Стюарт Мак-Клар, Джоел Скембрэй, Джордж Куртц. Секреты хакеров. Безопасность сетей - готовые решения
Подождите немного. Документ загружается.
ПРИЛОЖЕНИЕ Б
3,
Утечка
информации
может позволить
взломщику узнать
версию операционной
системы и приложений,
данные о пользователях,
группах, совместно
используемых
ресурсах,
информацию
ONS
с помощью переноса
зоны
и служб типа
SNMP,
finger,
SMTP,
telnet,
rusers,
rpcinfo,
NetBIOS.
13, He
отвечающий
требова-
ниям подход к
регистрации,
мониторингу и обнаружению
аномалий
на
уровне
сети
и
узлов.
4. Узлы, на которых
запущены ненужные
службы(например,
RPC,FTP,DNS,SMTP),
могут
быть
легко
взломаны.
Серверы Internet/
демилитаризованной зоны
7. Плохо настроенные
серверы
Internet,
особенно сценарии
CGI
на
Web-серверах,
и
анонимные
FTP-
серверы.
8. Неправильно
настроенный список
ACL
брандмауэра
или
маршрутизатора может
обеспечитьдоступ
к внутренним узлам
напрямую или после
взлома сервера из
демилитаризованной
зоны.
1.
Неадекватное
управление
доступом
на
уровне маршру-
тизатора.
Неправильно
настроенный список
ACL
маршрутизатора может
привести
к утечке инфор-
мации через протоколы
ICMP,
IP, NetBIOS,
и,
как следствие,
к возможности несанкциони-
рованного
доступа
к службам
сервера в демилитаризован-
ной
зоне.
Пограничный
маршрутизатор
Серверы удаленного
доступа
«s=j
5.
Использование
легко
отгадыва
шых
и повторно используемых пароле
Я
на
уровне рабочей станции может
с-
ать
причиной
взлома
сервера.
12. Не
требующие
аутенти-
фикации
слух!
ibi,
например
X
Windows,
по:
воляют
удаленно
региутрировать
нажатия
клавиш,
10.
Необоснованное
предоставление
совмес
гного
доступа
к
файлами
каталогам
(совметюисполь-
^Я
зуемьк
ресурсы
в
NT,
систем»
NFS
в UNIX).
14.
Hecof
людение
или
отсутст»
в политики
безопасности,
соот-
ветствую
дихпроцедур
и рекомендаций.
Рабочая станция
Мобильный/удаленный
пользователь
2. Незащищенные и неконтроли-
руемые пункты
удаленного
доступа
являются одним из наиболее
простых способов проникновения
в корпоративную сеть.
Удаленные
пользователи зачастую соединяются
с
Internet,
не
позаботившись
о
надлежащей
защите и подвергая
опасности важные файлы.
Филиал
11.
Слишком
доверительные
отношения, например между
доменами NT, или отношения,
заданные с помощью файлов
.
rhoBtg
и
hoe
t
в.
eijuiv
в
UNIX,
могут
предоставить
взломщику возможность
несанкционированного
доступа к важным файлам.
9. Нес бновленное,
,
устар
«шее,
уязви-
мое
и
ш
установлен-
ное с принятыми по
умот
алию
парамет-
рами
программное
обесгечение.
6.
Пользователь!
;кие
или
тестовые
учетны
е
записи
с чрезмерно рас
иирен-
иыми
привилеги
IMH.
708
Часть V. Приложения
ПРИЛОЖЕНИЕ В
„•
,*«,•
АНАТОМИЯ
ХАКИНГА
Цель
Методология
Для серьезной атаки необходимо
знать диапазон адресов,
пространство имен, а также накопить
предварительную информацию.
