книги хакеры / журнал хакер / 073_Optimized

После трех заветных команд копируй все файлы из каталога snort-2.3.0RC1/etc в /etc/snort и приступай к редактированию /etc/snort/snort.conf.

В конфиге тебя интересует всего несколько опций. Во-первых, укажи ip-адрес сети, которую будет обслуживать IDS. Это делается путем правки строки «var HOME_NET». Если ты записал в качестве сети ранжир ip-ад- ресов, то будь любезен оговорить назначе- ние серверов в директивах DNS_SERVERS, SQL_SERVERS, SMTP_SERVERS и т.п. К каждому из этих сервисов привязывается свой список правил, согласно которым будет обнаруживаться та или иная атака.

Теперь переходи к третьей части конфигурационного файла и указывай способ записи собранной информации. Здесь возможно использование как баз данных, так и класси- ческого syslogd. Прочитай комментарии и используй указанные примеры - думаю, с этим у тебя проблем не возникнет.

Наконец, самая последняя часть конфига описывает подключаемые плагины. Я советую применить абсолютно все файлы с правилами, а если будут замечены ложные записи в журналах, закомментируй один из рулесов. Именно так я делал при испытании и обкатке Snort’а. Да, и не забудь определить переменную PATH_RULES (ее назначение додумай сам :)).

2. Возможности

Как я уже сказал, возможности Snort впе- чатляют. Он может обнаружить передачу шеллкода по любому порту, stealth-сканиро- вание, эксплуатирование различных сервисов, всевозможные признаки DoS-атак и даже неудачные попытки аутентификации на различных сервисах. Однако весомый недостаток Snort - пассивность этой системы. То

есть максимум, что может IDS, - записать событие в лог-файл. Если ставишь Snort, то будь готов к ежедневному просмотру логов.

3. Обход IDS

Чтобы обойти Snort, особого ума не надо. Во-первых, если хакер использует проксисервер, то логирование адреса не даст ис- черпывающей информации. Во-вторых, хакер, внедрившийся в систему, сможет аккуратно подтереть логи, и админ даже не догадается о присутствии злоумышленника. И наконец, Snort успел отметиться в списке бажных приложений. Для ранних версий IDS есть свои эксплойты, приводящие к удаленному взлому системы.

4. Советы администратору

Исходя из вышеперечисленных недостатков, можно посоветовать сисадмину вести более умное логирование попыток взлома. То есть писать логи на стороннюю машину, где установлен сетевой syslogd или какаянибудь СУБД. Это, конечно, не остановит хакера, но так ты хоть будешь знать, с какого адреса поломали твой сервер :).

СТАРЫЙ И НАДЕЖНЫЙ PORTSENTRY

Только что мы познакомились с представителем пассивно-сетевых IDS. Пришло время перейти к активной стороне. Как ты знаешь, в мире существует незабываемая программа PortSentry из комплекта SentryTools. Ее задача - отлавливать и блокировать сканирование портов. Я подчеркиваю, что эта система не только журналирует попытку сканирования, но и блокирует ее, то есть является активной IDS. Рассмотрим прелести этой системы обнаружения атак подробнее.

1. Установка

Чтобы не заморачиваться с компиляцией, рекомендую стянуть уже собранные бинарники (www.tripwire.org/files/tripwire-2.3-47.bin.tar.gz).

Единственный минус этого способа - уже собранный проект весит 2,5 метра против 400 Кб в ASCII-виде. В архиве ты найдешь каталог policy. Переходи туда и открывай twpol.txt. Этот файл служит для конфигурации политики IDS. Открой его и найди слово «rulename». Нашел? Замечательно! Поставь запятую после директивы severity, перейди на новую строку и впиши: «emailto = твой@почтовый.адрес». И так для каждого правила. Если ты еще не понял, эта фича нужна для того, чтобы IDS слала тебе отчет на почту после каждого сканирования. Здесь же можешь ознакомиться со списком файлов, которые проверяются системой обнаружения атак, и изменить его.

После разборок с политикой переходи в корневой каталог архива и пиши: «./install.sh». Инсталлятор ознакомит тебя с лицензией, попросит подтвердить отсутствие возражений, а затем спросит у тебя парочку ключиков - local и site. Запомни их и никогда не забывай, иначе не сможешь изменить политику IDS.

