Стюарт Мак-Клар, Джоел Скембрэй, Джордж Куртц. Секреты хакеров. Безопасность сетей

Подождите немного. Документ загружается.

Dictionary

Crack-

^nabled

jg\Piogiam

Fi!es\SecuritiJ

Software Т

The

Dictionary

Dack

tests

for

passwords

that ere

the

tame

the

words listed in the

word

ffe.

This

t«st

very

fast

and

fnds

the

weakest

passwords.

Dictionary/Brute

Hybrid

Deck

Enabled

^CbefacterstovarylmoreBttoweO

The

Dtctronary/Btute

Hybrid Dack

tests

for passwords that

ate

variations of the words in

word

He It finds

passwords

such at

"Dana99"

"monkeys!".

This

test

fast

and

finds

week

passwords.

Brute Force Deck

Enabled

Cistnbuted

The

Brute

Force

Crack tests

for

г the

Character

Set.

it fnds

passwords

such

as'WeR3pfc6s"

"vC5%6S+12o".

This

test is

slow

and finds

meekum

strong

passwords

Specify a

character

set

w*h

characters

to aack

stronger

passwords

A-ZandO-9

A-Z

A-Z.O-9andlS««"«,1]-

A - Z, 0 - 9 and

!@»«41Lt."|№

;'"<>,.?/

Custom

Теперь просто выберите команду

Session^Begin

Audit,

утилита LOphtcrack возьмется

за дело. В файле SAM, полученном из большого домена NT, практически всегда удается

обнаружить нулевой пароль или слова из словаря (рис. 5.6). Кроме того, из данного рисун-

ка видно, с какой легкостью угадываются пароли

LanMan,

что делает более надежную за-

щиту с помощью алгоритма хэширования NT неэффективной. Даже в тех случаях, когда

некоторые пароли остаются неразгаданными, алгоритм LanMan позволяет узнать два по-

следних символа таких паролей. Этого вполне достаточно, чтобы в течение суток подоб-

рать остальные символы, при условии, что пароль состоит лишь из букв и цифр.

Текущее состояние процесса подбора пароля можно в любой момент сохранить в фай-

ле с расширением . 1с. Поэтому работа утилиты LOphtcrack может быть безболезненно

прекращена, а затем возобновлена с того же места с помощью команды

File^Open

Session.

LC3

[Untilted?]

0е

View

wort

Session_

Цф

-т

//"

и"

Password

(

Audit

I Guest

'lUSR.STU-WINNTW

!lWAM_STU-WINNHO

labby

(Catherine

[dominie

kdward

ifrank

Ihenry

lisabelle

[manny

Ipaul

waldo

WINTER

DOMINATE

PASSWORD

FRANK

winter

dominate

password

frank

22s

Od Oh Om 5s

Od Oh Om 13s

OdOhOmO!

Puc.

5.6. Утилита LOphtcrack за работой. Менее надежные пароли

LanMan взломать гораздо легче, что делает ненужным подбор хорошо за-

щищенных паролей NT

Утилита LOphtcrack с графическим пользовательским интерфейсом является

лучшим средством взлома файла паролей системы NT из всех имеющихся на рынке

как по скорости работы, так и по простоте использования. Однако имеется и один

Глава 5. Хакинг Windows NT

201

недостаток: наличие графического интерфейса не позволяет использовать эту утилиту

в сценариях и командных файлах. На Web-узле

http://www.atstake.com

можно

найти лишь устаревшую версию 1.5 для командной строки

(lc_cli.exe),

которая

распространяется вместе с исходным кодом. Так что, если говорить об утилитах взло-

ма паролей,

использующих

интерфейс командной строки, лучше обратить внимание

на продукты других разработчиков.

John-потрошитель

НА

WEB-УЗЛЕ

John

— это

программа взлома паролей

использованием словаря.

Ее

мож-

wii«™pitiisi™j.[<m

ПОЛ

ЧИТЬ

по

адресу

http://www.false.com/security/john.

Эта

ути-

лита командной строки позволяет выполнить взлом файлов паролей систе-

мы UNIX, а также подобрать

хэш-коды

LanMan

системы Windows NT.

