORT_UNREACH. Metoda skanowania uŜywająca protokołu UDP zamiast TCP. Wprawdzie protokół UDP jest mniej skomplikowany, lecz metody skanowania uŜywające UDP muszą być bardziej wyrafinowane, poniewaŜ otwarte porty nie mają obowiązku wysyłać odpowiedzi, a zamknięte nie muszą wysyłać pakietów informujących o błędach. Na szczęście większość systemów jest skonfigurowana do wysyłania pakietu
108
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
109
ICMP_PORT_UNREACH w odpowiedzi na wysłanie pakietu do zamkniętego portu. Pozwala to stwierdzić, które porty są zamknięte, a pośrednio — które są otwarte. Skanowanie metodą UDP recvfrom() oraz write(). Zwykli uŜytkownicy nie mogą bezpośrednio otrzymywać pakietów informujących ICMP_PORT_UNREACH. JednakŜe system Linux informuje o tym fakcie pośrednio. Na przykład drugie i kolejne wywołania funkcji write() z poleceniem zapisu do zamkniętego portu spowoduje zwrócenie błędu. Wiele skanerów (na przykład netcat i pscan.c) wykorzystuje tę metodę z powodzeniem.
Popularne skanery portów Istnieje bardzo wiele skanerów portów, kaŜdy posiada unikalne umiejętności wykonywania róŜnego rodzaju skanów konkretnych celów. Są skanery skupiające się na portach TCP/IP oraz usługach na nich opartych; inne wykorzystują protokół UDP, prostszy wprawdzie, lecz za to duŜo trudniejszy w skanowaniu i skomplikowany w zarządzaniu informacjami otrzymanymi w wyniku skanowania. Zadaniem tej części jest zaprezentowanie i przybliŜenie moŜliwości kilku popularniejszych skanerów portów. Pakiet TigerSuite zostanie opisany dokładniej w rozdziale 11. Znajdziecie go równieŜ na CD-ROM-ie dołączonym do ksiąŜki).
CyberCop Scanner Windows NT, Linux CyberCop (patrz rysunek 4.7), opracowany przez Network Associates, jest programem słuŜącym do wykrywania i oceniania słabych punktów bezpieczeństwa, połączonym z nowoczesnym systemem monitorowania wszelkich oznak aktywności intruza. Program ten ma m.in. zaimplementowane zaawansowane technologie, których zadaniem jest rozmieszczanie w systemie „przynęt” pomagających wytropić i zlokalizować szpiega. CyberCop testuje system komputerowy i urządzenia sieciowe, szukając znanych i potencjalnych luk w bezpieczeństwie systemu. Potrafi testować komputery i serwery oparte na systemach WindowsNT oraz UNIX, urządzenia sieciowe typu huby, switche, jak równieŜ, wykorzystując specjalny firewall (równieŜ opracowany przez Network Associates), umoŜliwia wykrycie intruzów atakujących firewalle i routery. MoŜliwe jest sporządzanie raportów z dowolną, zaprojektowaną dokładnością. Jest równieŜ dostępnych wiele opcji pozwalających sporządzone raporty wyświetlać w postaci graficznej, map sytuacyjnych sieci czy teŜ raportów o stopniu ryzyka. Dodatkową umiejętnością programu CyberCop jest moŜliwość automatycznego uaktualniania jego wersji oraz baz danych. CyberCop Scanner jest z pewnością jednym z najlepszych w swojej klasie skanerów.
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
109
110
Hack Wars. Tom 1. Na tropie hakerów
Rysunek 4.7. CyberCop Scanner
W Ameryce Północnej program CyberCop jest dostępny do celów testowych na stronie www.networkassociates.com
Jakal Linux Jakal naleŜy do grupy tych popularniejszych skanerów, które uŜywają trudniejszej do wykrycia metody nazywanej skanowaniem połówkowym. Czy przypominasz sobie sposób nawiązywania połączenia TCP opisany w rozdziale 1.? OtóŜ skaner połówkowy nigdy nie nawiązuje do końca połączenia i z tego powodu moŜe ominąć firewall i ukryć się przed detektorem skanowania lub antyskanerem1. Typowe połączenie TCP jest nawiązywane przez wysłanie drugiej stronie połączenia pakietu SYN. Jeśli druga strona na tym właśnie porcie nasłuchuje połączenia, odpowiada pakietem SYN/ACK. Wtedy strona inicjująca połączenie poznaje, Ŝe druga jest do niego gotowa, a więc wysyła pakiet ACK, by ostatecznie nawiązać połączenie. Jeśli druga strona nie oczekuje połączenia na tym porcie, po prostu odpowiada za pomocą pakietu RST. Większość systemów nie rejestruje połączeń do momentu otrzymania od źródła połączenia pakietu ACK ostatecznie informującego o nawiązaniu połączenia. Tak więc, jeśli strona inicjująca połączenie, zamiast wysłać końcowy pakiet ACK, wyśle RST, druga strona przyjmie, Ŝe połączenie nigdy nie nastąpiło i z tego powodu nie zostanie zarejestrowane w dzienniku systemowym. PoniewaŜ jednak strona inicjująca moŜe stwierdzić, czy na początkowe ACK otrzymała SYN/ACK, czy teŜ RST, uzyskuje informację, czy port nasłuchuje, czy teŜ jest zamknięty dla połączeń (i to bez wiedzy ofiary skanowania!). NaleŜy jednak pamiętać, Ŝe specjalistyczne oprogramowanie jest w stanie wykryć próby skanowania 1
Antyskaner jest programem utrudniającym skanowanie, na przykład przez wysyłanie fałszywych informacji o uruchomionych w sieci komputerach czy teŜ otwartych portach. — przyp. tłum.