Теперь можно инициализировать базу TripWire. Это делается командой tripwire -m -i.

2. Возможности

Tripwire создан для того, чтобы осуществлять аудит системных файлов и оповещать администратора в случае их изменения. После каждого сканирования на e-mail сисадмина приходит отчет, из которого легко определить, кто и когда трогал критические системные файлы.

Как я уже говорил, tripwite использует внутренний алгоритм шифрования своих конфигов с помощью ключей. Все это добро находится в каталоге /etc/tripwire. Если тебе захотелось изменить политику IDS, выполни запрос «trip-

wire -m p --policy path/to/new/policy». Бинарник спросит у тебя два ключа и в случае их соответствия обновит конфигурационные файлы.

3. Обход IDS

Обойти малютку tripwire непросто. Как-то раз я поднял привилегии на удаленной машине, залил туда руткит и обнаружил в файлах кронтаба, что каждые 12 часов запускается IDS. Исходя из факта, что local/site-клю- чей я не знал, изменить политику было невозможно. Пришлось искать на винте дистрибутив IDS, в котором, кстати сказать, находился файлик с действующей политикой, и слегка изменять конфиги. Я убрал из списка все затрояненные бинарники и переконфигурировал IDS. Что касается ключей, то они, естественно, стали другими. Однако прием сработал и админ не сразу догадался, что его сервер протроянили.

4. Советы администратору

Сканирование стратегических файлов

Ознакомиться с внушительным списком всех известных IDS ты сможешь на желтых страницах www.opennet.ru/pr og/sml/85.shtml.

Прежде чем запускать IDS в автоматическом режиме, удостоверься, что проверка действительно работает. Для этого намеренно измени системный файл и проанализируй реакцию системы.

Многие баги из этого списка очень устарели

Однако пару-тройку лет назад этот комплект был здорово популярен и долго скрывался от глаз непосвященных скрипткидисов, чтобы те не занимались произволом.

2. Mscan by jsbach

(http://kamensk.net.ru/forb/1/x/aroot/mscan.tar.gz).

Еще один старенький авторутер, который я использовал сам несколько лет назад. Примечательно, что этот комплект фактически не добывает рута на удаленных машинах, а лишь сканирует сервер на наличие известных багов. Возможности комплекта впечатляют, и, несмотря на потерю актуальности уязвимостей, этот массрутер можно использовать для некоторых целей и в наши дни. Рассмотрим подробнее, что умеет mscan:

Mscan годен к использованию даже сейчас

Находить и определять уязвимые CGIприложения. Из README можно узнать, о каких скриптах идет речь, но, честно говоря, меня этот список не особо впечатлил, так как баги безбожно устарели.

Определять сервера с открытыми иксами, Finger-сервисами (с последующей добы- чей информации), Wingates, вычислять версию named, делать OS fingerprint и т.д.

Ознакомившись с этими возможностями, я мысленно сравнил mscan со сканером nmap и пришел к выводу, что они чем-то похожи, только mscan имеет немного хакерский уклон :).

3. Lpd autorooter by dave (http://kamensk.net.ru/forb/1/x/aroot/lpd.c).

Баг в линуксовом lpd, который был открыт в 2000 году, наделал много шума. Вслед за действующими эксплойтами хакеры написали авторутер, который получил название lhlpd. Он поставлялся в виде одного c-фай- ла, включающего в себя портативный сканер

Модный пропатченный эксплойт :)

и пропатченный эксплойт. При успешной эксплуатации бинарник с помощью xinetd открывал порт 24452 и записывал удачную попытку в логфайл.

4. RPC-DCOM Autorooter (http://kamensk.net.ru/forb/1/x/aroot/kath2.zip).

Пришло время поговорить о свежаке. Сравнительно недавно мир узнал об уязвимости RPC DCOM, приводящей к фатальным последствиям. Вслед за первыми эксплойтами вышел виндовый авторутер под названием KAHT. Многие хакеры юзали это творение, наслаждаясь его возможностями. Для танкистов напомню, что KAHT позволяет сканировать диапазон айпишников в поисках машин с открытым 135 портом. Как только сканер нащупывает открытый порт, он заливает шеллкод и получает права администратора на удаленной системе. Помимо этого, хакерский проект поддерживает макросы и поставляется открытым исходным кодом. Словом, рай для windows-хакера. Кстати, это первый публич- ный авторутер для NT-систем :).