Помимо

того,

что John совместима с несколькими платформами и позво-

ляет взламывать пароли, зашифрованные с использованием разных алго-

ритмов, эта утилита отличается также высокой скоростью работы и тем,

что распространяется бесплатно. Однако ее широкие возможности и, соот-

ветственно, большой набор параметров командной строки, делают эту ути-

литу более сложной в освоении, чем

LOphtcrack.

Кроме того, поскольку

утилита John может взламывать лишь пароли LanMan, то полученные ре-

зультаты необходимо проверять на соответствие прописных и строчных

букв (пароли LanMan всегда переводятся в верхний регистр, тогда как в

паролях NT используются как прописные, так и строчные буквы).

Crack 5 с расширением для NT

Утилита

crack,

написанная Алеком Маффетом (Alec

Muffet),

изначально предназнача-

лась для взлома файлов паролей системы UNIX. Однако со временем для нее было созда-

но расширение, которое позволило использовать эту утилиту и для взлома паролей NT

(http://www.users.dircon.co.uk/~crypto/download/c50-faq.html).

Самое большое

преимущество использования утилиты crack состоит в очень широком разнообразии про-

веряемых ею вариаций возможных паролей (включая более 200 вариантов, основанных на

имени пользователя). Однако все преимущества утилиты crack будут сведены на нет, если

у вас отсутствует опыт работы в системе UNIX, необходимый для ее установки и запуска.

О Контрмеры: защита от взлома пароля

Строгие правила выбора пароля

Никакие технические средства не смогут обеспечить гарантированную

защиту

от

взлома пароля. Они необходимы для создания эффективной защиты, но одних лишь

технических средств недостаточно. Самым эффективным и вместе с тем трудно реали-

зуемым средством был и остается правильный выбор пароля. Пользователи, выби-

рающие легко угадываемые пароли или записывающие их на обратной стороне кла-

виатуры, по-видимому, еще долго будут оставаться "источником" головной боли ад-

министраторов. Надеемся, что приведенное ниже описание некоторых скрытых

недостатков, имеющихся в алгоритмах защиты паролей NT, сможет помочь вам в

разъяснении пользователям необходимости строгого соблюдения ваших требований.

Как мы уже неоднократно упоминали, в системе NT применяется два разных алго-

ритма шифрования пользовательских паролей: совместимый с LanManager (LM Hash)

и созданный специально для NT (NT Hash). Оба представления зашифрованного с

помощью этих алгоритмов пароля хранятся в базе данных SAM. Как уже упоминалось,

значение хэш-кода LM вычисляется с помощью алгоритма, имеющего внутренние не-

202 Часть II.

Хакинг

систем

достатки (в данном случае не стоит ругать Microsoft — алгоритм LanManager изна-

чально был разработан компанией IBM).

Самым большим недостатком алгоритма LM является разделение пароля на две части,

каждая из которых состоит из семи символов. Другими словами, пароль,

имеющий

длину

8 символов разделяется на два пароля, первый из которых состоит из 7 символов, а вто-

рой — из 1 символа. Подобные утилите LOphtcrack средства используют этот недостаток,

проверяя одновременно обе половины пароля именно так, как если бы они были незави-

симыми друг от друга паролями. Рассмотрим, например,

12-символьный

пароль, который

полностью соответствует требованиям библиотеки Passfilt —

123456Qwerty.

Во-

первых, когда пароль шифруется по алгоритму LM, его символы преобразуются в верхний

регистр —

123456QWERTY.

Затем к паролю добавляются нулевые символы (т.е. символы с

кодом 0, чтобы получить строку, состоящую из 14 символов):

1234.56QWERTY

. Перед

шифрованием

эта

строка делится

на две

части

—

123456Q

WERTY

После этого каждая

строка шифруется независимо от другой, а полученные результаты объединяются. Зашиф-

рованное

значение

ДЛЯ

1234

56Q

—

6BF11E04AFAB197F,

а ДЛЯ

WERTY

—

1E9FFDCC75575B15.

Таким образом, полученный в результате хэш-код будет иметь сле-

дующее

значение:

6BF11E04AFAB197F1E9FFDCC75575B15.

Поскольку первая половина пароля, представленного хэш-кодом, содержит и бук-

вы, и цифры, то на ее взлом путем перебора всех возможных вариантов с помощью

утилиты LOphtcrack уйдут сутки или около того, в зависимости от вычислительной

мощности используемого компьютера. Однако вторая половина пароля содержит

только символы, поэтому на ее взлом понадобится всего лишь 60 секунд при исполь-

зовании компьютера с процессором Pentium.