Главная задача этого этапа — не
упустить никаких деталей
Исследование
цели и
идентификация
работающих служб позволяет
взломщику
сконцентрировать
свое
внимание на наиболее доступных
способах проникновения в систему
Более серьезные попытки
начинаются с идентификации
учетных записей пользователей или
поиска плохо защищенных совместно
используемых ресурсов
К этому моменту собрано достаточно
информации для
реализации
осознанной попытки проникновения
в целевую систему
Если на предыдущем этапе
взломщик пытался получить доступ к
системе на уровне
пользователя,
то
теперь он постарается
захватить
полный
контроль
над системой
Новый этап сбора информации с
целью идентификации механизмов
для получения доступа к доверенным
системам
Получив
контроль над системой,
взломщик должен скрыть этот факт
от администратора, чтобы тот не
прекратил его деятельность
В различных частях системы
взломщик
постарается
оставить
"потайные ходы", с помощью которых
он
сможет
легко вернуться в систему
Если взломщику не
удалось
получить
доступ к системе, в качестве
последнего средства он
может
воспользоваться специальной
программой для вывода из строя
целевой системы
Приемы
Средства
Поиск
по
открытым
источникам с
помощью
запросов
whois
Web-интерфейс
для доступа к
базе
данных whois
Запросы whois к базе данных
ARIN
Перенос
зоны
DNS
USENet, поисковые серверы,
любая
клиентная
программа
UN|X
для доступа к
базе данных Edgar
http://www.networksolutions.com/wriois
http://www.arin.net/whois/
dig,
nslookup
Is -d, Sam Spade
Ping-прослушивание
Сканирование TCP- и
UDP-портов
Определение версии операционной
системы
(ping,
icmpenum.WS
PingProPack
nmap,
SuperScan,
fscan
nmap,
queso,
siphon
Получение списка учетных записей
пользователей
Получение списка совместно
используемых файлов
Идентификация приложений
Перехват
паролей
Захват совместно используемых
ресурсов
Захват файла паролей
Переполнение
буфера
Нулевой сеанс,
DumpACL,
sidZuser,
OnSite
Admin
showmount,
NAT, Legion
Сбор маркеров с помощью telnet или
netcat,
rpcinfo
Tcpdump.
LOphtcrack,
readsmb
NAT,
legion
tttp,
pwdumpZ
(NT)
ttdb,
bind, IIS
HTR/ISM.DIU.
Валом паролей
Известные программы взлома
John,
LOphtcrack
Isjnessages,
getadmin,
sechole
Выявление доверительных
отношений
Поиск незашифрованных паролей
rhosts,
секреты LSA
Данные
пользователей,
файлы
конфигурации,
системней
реестр
Очистка
журналов
Сокрытие средств
Создание ложных учетных записей
пользователей
Планирование
заданий
Изменение файлов загрузки
Насаждение служб удаленного
управления
Установка механизмов мониторинга
Подмена приложений программами
типа
"троянский
конь"
Бомбардировка пакетами
SYN
Методы
ICMP
Идентичные запросы
SYN
для
источника и получателя
Ошибки перекрытия фрагментов
Выход
за
пределы параметров
TCPDOoS
Zap, графический интерфейс утилиты
просмотра журнала
событий
"Наборы отмычек", файловые потоки
Членство в группе Administrators
cron, AT
re-файлы, папка
автозагрузки,
ключи
системного реестра
netcat, remote.exe,
VNC,
B02K
Установка средств регистрации нажатий
клавиш,
добавление
acat в списки почтовых
псевдонимов администраторов по
безопасности
Регистрация,
fpwnclnt.dll
synk4
ping.smurf
land,
latierra
teardrop, bonk,
newtear
stacheldraht
trincoo/TFN/stacheldraht
710
Часть V. Приложения