ЛАБОРАТОРНЫЙ ПРАКТИКУМ

Теперь, когда стало ясно, что такое авторутер, и ты познакомился с большей частью известных хакерских проектов, я могу рассказать о том, как я писал свой собственный массрутер.

Мотивация для этого на самом деле огромная. Представь: я скачал эксплойт для хитового бага, в течение вечера внедрил в него сканер портов и продал массрутер, получив в итоге несколько сотен зеленых президентов. Разумеется, никто мне не запрещает использовать свое творение и в личных целях, чтобы без особых усилий порутать десяток бажных машин. Звучит заманчиво, не правда ли? Вот и мне так показалось :).

В качестве примеров, которые я сегодня буду подробно разбирать, решено было использовать известные баги в FTP-серверах. Думаю, догадаться, о каких демонах я говорю, нетрудно. Конечно же, это proftpd и wuftpd :). Для каждого сервиса существует публичный рабочий эксплойт, который нужно

Чтобы добавить новый эксплойт в комплект авторутера, тебе необходимо слегка пропат- чить файл control.pl (процедуру match_banner), а также скрипт start.

Ознакомиться с принципом работы авторутеров можно в статье www.securitylab.ru/32930.ht ml. Здесь же описаны методы противодействия атаке с применением массрутеров.

Помимо добавления юзера с нулевым уидом, можно попытаться открыть шелл на порту либо вообще залить руткит на машину. Все в твоих руках!

Не стоит забывать, что все действия хакеров противозаконны и эта статья предназначена лишь для организации правильной защиты. За применение материала в незаконных целях автор и редакция ответственности не несут.

ХАКЕРСКИЙ КОНВЕЙЕР

переделать в непосредственную часть будущего авторутера.

Первым делом я занялся пластической операцией сплойта для proftpd2, который скачал по ссылке www.securitylab.ru/_exploits/proftpd2.c.txt. Открыв его в любимом редакторе, я нашел строку «send(shellSock, buf, strlen(buf), 0);» и вставил после нее две дополнительные операции:

send(shellSock, "/bin/echo ph33r:x:0:0::/:/bin/sh >> /etc/passwd",47,0);

send(shellSock, "/bin/echo ph33r:DDv1PnT.wPPY6::::::: >> /etc/shadow",51,0);

r = 0;

С помощью первой строки я отправил в сокет команду на добавление юзера в файл /etc/passwd. При этом пользователь должен иметь нулевой уид и валидный шелл. Во второй строке этот же пользователь добавляется в /etc/shadow, причем его пароль определяется как ph33r. После всего этого я изменяю значение переменной r, которая объявлена в условии открытия шелла. Таким образом, после эксплуатирования будет выполнено всего две команды, и затем сплойт корректно завершит свою работу.

Теперь настало время проделать аналогич- ные операции с эксплоитом для wu-ftpd (www.web-hack.ru/exploit/source/0x82-wu262.c). Открыв код программы в текстовом редакторе, я закомментировал строку «died=read(STDIN_FILENO,readbuf,sizeof(read- buf)-1);». Эта строчка вызывает функцию read(), которая читает данные из дескриптора STDIN. Но мне же не нужна интерактивность, правда? :) В связи с этим я встроил две добавочные команды после комментария, вот так:

изобретать велосипед, а воспользоваться возможностями уже готового сканера. Впро- чем, никто не запрещает написать что-то более быстрое и внедрить его в эксплойт, но это уже твое личное дело и тема отдельной статьи. В качестве рабочего сканера я решил выбрать проект grabbb от известной команды TESO. Скачав последнюю версию grabbb (www.securityfocus.com/data/tools/grabbb- 0.0.7.tar.gz), я приступил к его модификации. Все дело в том, что журнал, который ведет grabbb, имеет довольно запутанный вид и там содержится масса избыточной информации. Мне показалось, что проще изменить исходник самого сканера, заставив его писать логи в удобном формате, нежели городить отдельный парсер.

Первым делом нужно перейди к строке под номером 498 и изменить ее следующим образом:

printf ("%s:%hu:%c%s\n", ip, sb->port[sb->portcount], (multiline == 0) ? '\x00' : '\n', buf);

Как видишь, необходимо поменять символ пробела на «\x00» (окончание строки), а также добавить переход на новую строку после вывода информации об открытом порте.