Каждая взломанная половина пароля отображается в соответствующей строке окна

утилиты LOphtcrack. Теперь можно сделать некоторые предположения о том, какой мо-

жет

быть

первая

половина

пароля. Строка

WERTY

говорит

том,

что в

качестве пароля

пользователь

выбрал символы из верхнего ряда клавиш клавиатуры.

Следовательно,

имеет

смысл проверить такие пароли,

как

QWERTYQWERTY,

POIUYTQWERTY,

ASDFGHQWERTY,

YTREWQQWERTY

и,

наконец,

123456QWERTY.

Эти

варианты можно добавить

словарь, под-

готовленный для утилиты LOphtcrack, а затем приступить к очередному штурму.

Данный пример наглядно демонстрирует, как относительно просто угадать, каза-

лось бы, довольно сложный пароль LM, зная его вторую половину. Таким образом,

мы получаем парадокс: при данном подходе 12- и

13-символьные

пароли могут ока-

заться менее надежными, чем

7-символьные,

так как взломщик, зная вторую полови-

ну длинного пароля, может догадаться о том, из каких символов состоит первая поло-

вина, как это было показано в рассмотренном примере. Пароль, состоящий из восьми

символов, вряд ли даст взломщику много информации, однако он, пусть только тео-

ретически, не столь надежен, как

7-символьный

пароль.

Для снижения вероятности успешного взлома выбирайте пароли в точности дли-

ной 7 или 14 символов. (Не забывайте, что длинные

14-символьные

пароли пользова-

тели, скорее всего, будут записывать и держать эти записи под рукой. Поэтому пред-

почтительнее использовать 7-символьные пароли.)

Если же вы хотите поставить в тупик взломщика, вооруженного утилитой LOphtcrack,

используйте в каждой половине пароля хотя бы один управляющий символ ASCII. Такие

символы (например, символы с кодом 255 или 129) не отображаются на экране утилитой

LOphtcrack. Конечно, ежедневный ввод таких паролей, требующих дополнительных на-

жатий клавиш для ввода символа по его коду

(<А11>+код

символа на цифровой вспомога-

тельной клавиатуре в режиме

<NumLock>),

связан с некоторым неудобством и, по-

видимому, будет использоваться только профессиональными пользователями, имеющими

широкие полномочия по администрированию рабочих групп и учетных записей обычных

пользователей. Что касается администраторов, то для них использование в паролях как

можно большего количества неотображаемых символов должно стать обыденной практикой.

Глава 5. Хакинг Windows NT 203

Наконец, не забывайте о необходимости установить с помощью библиотеки

Passf

lit

минимальную длину пароля, как это описано в приведенном выше разделе "Контрмеры:

защита от подбора пароля".

Защита базы данных SAM

Ограничение доступа к файлу SAM — это также один из важнейших методов за-

щиты. Физическое ограничение доступа к серверу является единственным методом

воспрепятствовать злоумышленнику скопировать файл SAM, загрузившись с дискеты,

или скопировать резервную копию этого файла из папки Repair. Надеемся, что о

том, чтобы контролировать все случаи регистрации на сервере под именем Adminis-

trator,

напоминать

не

нужно.

Шифрование SYSKEY

Расширенное

SYSKEY-шифрование

данных SAM было разработано вскоре после

выхода сервисного пакета Service Pack 2. Такой алгоритм позволяет установить шиф-

рование паролей с помощью ключа, длиной 128 бит (по умолчанию используется

ключ длиной 40 бит). Для включения режима шифрования необходимо выбрать ко-

манду

Start^Run

и ввести в поле ввода появившегося диалогового окна Run команду

syskey. Режим шифрования SYSKEY можно настроить с использованием нескольких

основных параметров, как показано на следующих двух рисунках.

Ing

ihe

Windows

Account

Database

his

tod

vdlalw

you

configure

the

Accounts

Database

enabte

«kfitond

enayption,

further

protecting

the

database

from

compromise.

Once

enabled,

this

encryption

cannot be

tabled.

Enaction

Disabled

iff

password

Startup

SjJslem

Generated Password

Requires

a floppy disk to

inserted

dumg

system

start.