110
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
111
połówkowego, włączając w to identyfikację komputera, z którego zostało ono wykonane. Jakal jest dostępny na CD-ROM-ie dołączonym do ksiąŜki.
NetRecon WindowsNT NetRecon (patrz rysunek 4.8) jest narzędziem słuŜącym do oceny słabych stron bezpieczeństwa — znajdującym luki w bezpieczeństwie sieci, analizującym je i raportującym o nich. UmoŜliwia przeprowadzenie obiektywnej oceny bezpieczeństwa sieci przez skanowanie i badanie jej infrastruktury z zewnątrz. NetRecon odtwarza sposób działania określonych intruzów lub technik ataku, a następnie przygotowuje sprawozdanie zawierające znalezione i zidentyfikowane luki w systemie be zpieczeństwa oraz sposoby przeciwdziałania. NetRecon jest oceniany bardzo wysoko, na równi z programem CyberCop Scanner w swojej klasie skanerów. NetRecon jest dostępny na stronie jego producenta (Axent) — www.axent.com. Rysunek 4.8. NetRecon podczas przygotowywania symulacji skanu
Network Security Scanner — WebTrends Security Analyzer Windows 95/98/NT/2000 NSS (Network Security Scanner) jest technologią włączoną do programu WebTrends Security Analyzer (patrz rysunek 4.9). Produkt ten pomaga poprawić bezpieczeństwo sieci, wykrywając róŜnorodne problemy związane z bezpieczeństwem systemów Windows 95/98/NT, a następnie przedstawia ewentualne sposoby ich naprawienia. Dodatkową umiejętnością tego programu jest opcja AutoSync, której zadaniem jest bieŜące pobieranie aktualnych schematów przeprowadzania badań. WebTrends Securtity
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
111
112
Hack Wars. Tom 1. Na tropie hakerów
Analyzer jest najbardziej przyjaznym dla uŜytkownika produktem dostępnym obecnie na rynku. Rysunek 4.9. WebTrends Security Analyzer
Wersję testową programu WebTrends Security Analyzer moŜna znaleźć pod adresem www.webtrends.com.
Nmap Linux, Windows NT Według twórcy programu — Fyodora — Nmap (patrz rysunek 4.10) jest narzędziem słuŜącym głównie do skanowania większych sieci, jednakŜe sprawuje się bardzo dobrze równieŜ w przypadku pojedynczych komputerów. Głównym załoŜeniem programu jest filozofia TMTOWTDI (there’s more than one way to do it — kaŜdą rzecz moŜna wykonać na wiele sposobów) znana uŜytkownikom Perla. Czasem (zwłaszcza w wypadku większych sieci) zaleŜy nam na prędkości skanowania, czasem zaś na wykonaniu skanu w tajemnicy. W niektórych przypadkach moŜe się okazać konieczne ominięcie firewalla, w innych zaś moŜe nam zaleŜeć na wykorzystaniu róŜnych protokołów (UDP, TCP, ICMP itd.). Wszystko to nie jest moŜliwe, gdy wykorzystujemy jeden tryb skanowania, ani teŜ gdy uŜywamy dziesięciu róŜnych programów, kaŜdego z innym interfejsem i moŜliwościami. Z tego powodu Nmap potrafi posłuŜyć się prawie kaŜdą znaną technologią skanowania. Nmap posiada równieŜ wiele opcji pozwalających dostosować jakość skanowania, włączając w to dynamicznie obliczane odstępy czasu pomiędzy poszczególnymi pakietami, skanowanie równoległe oraz wykrywanie niedostępnych (wyłączonych) komputerów za pomocą równoległych pingów. Nmap pozwala równieŜ bardzo elastycznie formułować listę komputerów i portów, ustalać sekwencję TCP w sposób moŜliwy do przewidzenia oraz przedstawiać wyniki w sposób łatwy do odczytania przez człowieka i przetworzenia przez maszynę.
112
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
113
Rysunek 4.10. Główne okno interfejsu programu Nmap
Program Nmap znajdziesz na CD-ROM-ie dołączonym do ksiąŜki.
SAFEsuite Windows NT, Solaris, Linux SAFEsuite (patrz rysunek 4.11) jest kolejną aplikacją wykrywającą „punkty zapalne” w sieci. Kompletny przegląd informacji o bezpieczeństwie przedsiębiorstwa zbiera w jednym miejscu i wiąŜe ze sobą dane z wielu róŜnych źródeł, pozwalając na czas podejmować właściwe decyzje.
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
113
114
Hack Wars. Tom 1. Na tropie hakerów
Rysunek 4.11. Internet Scanner naleŜący do pakietu SAFEsuite
SAFEsuite Decisions potrafi zbierać i łączyć ze sobą informacje z róŜnych źródeł w sieci, włączając w to programy Check Point FireWall-1, Gauntlet Firewall czy system wykrywania i przeciwdziałania włamaniom ISS RealSecure wraz ze skanerem ISS Internet Scanner. SAFEsuite Decisions automatycznie wykorzystuje dane, uzyskane za pomocą innych produktów, do obliczenia stopnia i profilu ryzyka bezpieczeństwa firmowej sieci. Dla przykładu luki w bezpieczeństwie znalezione za pomocą skanera internetowego oraz alarmy świadczące o obecności intruza w systemie, uzyskane przez program RealSecure naleŜący do pakietu SAFEsuite, mogą zostać ze sobą powiązane i w tenŜe sposób dostarczyć wartościowej informacji, zawierającej dane o komputerach podatnych na atak, jak równieŜ o tych, które są prawdopodobnie zaatakowane. Pakiet SAFEsuite znajduje się na CD-ROM-ie dołączonym do ksiąŜki.