Предметный указатель
Access Control List (ACL), 31; 50,
270;
554
Access path diagram, 50
Achilles, утилита, 637
Active
Directory
(AD),
110;
265; 276
Active Server Page, 608; 614
ActivePerl, 89
ActiveX, 643
Advanced Encryption Algorithm (AES), 448
Amplification ratio, 516
Amplifying network, 516
Anonymous logon, 90
Apache, 612
Application Binary Interface
(ABI),
340
Application proxy, 490
ARP, протокол, 476
ASPECT, 426; 429; 433; 441
Attachment, 297
Authenticode,
сертификат, 644; 653
Automated dictionary attack,
577
Autonomous System Number, 131
В
Back channel, 347
Back door, 565
Back Orifice (BO), 147; 221; 572
Back Orifice 2000
(BO2K),
148;
221;
280;
281; 567;
572
Bandwidth consumption, 513
Banner grabbing, 64; 114
Base64, 666
Basic Input Output System (BIOS), 154
BDC,
95
Berkeley Internet Name Domain (BIND), 47;
364;
521
Bindery context, 296
Bindery object, 300
BIOS, 154; 269
пароль, 269
BoSniffer, 151
Broadcast traffic, 473
Brute force attack, 334; 371
BubbleBoy, 680
Buffer overflow, 183; 337
Canonical name, 620
Canonization, 620
Cerberus Information Security (CIS), 183
CFML, язык разметки, 608
CGI,
608
Ciphertext,
589
Class ID, 646
Client32,
121;
296
CLSID,
672
Code Red, червь, 630
Committed access rate,
518
Common Desktop Environment (CDE), 354
Common Gateway Interface, 344; 608
Common Internet File System
(CIFS),
166
Community string, 459
Cookie, 657
на время сеанса связи,
557
постоянные, 657
Cracking, 179
Cross-domain security model, 660
CSMA/CD,
472
Cult of the Dead Cow, 259, 646
Data Decipher Field, 271
Data driven attack, 336
DCC,
694
DDF, атрибут,
277
DDoS, 525
Decryption, 589
Demilitarized zone, 57
Demon dialer, 410
Denial of Service,
572;
648
DES, стандарт, 371
DHTML, 643
Dial-Up Networking, 146; 447
Directory Services Client, 182
Distributed Denial of Service, 526
Distributed DoS, 572
DLL injection, 187
DMZ,
57; 345
DNS,
44;
241;
364
перенос зоны, 44; 241
Domain, 427
Domain hijacking, 43
Domain Name System, 241
Предметный указатель
711
DoS,
752;
256;
259;
315; 447; 512;
648
DOS Protected Mode Interface, 314
DPMI, интерфейс, 314
DRF, атрибут,
277
Dual-homed host,
77?
DUN,
146
DUN
1.3,
752
Echo request, 50
EPS,
240,
270
агент восстановления, 270
EMS/NOSadmin,
326
Encrypting File System,
240;
270
Encryption, 589
Enumeration, 88
Ethernet, 392; 472
Exploit, 331; 375
Fake Replies, режим, 57?
FEK, ключ, 270
FerretPRO,
пакет, 32
File descriptor,
577
File
Encryption Key, 270
File handle, 357
File Transfer Protocol, 350
Firewall protocol scanning, 52
Footprinting,
30
Force feeding, 688
Fraggle, атака,
577
Framework.NET,
2*7
FreeSWAN, проект, 394
FTP,
372;
348
FTP bounce scanning, 69
Function hooking,
237;
592
Fwhois, утилита, 37
FWZ
Encapsulation, метод, 445
GECOS, поле, 373
Global Catalog,
702
GMT,
673
GNU, лицензия, 583
Greenwich Mean Time, 673
H
Half-open scanning, 63
Handshake, 63
Heap, 341
History, 396
HiTecSoft,
компания,
375
Hoovering,
757
Hop counter, 49
Hotmail, 659
HST,
41
HTTP, 657
I
ICA,
протокол, 552
ICMP,
505
IDS, система выявления вторжений,
37;
491;
521
IE Administration Kit,
649
IE Script, 677
IEAK, средства администрирования, 649
IEEE
802.11,
спецификация, 288
IFRAME, дескриптор, 660
IIS,
256
ILOVEYOU,
6*0
IME,
556