Store

Startup

Key

kocaly

Stores

a key

part of the operating

system,

and no

interaction

»required

during,

system

slarl

При включении режима SYSKEY ключ шифрования паролей, в свою очередь, ко-

дируется с помощью системного ключа, который может храниться как локально

(защищенный паролем), так и на гибком диске. Если вы чрезвычайно обеспокоены

обеспечением безопасности, выберите второй вариант, но учтите при этом, что в

большой сети это потребует дополнительных затрат на сохранение всех ключей на

гибких дисках. Кроме того, как мы увидим несколько позже, существуют средства,

позволяющие обойти и режим шифрования SYSKEY. Однако даже небольшой барьер,

оказавшийся на пути взломщика, повышает безопасность сети. По крайней мере зло-

умышленнику придется хорошо потрудиться, чтобы взломать пароли.

Группа исследователей

RAZOR

обнаружила изъян в реализации алгоритма

шифрования

SYSKEY,

описание

которого

можно

найти

по

адресу

http://

razor.bindview.com/publish/advisories/adv_WinNT_syskey.html.

Ес-

ли вы решили воспользоваться этим алгоритмом, то установите также модуль

обновления, который можно получить по адресу

http://www.microsoft.

com/technet/security/bulletin/ms99-056.asp.

204

Часть II. Хакинг систем

Если взломщики имеют безнадзорный физический доступ к компьютеру с сис-

темой NT/2000, то они без проблем могут загрузиться с использованием дру-

гой операционной системы и аннулировать пароль учетной записи админист-

ратора, удалив файл SAM, либо добавить пароль для любой имеющейся

учетной записи. Этот прием позволяет полностью обойти алгоритм шифрова-

ния SYSKEY. Лишь при использовании режима защиты с использованием па-

роля или при хранении системного ключа на гибком диске можно несколько

повысить уровень защиты. Более подробная информация по этому вопросу

содержится в разделе главы б, который посвящен утилите

chntpw.

Аудит доступа к базе данных SAM

Зачастую бывает довольно трудно выявить факт извлечения информации о паролях с

вашего узла NT. Одной из возможностей, призванных помочь в решении этой проблемы,

является аудит системы NT, обеспечивающий наблюдение за доступом к параметрам рее-

стра, связанных с SAM. Однако на практике это средство мало что может сделать, по-

скольку к этим параметрам имеют доступ очень многие служебные процессы (например,

диспетчер пользователей). Но несмотря на то, что само по себе решение не очень хорошее,

некоторые технические аспекты настройки контроля доступа к SAM заслуживают внима-

ния. Приведенная информация взята из раздела FAQ статьи "SAM Attacks

vl.l"

бюллетеня

NTBugtraq

(http://ntbugtraq.ntadvice.com).

(Этот документ одобрен сотрудниками

компании Microsoft Скоттом

Филдом

(Scott Field) и Полом Личем (Paul Leach), а сам ма-

териал предоставлен Джереми

Аллисоном

(Jeremy Allison) и Лесом Ландау

(Les

Landau).)

Прежде всего, убедитесь, что в диспетчере пользователей установлен флажок Success

для

событий

File

and

Object

Access

(Policies^Audit).

Затем нужно включить режим кон-

троля доступа к определенным параметрам системного реестра. К сожалению, парамет-

ры, которые необходимо контролировать, недоступны ни простому пользователю, ни

даже администратору. Для обхода данного офаничения нужно открыть окно редактора

системного реестра, воспользовавшись контекстом учетной записи локальной системы.

Запустите

аплет

Services панели управления, а затем в появившемся диалоговом

окне выберите службу Schedule (на рабочей станции — Task Scheduler). Щелкните на

кнопке Startup и в открывшемся окне свойств установите режим System Account, a

также флажок Allow Service to Interact with Desktop. Затем введите в командной строке

следующую

команду.

C:\>soon

regedt32

Утилита soon, входящая в состав

NTRK,

предназначена для взаимодействия с ко-

мандой AT и запуска той или иной программы в текущий момент. Параметр /I пред-

писывает запускаемой профамме (в данном случае редактору системного реестра) вы-

полняться в интерактивном режиме.