Security Administrator’s Tool for Analyzing Networks (SATAN) Solaris, Linux, IRIX Security Administrator’s Tool for Analyzing Networks (SATAN), napisany przez Dana Farmera oraz Weite Vegema, jest reklamowany jako narzędzie mające pomóc administratorom sieci. Według Muffy Barkocy, konsultantki specjalizującej się w programie SATAN, program ten został utworzony na podstawie załoŜenia, Ŝe systemy komputerowe są coraz bardziej uzaleŜnione od kontaktu z siecią, stając się jednocześnie podatniejszymi na atak z zewnątrz. SATAN rozpoznaje podstawowe problemy związane z bezpieczeństwem komputera lub teŜ całej sieci i informuje o nich, jednakŜe bez wykonywania głębszych badań, mających na celu zweryfikowanie prawdziwości ich zagroŜenia. Dla kaŜdego rodzaju znalezionego problemu SATAN oferuje instrukcje zawierające opis oraz potencjalne skutki problemu, a następnie sposób przeciwdziałania, na przykład: czy poprawić błąd w pliku konfiguracyjnym,
114
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
115
zainstalować odpowiedni program korygujący, uŜyć innych sposobów uzyskania Ŝądanego poziomu bezpieczeństwa, czy teŜ po prostu wyeliminować usługę. SATAN zbiera informacje dostępne dla kaŜdego uŜytkownika posiadającego dostęp do sieci. Przy poprawnie skonfigurowanym firewallu liczba informacji moŜliwych do uzyskania dla uŜytkowników spoza obrębu chronionej sieci powinna być ograniczona do niezbędnego minimum. PobieŜne badanie przeprowadzone wraz z Muffy Barkocy dowiodły, Ŝe w sieciach posiadających kilkadziesiąt i więcej systemów SATAN nieuchronnie wykrywa problemy. NaleŜy jednak pamiętać, Ŝe społeczeństwo hakerskie rozpracowuje te tematy juŜ od dłuŜszego czasu. SATAN został napisany głównie w C oraz Perlu z panelami administracyjnymi przygotowanymi w HTML. Program, rozprowadzany w postaci plików *.tar.gz, jest kompatybilny z większością systemów uniksowych. Działania programu SATAN skupiają się na odnajdywaniu problemów związanych z demonami FTP, NFS, NIS, RSH, Sendmail oraz X Server, ale nie ograniczają się tylko do tego. W ciągu tygodnia od wprowadzenia pierwszej wersji programu SATAN pojawiła się poprawiona wersja oferująca m.in. obsługę innych platform (bsdi, ultrix, dg/ux) oraz rozwiązywanie powstałych problemów (pakiet zawiera na przykład rpcgen, ctime.pl, itp.). Poprawiono równieŜ wiele drobniejszych niedogodności i rozszerzono dokument FAQ (Frequently Asked Questions — najczęściej zadawane pytania). Dołączono podręcznik wyjaśniający, w jaki sposób bezpiecznie uŜywać programu SATAN.
UŜywając programu SATAN, hakerzy mogą skanować prawie kaŜdy system lub sieć podłączoną do Internetu. Systemy uniksowe są szczególnie wraŜliwe na te działania, gdyŜ bardzo często atakujący posługują się prostym schematem postępowania. Zdobywają dostęp do systemu. Zdobywają uprawnienia administratora systemu (root). Rozszerzają swój dostęp do innych systemów.
Administratorzy systemów uniksowych nie powinni się jednak tym zbyt mocno martwić, gdyŜ istnieją programy wykrywające działalność programu SATAN, do ich grona zaliczają się m.in. Courtney, Gabriel oraz wiele innych nakładek na protokół TCP.
Security Administrator’s Integrated Network Tool (SAINT) Security Administrator’s Integrated Network Tool (SAINT) jest poprawioną i wzbogaconą wersją programu SATAN, zaprojektowaną do szacowania bezpieczeństwa sieci komputerowych. W najprostszym trybie działania SAINT zbiera jak najwięcej informacji o zdalnych komputerach i sieciach, wykorzystując takie usługi jak finger, NFS, NIS, FTP, TFTP, rexd, statd i inne. Utworzony w ten sposób raport zawiera informacje o obecności róŜnych usług sieciowych, jak i listę ewentualnych problemów z bezpieczeństwem przez nie wywoływanych. UŜytkownik moŜe później analizować i wydawać kolejne polecenia za pomocą przeglądarki plików HTML, takiej jak na przykład Netscape czy Lynx. Mimo Ŝe program jest skonstruowany głównie do analizy implikacji rezultatów przeprowadzonych badań, moŜliwe jest
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
115
116
Hack Wars. Tom 1. Na tropie hakerów
uzyskanie wielu dodatkowych, lecz bardzo waŜnych danych dotyczących sieci — jej topologii, rodzaju sprzętu i oprogramowania uŜytego przy jej budowie oraz innych. NajwaŜniejszym atutem przemawiającym na korzyść programu SAINT jest specjalny tryb działania, w którym, na podstawie danych i zbioru zasad ustalonych przez uŜytkownika, jest przeprowadzana analiza zaleŜności dotyczących bezpieczeństwa między wieloma komputerami i usługami. Pozwala to uŜytkownikowi nie tylko przeanalizować bezpieczeństwo własnej sieci, lecz takŜe przetestować zaleŜności wynikające z róŜnego stopnia bezpieczeństwa komputerów i usług w sieci, a co za tym idzie, podejmować odpowiednie decyzje w celu uzyskania właściwego zbalansowania bezpieczeństwa i uŜyteczności sieci. Zarówno SAINT, jak i SATAN znajdują się na CD-ROM-ie dołączonym do ksiąŜki. Mogą być one pobrane równieŜ przez Internet z podanych niŜej adresów.