Inherited rights filter,
727;
326
Input Method Editor, 556
Input validation attack, 343
Integrated Services Digital Network (ISDN), 435
Internet Connection Firewall
(ICF),
762; 288
Internet Connection Sharing
(ICS),
762
Internet Exploder, 644
Internet Information Server, 256; 524
Internet Information Server (IIS),
767
Internet Printing Protocol, 629
Internet Relay Chat (IRC), 693
InterNIC,
477;
435
IntruderGuard,
54*
Intrusion Detection System, 473; 497
IPC$, 90, 169
IPP,
протокол, 629
IPSec,
2*3; 394; 445; 44*
IPX,
277
IRC,
694
IRF,
727
фильтр, 326
Java, 643; 653
Java Virtual Machine, 653
JavaScript, 654
JVM,
653
К
Kerberos,
707
Keystroke logger,
270
712
Предметный указатель
L2TP, 445
LAN,
452
Lan
Manager, 196
Layer 2 Tunneling Protocol, 445
Linux Intrusion Detection System (LIDS),
400
Loadable Kernel Module (LKM), 397
Local access, 332
Local Procedure Call (LPC), 192
Local Security Authority, 207
Subsystem (LSASS), 198
LPC,
192
LSA, 207;
275
M
МАС-адрес,
94
Mail Transfer Agent (MTA), 352
Man-in-the-middle,
атака,
255
Maximum transmission unit, 522
MD5,
470
MDAC, компонент, 608
Melissa, вирус, 516; 680
Message digest,
252;
583
MIB,
база,
99;
147; 452
Microsoft Object Packager, 683
MIME, 665
MS-CHAP, протокол, 447
MTU,
25$
522
Multicast traffic, 473
Multimaster domain, 208
Multipurpose Internet Mail Extensions, 665
N
NAT, пакет, 74
NCP,
314
NDS,
296
NetBasic Software Development Kit, 318
NetBasic, средства разработки, 318
NetBEUI, 277
NetBIOS, 248
NetDDE, служба, 264
Netscan, 37
NetWare, 296
анонимное соединение, 297
взлом файлов NDS, 321
журналы консольных
сообщений,
324
изменение атрибутов файлов, 323
изъяны приложений, 312
Web-сервер, 313
служба FTP, 312
сценарии Perl, 312
Предметный указатель
инвентаризация
после аутентификации, 305
связки и деревьев, 298
Контекст Bindery,
117
ложные атаки, PANDORA, 314
отключение системы аудита, 323
получение доступа к файлам NDS, 318
получение привилегий
администратора, 309
несанкционированное получение
данных, 309
редактирование журналов
регистрации, 323
режим блокировки вторжений, 307
связка,
777
соединение без регистрации, 296
NetWare Loadable Module, 318
Network Dynamic Data Exchange,
264
Network enumeration, 36
Network File System, 354; 357
Network Information System
(NIS),
354
Network interface card (NIC), 392
Network Solutions, компания, 36
NFS,
/22
NIS,
722
NLM, модуль, 318
NMRC, центр исследований, 374
Novell Directory Service, 296
NT Resource Kit, 646
NT Terminal Server Edition, 281
NTFS, 198; 235; 266; 270
NTLM, 693
NTRK,
89;
278
Null session, 90
Object ID, 298
Object Linking and Embedding, 643; 683
Object Model Guard, 682
OEM System Release 2, 757
OID,
99
OLE, 643;
683
On-Site Administrator, 303
Open Source Software, 445
OpenBSD, проект, 339
Organizational Unit (OU), 91; 277
Orphaned object, 325
OSPF, протокол,
4<?3
OSR2, 757
OUA, элемент управления, 646
Outlook 2000 Security Update, 652
713
Packet driver, 314
Packet filtering gateway, 490
PANDORA,
314;
321
Panic kernel,
532
Passport, 289
PBX,
410;
437
PcAnywhere,
426; 545
PCMCIA, 412
PDC,
95
РЕ, формат, 697
Perl, сценарии, 312
Personal Web Server,
752
PGP,
43
PHF, сценарий, 612
Phreak,
33
Pillaging, 309
Ping Sweep, 56
ping-прослушивание, 55; 491
Plaintext, 589