Сразу же после выполнения команды будет открыто окно редактора системного рее-

стра. Однако на этот раз параметры SAM и Security станут доступными обычному

пользователю. Будьте очень осторожны при

работе

с этими параметрами — даже мини-

мальные изменения могут нарушить нормальное функционирование операционной системы

вашего компьютера. Найдите параметр

HKLM/Security/SAM/Domains/Account/users

щелкните на нем, а затем выберите из меню команду

Security^Auditing.

Установите па-

раметр Audit Permissions on Existing Subkeys, а затем щелкните на кнопке Add и добавьте

учетную запись

SYSTEM.

Наконец,

для

события

Query

Value

установите режим

Success,

затем щелкните на кнопке ОК. Выйдите из редактора системного реестра и убедитесь в

том, что служба Schedule отключена. Теперь можно контролировать доступ к парамет-

рам реестра, осуществляемый, например, с помощью утилиты

pwdump.

Вскоре журнал безопасности будет заполнен сообщениями с идентификаторами

560 и 562, которые связаны с обращением к параметрам SAM. При аудите сложнее

Глава 5. Хакинг Windows NT 205

всего выбрать среди многочисленных записей те, которые связаны с получением ин-

формации о диспетчере SAM с помощью различных утилит семейства

pwdump,

по-

скольку с точки зрения системы между такими событиями и событиями, связанными

с легитимным доступом к параметрам SAM, нет никакой разницы. Кроме того, жур-

нал, в который будут заносится все соответствующие операции, очень быстро достиг-

нет чудовищных размеров, а регистрация событий повлечет за собой дополнительный

расход ресурсов. Более эффективный метод решения данной проблемы, по-видимому,

состоит в отслеживании вызовов утилиты pwdump на уровне интерфейса API. Однако

пока данная задача не реализована на практике, контроль доступа к параметрам SAM

остается хоть и низкоэффективным, но все же единственным средством.

Использование доверительных отношений

Для того чтобы "получить в свое распоряжение" домен, недостаточно обладать пра-

вами администратора на одном из компьютеров сети. Фактически в больших сетях

многие серверы NT являются независимыми серверами приложений (т.е. компьютера-

ми, которые используются конечными пользователями, но работающими под управле-

нием операционной системы Windows NT Server, а не NT Workstation), а не контролле-

рами доменов, на которых хранятся копии базы данных SAM домена. Однако в распо-

ряжении взломщика имеется несколько способов получения информации от

автономного сервера, на основании которой можно получить доступ ко всему домену.

/1>

Дублирование данных учетных записей

администраторов домена и локальной системы

Популярность

Простота

Опасность

Степень риска

Самым простым методом проникновения является использование довольно рас-

пространенной порочной практики администрирования, заключающейся в хранении

данных о пользователях домена на отдельных компьютерах, работающих под управле-

нием NT Server или Workstation. В идеальной ситуации никто не должен обладать

правом регистрации на рабочей станции NT как Local Administrator с тем же па-

ролем, что и Domain Admin. To же самое относится и к созданию локальной учетной

записи с теми же пользовательским именем и паролем, которые используются в учет-

ной записи на уровне домена. Однако в реальности такая практика является, скорее,

правилом, а не исключением. Подобный один-единственный изъян в системе защиты

может привести к созданию "лазеек" для проникновения в домен NT, с чем нам не

раз приходилось сталкиваться при тестировании различных сетей.

Например, допустим, что разозлившийся на руководство служащий обнаружил в

домене тестовый сервер, позволяющий зарегистрироваться на нем в качестве локаль-

ного администратора с пустым паролем. Сам по себе этот факт еще ничего не означа-

ет, поскольку пользователь не сможет получить доступ к домену, потому что приви-

легии локальной учетной записи не распространяются на домен. Однако если адми-

нистратор этого тестового сервера создал на нем учетную запись, которая дублирует

его учетную запись на уровне домена (как правило, это делается для того, чтобы уп-

ростить доступ к ресурсам домена, необходимым для тестирования), взломщик без ка-

ких-либо проблем получит дамп SAM из реестра, как было показано в предыдущем

206 Часть II. Хакинг систем

разделе, и взломает пароль администратора домена. После этого он без труда зареги-

стрируется на контроллере домена с привилегиями системного администратора — и

все это, лишь воспользовавшись данными учетной записи Domain Admin.