Ameryka Północna: http://www.wwdsi.com/saint/ ftp://ftp.mcs.anl.gov/pub/security ftp://coast.cs.purdue.edu/pub/tools/unix/scanners ftp://ftp.acsu.buffalo.edu/security/satan-1.1.1.tar.Z ftp://ftp.net.ohio-state.edu/pub/security/satan/satan-1.1.1.tar.Z ftp://ftp.cerf.net/pub/software/unix/security/ ftp://ftp.tisl.ukans.edu/pub/security/satan/satan-1.1.1.tar.Z ftp://ciac.llnl.gov/pub/ciac/sectools/unix/satan/
Australia: ftp://coombs.anu.edu.au/pub/security/satan/
Europa: ftp://ftp.luth.se/pub/unix/security/satan-1.1.1.tar.Z ftp://ftp.luth.se/pub/unix/security/satan-1.1.1.tar.Z ftp://ftp.cert.dfn.de/pub/tools/net/satan/satan-1.1.1.tar.Z
Tiger Tools Windows 9x/NT/2000, OS/2, Mac, Linux, Solaris Pakiet TigerSuite, będący kompletnym zestawem narzędzi w dziedzinie bezpieczeństwa, jest przez niektórych oceniany jako najlepszy w swojej klasie. W testach, przeprowadzonych przez autora tej ksiąŜki, porównujących pakiet Tiger Tools z innymi popularnymi komercyjnymi programami tej klasy czas wykonania prostego
116
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
117
skanu 1000 portów pięciu róŜnych systemów wynosił poniŜej minuty dla programu Tiger Tools w porównaniu do średniej wynoszącej ok. 35 minut dla pozostałych programów. Pakiet ten posiada zestaw specyficznych funkcji, opisanych poniŜej. Pakiet TigerSuite, opisany szczegółowo w rozdziale 11, jest dostępny na CD-ROM-ie dołączonym do tej ksiąŜki.
Local Analyzer Local Analyzer jest zestawem narzędzi zaprojektowanym do przeprowadzania badań, analiz i ocen w sieci lokalnej, do której naleŜy komputer z zainstalowanym pakietem. Zawiera między innymi moduły: Virus/Trojan Analysis, File Information, Compare, Sysinfo, Resource Exploration, DBF View/Edit, DiskInfo, Copy Master.
Narzędzia te moŜe wykorzystywać kaŜdy system pozostający w granicach sieci, mogą być uŜywane poprzez pakiet Tiger Tools, lecz w tym przypadku trzeba je zainstalować na tym samym komputerze, na którym pracuje pakiet. Pozwala to upewnić się, Ŝe system jest „czysty” i gotowy do analizy.
Network Discovery Ten podzestaw narzędzi zawiera te z nich, które są uruchamiane w celu odnalezienia, zidentyfikowania oraz skatalogowania obszarów i punktów wewnątrz sieci podatnych na atak. Zestaw ten zawiera następujące narzędzia: Ping, Port Scanner, IP Scanner, Site Discovery, Network Port Scanner, Proxy Scanner, Trace Route,
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
117
118
Hack Wars. Tom 1. Na tropie hakerów Telnet, NSLookup, DNS Query, NetStat, Finger, Echo, Time, UDP, Mail List Verify, HTTPD Benchmark, FTP Benchmark.
Network Discovery pozwala administratorowi uzyskać bardzo dokładną listę luk w bezpieczeństwie sieci. Następnie moŜe on odwołać się do informacji zawartych w Tiger Tools 2000 InfoBase, gdzie dowie się, jakie są zalecane działania w zaleŜności od skali i charakteru znalezionych problemów.
Tiger Tools Attack Pakiet Tiger Tools Attack składa się z narzędzi słuŜących do testowania sieci i poszczególnych systemów przez przypuszczanie lub symulowanie ataku na róŜne usługi w sieci za pomocą mniej lub bardziej wyspecjalizowanych programów, które wymieniamy poniŜej: Penetrator, WinNuke, MailBomber, Bruteforce Generator, Finger, Sendmail, Buffer Overload, CRC, Spammer, HTTP Crack, FTP Crack, POP3 Crack, Socks Crack, SMB Passwd Check, Unix Password Check,
118
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
119
Zip Crack, Rar Crack, CGI Check, Trojan Scan.
Za pomocą tych narzędzi moŜna wygenerować róŜne rodzaje ataków z moŜliwością przełamania bariery bezpieczeństwa i penetracją testowanego systemu włącznie. Tego rodzaju testy są bardzo przydatne, choćby z tego powodu, Ŝe pozwalają stwierdzić, czy zastosowane zasady bezpieczeństwa są wystarczające oraz przestrzegane. Informacja ta pomaga podjąć odpowiednie kroki w celu poprawienia bezpieczeństwa badanego systemu komputerowego lub całej sieci.