Point-to-Point Tunneling Protocol,
180;
445
Port
redirection,
224
scanning, 57; 62
Portable executable, формат,
697
POSIX,
235; 382
PPTP, 445
Pretty Good Privacy,
274
Primary Domain Controller (PDC), 170
Privilege escalation, 370
Privilege escalation attack, 332
Process ID
(PID),
198
Programming
flaw,
514
Promiscuous mode, 392
Proxy Server, 491
PTR record spoofing, 52/
Public Switched Telephone Network
(PSTN), 410
Race condition, 379
rconsole, утилита, 316
RDP, протокол, 557
Red Button, недостаток, 90
Relative ID, 104
Remote access, 332
Remote Authentication Dial-In User Service
(RADIUS), 240
Remote Desktop Protocol, 552
Remote Procedure
Call,
354
Remote Registry Service, 146
Resource starvation, 514
RestrictAnonymous,
параметр, 91; 248;
283;
523
Resultant Set of Policy (RSOP), 289
Reverse telnet, 347
RFC 2196, Site Security Handbook, 36
RID, 104;
199
RIP, 481;
515
ROLM PhoneMail, 439
Rootkit, 194; 227; 228; 231; 389
RPC, /22;
354
RPM, спецификация, 390
RRS, служба, 146
RTF, формат, 423
SAM,
266
Sam Spade, 37
Screen saver, 153
Script database, 607
Script kiddies, 331
SDK,
279
SEC, Securities and Exchange Commission, 33
Secure ISA, 557
Secure RPC, 356
Secure Shell (SSH), 214; 282; 593
Secure Sockets Layer, 214; 593
Security Account Manager
(SAM),
196; 266
Security Configuration and Analysis,
компонент,
240',
285
Security ID, 104
Security Log, 176
Security Manager, 653
Security Template, шаблон защиты, 285
Security zone, 649
Seed value, 470
Server Message Block
(8MB),
166
Server Side Includes, 635
Service Control Manager (SCM), 262
Service Pack 2, /75
SGID,
384
Shared library, 381
Share-level security,
140
SHS,
683
SID, 104;
169
Signal, 380
Simple Network Management Protocol,
452
Simple Service Discovery Protocol (SSDP), 290
SMB-сервер, 691
SMS,
208
Smurf-метод,
60;
516
Sniffer, 391
SNMP, 459
714
Предметный указатель
Social engineering,
124',
594
Software Development Kit, 279
Spamming, 39
SSH, 282; 445;
476
SSH, протокол,
5*9
SSI, механизм, 635
SSL, 214; 636;
638;
662
SSLProxy, утилита, 636
Stack fingerprinting, 79
StackGuard, компилятор GNU C, 339
Stateful, 490
Stream, 235
SUID,
337; 375; 384
Symbolic link, 376
SYN
cookie, режим, 520
SYSKEY,
198;
204;
209;
265;
268;
273
System Policy Editor, 143
Tag,
635
Tel,
*5
TCP ACK scan, 64
TCP connect scan, 63
TCP FIN scan, 63
TCP hijacking, 562
TCP Null scan, 64
TCP RPC scan, 64
TCP SYN scan, 63
TCP Windows scan, 64
TCP
Xmax
Tree scan, 63
ТСР-оболочка, 124;
340;
395; 506; 550
TCP-прослушивание сканированием, 57
TCP-сканирование
по методу рождественской елки, 63
подключением, 63
портов RPC, 64
размера
окна,
64
с
помощью
сообщений АСК, 64
с помощью сообщений FIN, 63
с помощью сообщений
SYN,
63
Teleport
Pro, утилита, 32
TFTP,
725;
471
Threshold logging, 76
Time to live,
49;
493
Token Ring,
472
Trivial File Transfer Protocol (TFTP), 349
Trojan Defense Suite, пакет,
757
Trojan horse, 194; 562
TSEnum, 553
TSGrinder,
555
TSProbe, 553
TTL,
49;
453;
493
Tunneling, 445
Two-factor authentication, 436
Type confusion attack, 654
и
UDP scan, 64
UID,
359
UNIX
автоматизированный взлом с помощью
словаря, 377
анализатор сетевых пакетов,
397
атаки на командную оболочку, 3*7
атаки на систему DNS, 364
безопасное кодирование, 338