К сожалению, такие

ситуации

встречаются гораздо чаще, чем хотелось бы. Чтобы

исправить положение, необходимо проверить, не имеют ли место в вашей сети сле-

дующие факты.

Т Пароли локальных учетных записей Administrator совпадают с паролями

членов группы Domain Admins.

• Пароли и пользовательские имена локальных учетных записей совпадают с пароля-

ми и пользовательскими именами учетных записей домена (особенное внимание

необходимо уделить учетным записям, которые входят в группу Domain Admins).

А В полях комментария указана информация, которая может послужить подсказ-

кой для получения данных о пароле домена, например: "Пароль такой же,

как и у администратора на

SERVER1".

О Контрмеры: дублирование данных учетных записей

Самой лучшей защитой от таких "подводных камней" является использование слож-

ных паролей для всех учетных записей группы администраторов домена и их последующее

регулярное изменение (не реже, чем один раз в месяц). Кроме того, пользовательские

учетные записи не должны использоваться для выполнения административных функций.

Если в этом есть необходимость, создайте для таких пользователей специальные учетные

записи и установите режим их аудита. Например, вместо того чтобы вносить учетную за-

пись

jsmith

в группу Domain Admins, создайте учетную запись

jsmitha

с соответствую-

щим уровнем привилегий. (Обратите внимание, что не стоит создавать учетные записи ти-

па

isadmin,

поскольку они сразу же привлекут внимание взломщика.)

Еще одним хорошим практическим методом является использование NT-варианта ути-

литы UNIX su (из набора NTRK) для запуска команд с привилегиями другого пользователя.

Встроенная

команда

runas

Windows 2000 предоставляет более простой спо-

соб запуска приложений с необходимыми привилегиями. Например, следую-

щая

команда

runas

запускает

сеанс

командной

оболочки, работающий

кон-

тексте

учетной

записи

Administrator

домена

DOMAIN2.

C:\>runas

/user:domain2\administrator

cmd.exe

Атака на секреты LSA

Популярность

Простота

Опасность

Степень риска

Эта атака может послужить одним из самых ярких примеров той опасности, к воз-

никновению которой может привести хранение регистрационных данных в незашифро-

ванном виде. Такая информация вместе с некоторыми другими важными данными хра-

нится системой NT во многих местах. Процесс получения конфиденциальной инфор-

мации носит название атаки на секреты подсистемы защиты LSA (Local Security

Authority). Эта информация определяется параметром системного реестра

HKEY_LOCAL_

MACHINE\SECURlTY\Policy\Secrets.

К секретам LSA относятся следующие данные.

Глава 5. Хакинг Windows NT 207

Т Пароли учетных записей служб (хранятся в виде незашифрованного текста). Спе-

циальные учетные записи требуются приложениям, которым необходимо зареги-

стрироваться в контексте локального пользователя для выполнения определенных

задач, например резервного копирования. Такие учетные записи обычно имеются

во внешних доменах и при взломе какого-либо компьютера могут использоваться

взломщиком для прямой регистрации во внешнем домене.

•

Кэшированные

хэш-коды

паролей последних десяти зарегистрированных поль-

зователей.

• Пароли FTP и Web (также в виде незашифрованного текста).

• Имена и пароли учетных записей служб

RAS.

А Пароли рабочих станций для доступа к домену.

Очевидно, что такие сведения, как пароли учетных записей служб, запущенных с

привилегиями пользователей домена, информация о последних регистрировавшихся

пользователях, пароли доступа рабочих станций к домену и т.д. могут оказать взлом-

щику существенную помощь в исследовании структуры домена.

Например, представим автономный сервер, на котором запущены службы SMS

(Systems Management Server) или SQL, работающие в контексте пользователя домена.

Если локальный администратор такого сервера использует пустой пароль, то с помощью

данных LSA взломщик может получить сведения об учетной записи пользователя доме-

на. Этот изъян может привести к утечке информации на уровне многорангового домена

(multimaster

domain). Если на сервере ресурсов домена запущена служба, работающая в

контексте учетной записи пользователя главного домена, то утечка информации на

уровне сервера ресурсов может обеспечить злоумышленнику доступ к главному домену.