What’sUp Windows Program What’sUp Gold (patrz rysunek 4.12) pozwala w czasie rzeczywistym monitorować działanie sieci, udostępniając jednocześnie wiele róŜnych sposobów komunikacji. Rysunek 4.12. Interfejs uŜytkownika programu What’sUp Gold
W wypadku powstania problemu zostaje wszczęty alarm, o którym informacja moŜe zostać wysłana na podany przez uŜytkownika adres e-mail lub pager. Dzięki takiemu sposobowi powiadamiania w wypadku zaistnienia jakiegokolwiek problemu moŜliwe jest szybkie, wręcz automatyczne, uruchomienie działań zapobiegawczych, zanim problem rozszerzy się i pogłębi, powodując konieczność podjęcia bardzo kosztownej decyzji o wyłączeniu serwera. Przyjazny interfejs programu What’sUp Gold pomaga uŜytkownikowi w przygotowaniu mapy sieci i urządzeń sieciowych, dodawaniu do niej nowych usług, wyszczególnianiu tych, które będą obserwowane, oraz w
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
119
120
Hack Wars. Tom 1. Na tropie hakerów
konfigurowaniu alarmów. W dowolnym momencie uŜytkownik moŜe skorzystać z narzędzia do skanowania, uruchamianego kliknięciem ikony skanowanego komputera prawym klawiszem myszy. Program oferuje wiele innych narzędzi dostępnych z poziomu menu aplikacji, niektóre z nich wymieniamy poniŜej. Info. Wyświetla sumaryczne informacje o sieci i urządzeniach sieciowych, włącznie z nazwą sieciową, adresem IP oraz informacjami kontaktowymi (pozyskiwanymi z bazy danych usługi Whois). Time. Jego zadaniem jest wysyłanie zapytań do serwerów czasu na całym świecie, na ich podstawie moŜna potem precyzyjnie ustawić wewnętrzny zegar systemu komputerowego. HTML. SłuŜy do wysyłania zapytań do serwerów WWW, pozwala wyświetlać pełne dane nagłówka oraz zawartość strony. Ping. Działa podobnie jak program systemowy o tej samej nazwie — wysyła do badanego komputera pakiety ICMP w celu zmierzenia i wyświetlenia czasu, koniecznego do przesłania pakietu w obie strony. TraceRoute. Wyświetla trasę, którą podróŜują pakiety ICMP do określonego miejsca w sieci. Lookup. Pozwala na formułowanie własnych zapytań do systemu tłumaczenia nazw DNS uŜywanego przez system, na którym jest uruchomiony program What’sUp. UŜytkownik programu moŜe wprowadzić adres IP dowolnego komputera, uzyskując w efekcie oficjalną nazwę komputera w Internecie, lub na odwrót — podać nazwę komputera, by uzyskać jego adres IP. Finger. Bada komputer, uŜywając do tego protokołu finger. UŜytkownik wprowadza nazwę komputera, a następnie, o ile jest to moŜliwe, uzyskuje listę uŜytkowników aktualnie pracujących na próbkowanym komputerze. Whois. SłuŜy do odnajdywania informacji o sieciach i uŜytkownikach, wykorzystując do tego bazy danych udostępniane przez dostawców usług internetowych. LDAP. Wyświetla nazwy uŜytkowników i ich adresy poczty elektronicznej na systemach obsługujących LDAP. Quote. Wyświetla tzw. „temat dnia” tych zdalnych komputerów, które posiadają aktywną usługę Quote. Scan. Pozwala skanować wybrany przedział adresów IP w sieci, a następnie sporządza mapę rezultatów. Za pomocą tego narzędzia moŜna zidentyfikować róŜne usługi systemowe (tzn. SMTP, FTP, HTTP, Telnet itp.) ewentualnie występujące na badanych komputerach. SNMP. Wyświetla konfigurację sieci oraz inne dodatkowe informacje uzyskane z komputerów i urządzeń wykorzystujących protokół SNMP. WinNet. Podaje informacje o sieci lokalnej, do której naleŜy uŜytkownik.
120
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
121
Throughput. Sprawdza przepustowość wybranego połączenia, wysyłając ustaloną liczbę pakietów o rosnącym rozmiarze. Wersję testową programu What’sUp moŜna pobrać na stronie www.ipswitch.com.