взлом при отсутствии проверки ввода, 343
взлом путем переполнения буфера, 337
взлом с использованием данных,
336
взлом с использованием строки
форматирования, 341
взлом с помощью дескриптора файла, 377
доступ к командной оболочке,
345
доступ с использованием sendmail, 352
изъян PHF,
343
изъяны службы SSH, 368
изъяны ядра,
3*2
инвентаризация
SNMP, 729
пользователей и групп,
723
приложений и идентификационных
маркеров,
726
совместно используемых ресурсов,
722
использование режима неупорядоченной
обработки пакетов, 369
локальное переполнение буфера, 375
локальный доступ,
370
манипуляции с файлами дампов,
3*7
модификация ядра, 397
набор отмычек,
3*9;
401
для модификации ядра, 397
неправильная настройка системы, 3*3
отключение
неиспользуемых служб, 340
режима поддержки выполнения
стека, 340
очистка системных журналов, 394
пакет BIND, 364
подбор пароля, 334
поиск неправильно выбранных
паролей, 377
права доступа к файлам и каталогам, 3*3
проблемы обработки сигналов, 380
программы типа троянский конь, 3*9
Предметный указатель
715
расширение полномочий, 370
реверсивный сеанс telnet, 347
символьные ссылки, 376
система
NFS,
356
X, 362
служба
FTP,
350
TFTP,
349
совместно используемые библиотеки, 381
создание
обратного канала, 347
потайных ходов, 389
удаленный вызов процедур, 354
удаленный доступ, 333
файлы SUID, 384
UPnP,
290
User Manager, 174
User-level security, 140
VBScript, 681
Verisign Corporation, 644
Virtual Private Network, 146; 180, 445; 452, 480
VNC,
пакет, 550
Voicemail, 410
Volume License, 290
VPN, 146;
480
Vulnerability mapping, 331
w
W2RK, 89
WAN,
452
Wardialer, 40, 410
Web Distributed Authoring and
Versioning,
протокол, 620
WebFerretPRO,
пакет, 32
Webramp Entre, 465
WFP,
675
Wget, утилита, 32
Whack-A-Mole,
586
Whistler, 287
Internet Connection Firewall, 288
Resultant Set of Policy (RSOP), 289
средства удаленного управления, 290
универсальная технология Plug and
Play, 290
Win9x
DUN
1.3,
146
Resource Kit, 143
автозапуск программ, 755
взлом
пароля экранной заставки,
154
файлов
.PWL,
757
жесткая перезагрузка, 153
отказ в обслуживании, 152
повторное использование данных
аутентификации, 143
потайные ходы, 147
прямое подключение к совместно
используемым ресурсам, 141
троянский конь, 147
удаленное проникновение, 141
удаленный
хакинг
системного реестра, 146
хакинг
сервера удаленного доступа, 145
совместно используемых файлов и
принтеров, 141
Win
XP/Whistler,
163
Remote Assistance, 163
Remote Desktop, 163
Windows 2000, 167
Windows File Protection, 675
атака
SYN,
256
атака против
IIS
5, 256
бомбардировка IP-пакетами,
256
генерация состояния DoS сервера
имен NetBIOS, 259
добавление хэш-кодов в файл SAM,
267
захват отключенных соединений, 281
извлечение данных временных файлов
EFS,
273
инвентаризация, 246
множественная репликация, 276
модель безопасности, 263
нарушение доступа к рабочим
станциям, 263
несанкционированное получение
данных, 265
отказ в обслуживании, 256
перенаправление данных
SMB-
регистрации,
249
перенос зоны DNS,
247
переполнение буфера, 256
политика групп, 283
получение
базы данных SAM, 265
данных
LSA,
275
пароля NetBIOS,
24<?
;
хэш-кодов паролей, 248; 265
потайные ходы, 278
предварительный сбор данных,
247
проникновение, 248
716
Предметный указатель