Можно привести и более "опасный" пример, который довольно типичен для кор-

поративных пользователей портативных компьютеров. Допустим, сотрудник компа-

нии захватил с собой в поездку такой компьютер, чтобы с помощью службы удален-

ного доступа подключаться к корпоративной сети или к провайдеру Internet. По-

скольку он не новичок в вопросах безопасности, он не устанавливает флажок,

включающий режим сохранения паролей учетных записей удаленного доступа. Но, к

сожалению, система NT все равно глубоко "в недрах" системного реестра сохраняет

пользовательское имя, номер телефона и пароль.

Исходный код, позволяющий получить секреты LSA, в 1997 году был опубликован в

бюллетене

NTBugtraq

(http://www.ntbugtraq.com/)

Полом

Эштоном

(Paul Ashton).

Однако сгенерированный исполняемый код не получил широкого распространения.

Обновленную версию этого кода, называемую

Isadump2,

можно найти по адресу

http://razor.bindview.com/tools/.

Утилита

Isadump2

использует тот же прием,

что и утилита

pwdump2.

Это позволяет обойти средства защиты компании Microsoft (см.

ниже), которые ранее не позволяли успешно применять предыдущую версию этого

средства,

Isadump.

Утилита

Isadump2

выполняет автоматический поиск идентификато-

ра PID процесса LSASS, внедряет себя в его поток управления и извлекает секреты LSA,

как показано в следующем примере.

С:\>lsadump2

$MACHINE.ACC

6Е 00 76 00 76 00 68 00 68 00 5А 00 30 00 41 00

п.v.v.h.h.Z.О.А.

66 00 68 00 50 00 6С 00 41 00 73 00

f.h.P.l.A.s.

_SC_MSSQLServer

32 00 6D 00 71 00 30 00 71 00 71 00 31 00 61 00

.p.a.s.s.w.о.г.d.

_SC_SQLServerAgent

32 00 6D 00 71 00 30 00 71 00 71 00 31 00 61 00

p.a.s.s.w.о.г.d.

208 Часть II. Хакинг систем

Как видно из приведенного фрагмента, в полученных данных содержится пароль

учетной записи домена, а также два пароля, связанных с учетными записями службы

SQL, которые извлечены из данных

LSA.

В программе Internet Scanner 5.6 от компании Internet Security Systems (ISS) встроена

возможность инвентаризации секретов LSA, которая является составной частью техноло-

гии

SmartScan.

Если этот сканер сможет получить доступ к узлу NT на уровне администра-

тора, он попытается инвентаризировать все возможные пароли, которые когда-либо ис-

пользовались на данном узле. Все найденные пары "имя учетной записи/пароль" сохра-

няются в файле

KnownUsers.

В тех случаях, когда сканер обнаруживает (через нулевое

соединение) в сети другой узел, на котором имеется учетная запись с таким же именем, он

пытается подключиться к нему, указав только что найденный пароль. Не нужно обладать

большим воображением, чтобы понять, насколько быстро можно собрать важнейшую ин-

формацию обо всех или почти всех учетных записях большой сети.

О Контрмеры: защита секретов LSA

К сожалению, компания Microsoft не сказала ничего оригинального, заявляя, что к

подобной информации администратор имеет доступ в соответствии с принятой архитек-

турой. В статье базы знаний KB

Q184017

описывается модуль обновления, предназна-

ченный для исправления изъянов исходной версии подсистемы LSA. После его установ-

ки с помощью шифрования

SYSKEY

кодируются хранящиеся на компьютере пароли

учетных записей служб,

кэшируемые

данные для регистрации в домене, а также пароли

рабочей станции. Конечно, утилита

Isadump2

позволяет обойти такую защиту.

Изъян, заключающийся в открытом хранении

кэшируемых

данных

RAS,

был исправ-

лен в сервисном пакете SP6a (изначально после появления сервисного пакета SP5 компа-

нией Microsoft был выпущен модуль обновления). Его можно получить по адресу

ftp://

ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/nt40/Hotfixes-PostSP5/

RASPassword-f

ix/. Более подробная информация приведена в статье KB Q230681.

Параметры реестра, предназначенные

для автоматической регистрации

Популярность

Простота

Опасность

Степень риска

Систему NT можно настроить таким образом, чтобы при загрузке выполнялась авто-

матическая регистрация в системе. Для этого используется параметр системного реестра

HKLM\SOFWTARE\Microsoft\Windows

NT\CurrentVersion\Winlogon\AutoAdminLogon.