Przykładowy skan Na początku rozdziału przeprowadziliśmy krótkie rozpoznanie (podczas którego znaleźliśmy adres sieci interesującej nas firmy). Teraz, gdy juŜ poznaliśmy i zgromadziliśmy właściwe narzędzia, przeprowadzimy skanowanie tejŜe sieci. Będzie to zaledwie pobieŜny skan, którego celem jest odnalezienie aktywnych adresów w sieci (tzn. takich, które wskazują na istniejący system) oraz otwartych portów. Hakerzy zwykle nie spędzają duŜo czasu na wykonywaniu skanów oraz testowaniu podatności usług na róŜnorodne ataki, gdyŜ mogłoby to doprowadzić do ujawnienia ich działalności. Skanowanie rozpoczniemy, zakładając, Ŝe sieć w całości naleŜy do klasy C (informacje o rodzajach klas sieci znajdują się w rozdziale pierwszym). Ustawimy skaner tak, by badał adresy w zakresie od 206.0.126.1 do 206.0.126.254 składające się na sieć z 24-bitową maską podsieci (255.255.255.0). Z uprzednio przeprowadzonego rozpoznania mamy adresy kilku usług, a mianowicie: www
www.xyzinc.com
206.0.126.10
mail
mail.xyzinc.com
206.0.126.11
ftp
ftp.xyzinc.com
206.0.126.12
Pierwsze podejście wykonamy z największą prędkością, skanując porty w zakresie 1 do 1000. 206.0.126.1
206.0.126.95
206.0.126.157
206.0.126.8
206.0.126.96
206.0.126.158
206.0.126.10:80
206.0.126.97
206.0.126.159
206.0.126.11
206.0.126.110
206.0.126.168
206.0.126.22
206.0.126.111
206.0.126.172
206.0.126.23
206.0.126.112
206.0.126.173
206.0.126.25
206.0.126.113
206.0.126.175
206.0.126.27
206.0.126.114
206.0.126.177
206.0.126.28
206.0.126.115
206.0.126.179
206.0.126.29
206.0.126.116
206.0.126.183
206.0.126.30
206.0.126.117
206.0.126.186
206.0.126.33
206.0.126.118
206.0.126.200
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
121
122
Hack Wars. Tom 1. Na tropie hakerów 206.0.126.35
206.0.126.119
206.0.126.201
206.0.126.39
206.0.126.120
206.0.126.203
206.0.126.44
206.0.126.121
206.0.126.206
206.0.126.49
206.0.126.122
206.0.126.207
206.0.126.53
206.0.126.123
206.0.126.221
206.0.126.54
206.0.126.124
206.0.126.222
206.0.126.55
206.0.126.125
206.0.126.223
206.0.126.56
206.0.126.126
206.0.126.224
206.0.126.61
206.0.126.127
206.0.126.225
206.0.126.62
206.0.126.128
206.0.126.231
206.0.126.63
206.0.126.129
206.0.126.236
206.0.126.64
206.0.126.130
206.0.126.237
206.0.126.65
206.0.126.131
206.0.126.238
206.0.126.66
206.0.126.133
206.0.126.239
206.0.126.67
206.0.126.136
206.0.126.240
206.0.126.69
206.0.126.137
206.0.126.241
206.0.126.70
206.0.126.141
206.0.126.243
206.0.126.86
206.0.126.142
206.0.126.245
206.0.126.87
206.0.126.143
206.0.126.247
206.0.126.89
206.0.126.153
206.0.126.249
206.0.126.92
206.0.126.154
206.0.126.250
206.0.126.93
206.0.126.155
206.0.126.251
206.0.126.94
206.0.126.156
W wyniku pierwszego skanu otrzymaliśmy ponad 104 aktywne adresy. Aby potwierdzić hipotezę o odnalezieniu szeregu aktywnych adresów, powtórzymy skanowanie, tym razem jednak ustawiając parametr time-out w granicach 2 sekund. To powinno wystarczyć do znalezienia większej ilości otwartych portów.
122
206.0.126.1:23, 161, 162
206.0.126.94
206.0.126.155
206.0.126.8:7, 11, 15, 19, 21, 23, 25,80, 110, 111
206.0.126.95
206.0.126.156
206.0.126.10:21, 23, 80
206.0.126.96
206.0.126.157
206.0.126.11:25, 110
206.0.126.98
206.0.126.158
206.0.126.22
206.0.126.110
206.0.126.159
206.0.126.26
206.0.126.111
206.0.126.169
206.0.126.27
206.0.126.112
206.0.126.172
206.0.126.28
206.0.126.113
206.0.126.173
206.0.126.29
206.0.126.114
206.0.126.176
206.0.126.30:21, 80
206.0.126.116
206.0.126.177
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
123
206.0.126.31
206.0.126.117
206.0.126.201
206.0.126.37
206.0.126.118
206.0.126.203
206.0.126.39
206.0.126.119
206.0.126.206
206.0.126.44
206.0.126.120
206.0.126.207
206.0.126.49
206.0.126.122
206.0.126.221
206.0.126.53
206.0.126.123
206.0.126.222
206.0.126.54
206.0.126.124
206.0.126.223
206.0.126.59
206.0.126.125
206.0.126.224
206.0.126.61
206.0.126.126
206.0.126.225
206.0.126.62
206.0.126.127
206.0.126.231
206.0.126.63
206.0.126.128
206.0.126.236
206.0.126.64
206.0.126.129
206.0.126.237
206.0.126.65
206.0.126.130
206.0.126.238
206.0.126.66
206.0.126.131
206.0.126.239
206.0.126.67
206.0.126.133
206.0.126.240
206.0.126.69
206.0.126.136
206.0.126.241
206.0.126.77
206.0.126.137
206.0.126.243
206.0.126.82
206.0.126.141
206.0.126.247
206.0.126.87
206.0.126.142
206.0.126.249
206.0.126.89:7, 11, 21, 23, 25, 80, 110, 111
206.0.126.144
206.0.126.250
206.0.126.92
206.0.126.153
206.0.126.93
206.0.126.154
Przyjrzyjmy się teraz wynikom naszego drugiego skanu i porównajmy je z uzyskanymi poprzednio. Kluczowymi dla nas adresami (ze względu na otwarte porty) są: 206.0.126.1:23, 161, 162 206.0.126.8:7, 11, 15, 19, 21, 23, 25, 80, 110, 111 206.0.126.10:21, 23, 80 206.0.126.11:25, 110 206.0.126.30:21, 80 206.0.126.89:7, 11, 21, 23, 25, 80, 110, 111 Pozostałe adresy są najwyraźniej adresami przydzielanymi dynamicznie, moŜliwe, Ŝe za pomocą protokołu NAT (Network Address Translation) przez firewall lub router. Lista tych adresów róŜni się odrobinę od listy uzyskanej przy pierwszym skanowaniu. Nieobecność aktywnych portów, tak jak i róŜnice w liście aktywnych adresów, mogą być (i prawdopodobnie są) wskazówką, Ŝe adresy te przynaleŜą do zwykłych szeregowych uŜytkowników korzystających z Internetu.