После сборки grabbb я получил бинарник, который поместил в корень будущего проекта рядом с каталогом exploits.

Думаю, тебе понятно, что сканера и эксплойтов недостаточно, нужно также иметь какую-то программу, которая бы связывала все части системы. Поэтому я написал скрипт control.pl, к которому и обращался при запуске авторутера. Ядро моей программы состоит всего из нескольких команд:

На компакте лежит мой тестовый авторутер со всеми необходимыми компонентами.

роить себе пирамиду высотой в сотню метров? Или смог бы гениальный ученый в одиночку вырастить овцу, располагая лишь ее ДНК? Увы, в одиночку мы не так сильны, как нам хотелось бы. Есть и другой пример.

Когда я смотрю на муравейник, у меня захватывает дыхание. Это удивительно: миллионы маленьких, никчемных созданий, каждое из которых не представляет собой ровным счетом ничего, объединив усилия, могут творить вещи совершенно иного масштаба: например, в Азии колонны диких муравьев представляют реальную угрозу домашним животным. Удивительно, как этим насекомым удается согласовывать свои действия: ведь каждый из них точно знает, какую палочку и куда ему надо нести, какую часть украденно-

го бутерброда откусывать и вообще что делать. Все это хранит массу загадок, которые нам сегодня предстоит решить. Мы с Петькой и его Волком решили создать свой собственный муравейник из нескольких тысяч компьютеров. Но для этого надо научиться их контролировать, управлять их действиями и согласовывать работу. Со всеми этими проблемами мы успешно справились.

ЧЕМ УПРАВЛЯТЬ?

Как ты прекрасно понимаешь, в Сети сей- час нет недостатка в компьютерах. Стало быть, перед нами стоит одна задача: необходимо как-то управлять их работой, заставляя делать то, что нам необходимо. Например рассчитывать md5-хэши, реализовывать работу socks-proxy или обсчитывать сложную зада- чу моделирования процессов в плазме. Понятно, что, если мы хотим решать такой широкий спектр задач, нам нужен универсальный и удобный инструмент. Этот инструмент не должен налагать ограничений на схему управления компьютерами, он должен быть абстрагированным от этого уровня. Ответ на этот

ОБХОД ФАЙРВОЛА

Òы, наверное, уже задался вопросом: если клиентский модуль скачивает из инета dll’ки, которые, ко всему проче-

му, еще и обмениваются информацией с внешним сервером, то, наверное, возникнет проблема с файрволом. На машинах, где он установлен, просто ничего работать не будет. Это, конечно, не так! Петька наколбасил в своем модульном движке офигенную технологию обхода файрвола: процесс инжектирует свой код в Internet Explorer, и совершенно ясно, что для этого браузера во всех файрволах стоит разрешающее правило. Таким образом, этот движок без проблем скачает из Сети нужный модуль, а пользователь даже ничего не узнает, так как его файрвол без вопросов пропустит соединение.

КАК УПРАВЛЯТЬ?

В предыдущей главе мы рассмотрели, как взаимодействуют основная программа и подгружаемая dll’ка. Но по-прежнему открыт вопрос о том, каким образом мы будем управлять работой самой dll на компьютере. Ведь совершенно ясно, что нам потребуется как-то общаться с этим модулем: нам нужно отдавать команды, получать результат их выполнения и т.д. Тут встает уже знакомая нам проблема. Сейчас многие пользователи Сети используют на своих машинах серые ip-адреса, недоступные напрямую снаружи. Это сделано и по экономическим причинам, и по соображениям безопасности, и еще потому, что существующего адресного пространства в четвертой версии ip не хватит для всех компьютеров на Земле. Поэтому в dll’ках мы с Петром решили использовать реверсивный подход: в этом случае сам клиент, пользовательский компьютер, соединяется с сервером и получает оттуда задание - согласись, это значительно функциональнее случая, когда на юзерском компьютере открывается порт и ожидаются входящие подключения с командами. Чтобы не быть голословным, я приведу пример такого интерфейса для модуля, осуществляющего перебор md5-хэшей. Всю работу по управлению модулями перебора md5 берет на себя серверная часть системы - скрипт, кото-