Автоматическая регистрация может оказаться полезной в тех редких случаях, когда неже-

лательно, чтобы пользователь знал регистрационное имя и пароль. Однако необходимо

знать, что в этом режиме в реестре (группа параметров

HKLM\SOFWTARE\Microsoft\

Windows

NT\CurrentVersion\Winlogon\)

сохраняются в незашифрованном виде та-

кие сведения, как используемые по умолчанию имя домена

(DefaultDomainName),

пользовательское имя

(DefaultUserName)

и пароль

(DefaultPassword).

Остерегайтесь также применения процедур автоматической установки программ-

ного обеспечения, которым после перезагрузки требуется автоматическая регистрация

с привилегиями администратора.

Глава 5. Хакинг Windows NT 209

О Контрмеры: автоматическая регистрация

Для того чтобы запретить автоматическую регистрацию, удалите значение пара-

метра

DefaultPassword.

Кроме того, нужно удалить значение параметра

AutoAdmin

Logon или установить его равным 0.

0°Л'*

Регистраторы нажатия клавиш

Популярность

Простота

Опасность

Степень риска

iVf'

Если все остальные попытки

взломщика,

имеющего статус администратора ло-

кальной системы, получить аналогичные привилегии в домене не увенчались успехом,

он может попытаться пойти самым простым путем: установить регистратор нажатия

клавиш (keystroke logger). Так называются программы, которые скрытно от пользовате-

ля перехватывают все нажатия клавиш и, прежде чем передать их

операционной

сис-

теме, записывают в скрытый файл на диске. Рано или поздно какой-нибудь пользова-

тель, зарегистрировавшись в системе, оставит соответствующий "отпечаток" своего

имени и пароля в файле программы-регистратора.

Существует множество различных регистраторов для Windows NT, однако, пожа-

луй, одним из лучших является Invisible

Keylogger

Stealth (IKS) for NT, который мож-

но найти на узле

http:

//www.amecisco.com/iksnt.htm

по цене $149.

IKS for NT — это, по сути дела, драйвер клавиатуры, который работает внутри ядра

NT. Именно этим и объясняется то, что его присутствие практически никак не отобра-

жается в системе. IKS перехватывает даже нажатие комбинации клавиш <Ctrl+Alt+Del>,

что позволяет очень легко идентифицировать каждый факт регистрации в системе.

Однако еще важнее то, что удаленную установку IKS осуществить очень просто.

Для этого достаточно скопировать один файл, отредактировать некоторые параметры

реестра, а затем перезагрузиться. Злоумышленник, скорее всего, переименует драйвер

iks.sys,

присвоив

ему

какое-то

имя,

не

вызывающее подозрений, например

scsi

. sys (у

кого поднимется рука, чтобы удалить такой

драйвер?),

затем скопирует

его в каталог

%systemroot%\system32\drivers.

После этого остается лишь внести

изменения

системный реестр

соответствии

содержимым файла

iks.reg,

входя-

щего в комплект поставки, или просто запустить на удаленном компьютере файл

.reg. Можно воспользоваться также программой regini.exe, входящей в состав

NTRK, которая может внести изменения в реестр удаленного узла. В файле

readme.txt,

который входит в комплект поставки IKS, объясняется, как скрыть

драйвер и файл журнала с перехваченными нажатиями клавиш, изменив содержимое

файла

.reg.

После внесения изменений в реестр необходимо перезагрузить систему,

чтобы драйвер IKS приступил к работе. Для выполнения этой задачи проще всего

воспользоваться инструментом Remote Shutdown из NTRK

(shutdown.exe),

как пока-

зано в следующем примере (подробное описание параметров командной строки со-

держится в документации по NTRK).

shutdown

\\<±р_адрес>

/T:l

/Y /С

Если все пройдет гладко и никто не обратит внимания на странное поведение

компьютера-жертвы, то все нажатия клавиш будут сохраняться в файле, указанном в

последней строке файла

iks.reg.

Выждав какое-то время, взломщик снова зарегист-

рируется в качестве администратора, перепишет полученный файл (по умолчанию он

210 Часть II. Хакинг систем

Стюарт Мак-Клар, Джоел Скембрэй, Джордж Куртц. Секреты хакеров. Безопасность сетей - готовые решения

Подождите немного. Документ загружается.