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
123
124
Hack Wars. Tom 1. Na tropie hakerów
NAT jest procesem zamieniania prywatnych adresów uŜywanych wewnątrz sieci na adresy z puli uŜywanej w sieci Internet. Administratorzy wykorzystują takie rozwiązanie z róŜnych powodów, m.in. dla poprawienia bezpieczeństwa, oraz wtedy, gdy łatwiej przeprowadzić konwersję adresów niŜ zmieniać adresy poszczególnym komputerom. Innym powodem moŜe być ograniczona ilość przyznanych adresów przez dostawcę usług internetowych.
Przyjrzyjmy się teraz dokładniej kluczowym adresom w sieci i usługom, które wydają się być na nich aktywne: 206.0.126.1:23, 161, 162 Port 23: Telnet. Demon umoŜliwiający zdalne wykonywanie poleceń, a w szczególności administrację komputerem przez Internet. Pozwala czasem hakerowi uzyskać dodatkowe informacje przydatne podczas przygotowywania ataku. Port 161/162: SNMP. Wielu administratorów zezwala na odczyt i zapis do tych portów, zwykle uŜywając prostego hasła dającego się łatwo złamać. MoŜna przypuszczać, Ŝe port ten naleŜy do zewnętrznego interfejsu sieciowego routera. Administratorzy bardzo często uŜywają adresu IP z końcówką .1 jako adresu routera. Bardzo często teŜ jedynym aktywnym portem na takim serwerze jest port 23 (Telnet) słuŜący do zdalnej administracji. Później dokładniej zbadamy ten adres, jako Ŝe opanowanie routera niesie ze sobą bardzo duŜe moŜliwości rozprzestrzenienia dostępu do pozostałych komputerów w sieci. Niektórzy hakerzy wykorzystują po prostu konto u dostawcy usług internetowych do sprawdzenia zachowania się routera, w przypadku połączenia Telnetem (patrz rysunek 4.13).W systemach Windows 95/98/NT/2000 klient Telnet jest dostępny z linii poleceń lub przez Start/Run po wydaniu polecenia „telnet”. Rysunek 4.13. Za pomocą Telnetu udało się stwierdzić, Ŝe badany adres (206.0.126.1) naleŜy do routera Cisco
Jak widać na rysunku, badany adres (206.0.126.1) naleŜy do routera Cisco (moŜna to poznać po charakterystycznym sposobie logowania). Natomiast o drugim adresie moŜemy powiedzieć, Ŝe jest związany z jakimś serwerem opartym na systemie uniksowym. W wyniku skanowania udało się nam odnaleźć wiele aktywnych usług: 206.0.126.8:7, 11, 15, 19, 21, 23, 25, 80, 110, 111
124
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
125
Port 7: echo. Moduł ułatwiający testowanie połączeń internetowych. Jego zadanie polega na odpowiadaniu nadawcy na otrzymane pakiety, dzięki czemu moŜe on na przykład ustalić czas podróŜowania pakietów z miejsca przeznaczenia i do niego. NajwaŜniejszym narzędziem wykorzystującym tę usługę jest PING. Port 11: systat. Systat jest usługą uniksową dającą moŜliwość zdalnego sprawdzania listy uruchomionych procesów. Z tych informacji haker moŜe uzyskać dane o uruchomionych w systemie programach, dzięki czemu moŜe wśród nich znaleźć na przykład ten, który powoduje lukę w bezpieczeństwie systemu, a następnie spróbować go zaatakować. Port 15: netstat. Polecenie netstat pozwala wyświetlić informacje o stanie połączeń i interfejsów sieciowych — MTU, MAC, IP itd. Z niektórych informacji uzyskanych w ten sposób haker moŜe wyciągać wnioski o zaleŜnościach pomiędzy róŜnymi komputerami w sieci, jak i róŜnymi sieciami. Port 19: chargen. Usługa chargen słuŜy do generowania strumienia znaków słuŜących do testowania poprawności transmisji danych. Istnieją sposoby wykorzystania tego faktu. Jednym z nich jest moŜliwość wykonania pętli między usługą echo a usługą chargen, w efekcie czego moŜe nastąpić przeciąŜenie. NaleŜy zauwaŜyć, Ŝe w tym przypadku atak wcale nie musi być wykonany z adresu naleŜącego do podsieci atakowanego komputera. Port 21: FTP. Otwarty port usługi FTP moŜe pomóc hakerowi, o ile uda mu się uzyskać nazwę i numer wersji demona obsługującego serwer. Mając te dane, moŜna próbować znaleźć w Internecie informacje o ewentualnych błędach w tej wersji serwera, a następnie uŜyć ich do wdarcia się w system ofiary. Port 23: Telnet. Demon umoŜliwiający zdalne wykonywanie poleceń, a w szczególności administrację komputerem przez Internet. Pozwala czasem hakerowi uzyskać dodatkowe informacje przydatne podczas przygotowywania ataku. Port 25/110: SMTP/POP3. Posługując się portami protokołów SMTP (25) oraz POP3 (110), haker moŜe wykorzystać usługi pocztowe na przykład do wysyłania bomb pocztowych, podszywając się pod innych uŜytkowników, lub po prostu uniemoŜliwić im korzystanie z tych usług. Port 80: HTTP. Obecność uruchomionego demona HTTP wskazuje na aktywną usługę serwera WWW. Port ten moŜna nazwać „otwartymi drzwiami” dla róŜnego rodzaju naduŜyć i włamań do systemu serwera, gdyŜ regułą jest, Ŝe demony serwerów HTTP mają wiele problemów z zachowaniem właściwego stopnia bezpieczeństwa, pozwalając w niektórych sytuacjach zdalnie uruchamiać programy, eksplorować drzewo katalogów i plików, kopiować i usuwać pliki, wykonywać róŜnego rodzaju skrypty, czy po prostu podmieniać oryginalne strony WWW stronami zaprojektowanymi przez hakera. Port 111: Portmap. Usługa ta pozwala klientom RPC zdalnie łączyć się z serwerami RPC. Przy uŜyciu tej usługi moŜliwe jest uzyskanie informacji o niektórych lukach w bezpieczeństwie systemu.
