1. Приведение базы данных связок в неработоспособное состояние.

Отсутствие контроля целостности системной информации, хранимой на сервере (такой, как файловая система) позволяет без проблем редактировать ее с помощью программ низкоуровневой работы с жестким диском.

Приводимый ниже способ основан на том, что если база данных связок становится полностью неработоспособной, то NovellNetWareавтоматически создает ее заново (при этом супервизору не нужен пароль для входа в систему), а вся остальная информация на сервере сохраняется. Этот способ пригоден в том случае, когда у злоумышленника есть доступ к консоли файлового сервера, и он может выгрузить (down) операционную системуNovellNetWareи работать физически с жестким диском с помощью DOS-программ.

Самый простой способ привести базу данных связок в неработоспособное состояние —стереть ее. Однако, для того чтобы атака осталась незамеченной, можно скопировать базу данных связок и восстановить ее после атаки.NovellNetWareимеет встроенные средства восстановления базы данных связок —это утилитаBINDREST, которая копирует файлы, содержащие базу данных, из файлов с расширениями .OLD. Поэтому самый очевидный способ осуществления этой атаки состоит в следующем:

1.Операционная системаNovellNetWareвыгружается командойDOWNс консоли;

2.Загружается операционная системаMSDOS:

3.С помощью программ типаDiskEditилиPCToolsанализируется таблица разделов (partitiontable) и находится начало разделаNovell;

4.С начала разделаNovellищутся строки "net$obj.sys", "net$prop.sys" и "net$val.sys", являющихся именами файлов базы данных связок. Естественно, что таких строк может быть найдено несколько, нас интересуют те, которые располагаются в таблице размещения файлов (FAT). Определить это можно таким образом, что перед ними, начиная с кратного 16смещения с начала сектора на диске, должна идти примерно следующая последовательность байт: 00 00 00 26 10 00 00 03 18 00 0В <имя файла>;

5.У трех найденных строк (они должны быть рядом друг с другом) заменяются расширения .SYSна .OLD, а за 8байт до них байты 26 10(это атрибуты файлов) заменяются на 00 00;

6.Проделанные в п. 4и 5операции повторяются еще раз для второй копииFAT. (Этого можно не делать, но тогда после загрузки сервера придется запускать утилитуVREPAIR.NLM);

7.Загружается операционная системаNovellNetWareи осуществляется вход в нее как супервизор (пароль не будет запрашиваться);

8.Запускается программаBINDREST, которая восстановит базу данных связок из файлов *.OLD, т.е. всю первоначальную информацию.

Как видно, для реализации этого способа не требуется никаких специальных программ.

2. Недостатки механизма подписи пакетов.

Последние версии NovellNetWare (3.12 и 4)предоставляют специальное средство аутентификации и контроля целостности пакетов, проходящих в локальной сети. Это средство называется подпись пакетов и реализовано на основе известных алгоритмов электронной подписи.

Но для повышения скорости работы сети (включение подписи пакетов и так замедляет работу в 1.5-2раза) вNovellNetWareдля формирования подписи используются только первые 52байта пакета. Вся остальная информация может изменяться и никаких предупреждений о нарушении целостности ОС выдавать не будет.

Нетрудно, таким образом, представить себе, что некую важную информацию (например, системную программу) можно исправить так, что изменения окажутся за пределами 52байт передаваемых пакетов. Безусловно, целенаправленную атаку этим способом провести непросто, но принципиальная возможность такой атаки есть. Это очень значимая брешь в безопасностиNovellNetWare, т.к. подпись пакетов считается чуть ли не панацеей от всех видов атак.

ОШИБКИ, ДОПУЩЕННЫЕ В ХОДЕ ПРОГРАММНОЙ РЕАЛИЗАЦИИ СИСТЕМ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