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
125
126
Hack Wars. Tom 1. Na tropie hakerów
Oczywiste jest, Ŝe mamy do czynienia z serwerem uniksowym, prawdopodobnie skonfigurowanym przez początkującego administratora. Statystyki wskazują, Ŝe ponad 89 procent wszystkich sieci połączonych z Internetem jest podatna na włamania. Następnym systemem jest ten, o którym, z poprzednio przeprowadzonego rozpoznania, wiemy, Ŝe jest serwerem WWW badanej firmy. 206.0.126.10:21, 23, 80 Port 21: FTP. Otwarty port usługi FTP moŜe pomóc hakerowi, o ile uda mu się uzyskać nazwę i numer wersji demona obsługującego serwer. Mając te informacje, moŜe próbować znaleźć w Internecie informacje o ewentualnych błędach tej wersji serwera, a następnie zastosować je w celu wdarcia się do systemu ofiary. Port 23: Telnet. Demon umoŜliwiający zdalne wykonywanie poleceń, a w szczególności administrację komputerem przez Internet. Pozwala czasem hakerowi uzyskać dodatkowe informacje przydatne podczas przygotowywania ataku. Port 80: HTTP. Obecność uruchomionego demona HTTP wskazuje na aktywną usługę serwera WWW. Port ten moŜna nazwać „otwartymi drzwiami” dla róŜnego rodzaju naduŜyć i włamań do systemu serwera, gdyŜ regułą jest, Ŝe demony serwerów HTTP mają wiele problemów z zachowaniem właściwego stopnia bezpieczeństwa, pozwalając w niektórych sytuacjach zdalnie uruchamiać programy, eksplorować drzewo katalogów i plików, kopiować i usuwać pliki, wykonywać róŜnego rodzaju skrypty, czy po prostu podmieniać oryginalne strony WWW stronami zaprojektowanymi przez hakera. RównieŜ i w przypadku kolejnego serwera znamy jego przeznaczenie z poprzednio przeprowadzonego rozpoznania. Uzyskaliśmy wtedy informację, Ŝe pełni on rolę serwera pocztowego, co potwierdzają odkryte porty POP3 oraz SMTP. 206.0.126.11:25, 110 Port 25/110: SMTP/POP3. UŜywając portów protokołów SMTP (25) oraz POP3 (110), haker moŜe wykorzystać usługi pocztowe na przykład do wysyłania bomb pocztowych, podszywając się pod innych uŜytkowników, lub po prostu uniemoŜliwić uŜytkownikom korzystanie z tych usług. Natomiast kolejny z odkrytych aktywnych serwerów wydaje się być nader interesujący. Podczas poprzedniego skanowania ujawnił się jedynie otwarty port 80, natomiast w drugim udało się wykryć dodatkowo otwarty port FTP (21), czego przyczyną moŜe być na przykład błędnie skonfigurowany pakiet do zdalnej administracji serwerem (wiele takich programów posiada interfejsy w postaci stron WWW). 206.0.126.30:21, 80 Ostatni ze znalezionych aktywnych adresów wygląda na kolejny uniksowy serwer. 206.0.126.89:7, 11, 21, 23, 25, 80, 110, 111
126
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
Rozdział 4. ♦ Techniki rozpoznania i skanowania
127
Dla tych, którzy nie mają dostępu do serwerów, utworzono narzędzie imitujące ich działanie. Narzędziem tym jest TigerSim (rysunek 4.14) naleŜący do pakietu TigerSuite. Tak jak pozostałe elementy, TigerSim jest dostępny na CD-ROM-ie dołączonym do ksiąŜki. Przy uŜyciu tego narzędzia moŜna symulować działanie podstawowych usług sieciowych, takich jak serwer pocztowy, WWW, FTP czy Telnet. Jest to oczywiście nieoceniona pomoc przy nauce budowania i wykorzystywania zasad bezpieczeństwa. W rozdziale 11. omówimy dokładniej wykorzystanie metod skanowania we współpracy z symulatorem TigerSim. Rysunek 4.14. TigerSim — symulator usług
D:\KISIU\PDFy\Chudy\KsiąŜki\Hack_Wars_Tom_1\Hack_Wars_Tom_1\04.doc
127
