Кевин Митник - Искусство вторжения

Все серьезные проверки с согласия заказчика используют те же типы атак, что были уже описаны в этой главе.

«В нашей методике мы выделяем четыре основных типа атак. Техническое проникновение в сеть, именно об этом мы в основном говорим. Социальная инженерия (что мы тоже рассматриваем), прослушивание и подглядывание через плечо. Р ы т ь е в помойках. И, наконец, физическое проникновение. В о т эти ч е т ы р е сферы».

АТАКУЕМ !

В первый день Дастин отправился в приемную компании Biotech. Справа от места, где сидели охранники, была комната отдыха и кафетерий, в который свободно могли проходить посетители. С другой стороны от охранников была расположена комната для переговоров, в которой и встречалась команда Дастина с руководством Biotech. Охранники расположены в центре, естественно, для того, чтобы контролировать все возможности доступа в компанию, но комната для переговоров им совсем не видна. Заходить в нее может кто угодно, и никто ему не скажет ни слова. Именно это и сделал Дастин со своими коллегами. После чего у них было сколько угодно времени для того, чтобы неспешно оглядеться. При этом никто не знал, что они там были.

Они обнаружили там работающий разъем для подключения к сети, вероятно, для удобства сотрудников компании, которые, естественно, хотят иметь доступ к корпоративной сети во время встреч. Подключив к этому разъему свой ноутбук, Дастин быстро нашел то, что ожидал: он получил доступ к сети за пределами корпоративного межсетевого экрана, что было практически открытым приглашением в систему компании.

Почти как в известном кинофильме «Миссия невыполнима» с тревожной музыкой, Дастин прикрепил к стене небольшое устройство для беспроводного доступа и воткнул его в разъем. Это устройство позволяло сотрудникам Дастина проникать в сеть Biotech с компьютеров, расположенных в машине или автобусе, припаркованных неподалеку от здания. Передача сигнала от такого WAP-устройства (Wireless Access Point) может происходить на расстоянии до ста метров. Используя направленную антенну с большим усилением, можно соединиться со спрятанным WAP даже с большего расстояния.

Дастин предпочитал точки беспроводного доступа, работающие на европейских каналах, что давало его команде определенное преимущество. поскольку эти частоты с меньшей вероятностью будут зафиксированы. «Это совсем не выглядело, как точка беспроводного доступа, поэтому не могло вызвать у людей подозрения. Я оставил ее почти на месяц, и никто ее не заметил и не убрал».

После установки таких устройств Дастин прикреплял к ним небольшую. но выглядевшую очень официально карточку с надписью «Собственность служб информационной безопасности. Не убирать» .

Поскольку на улице было необычно холодно, ни Дастин, ни его коллеги, носящие теперь джинсы и майки, чтобы не отличаться от сотрудников Biotech, не хотели мерзнуть, подолгу сидя в машине на парковке. Поэтому они с удовольствием восприняли тот факт, что Biotech предложил им использовать для работы небольшую неохраняемую комнату в соседнем здании. Ничего особенного, но комната была теплой и в пределах достижимости беспроводного устройства. Они всегда были на связи, что было не очень хорошо для Biotech.

Первая же пробная разведка начавшей работать группы выявила сорок компьютеров с Windows, на которых был административный аккаунт либо без пароля, либо с паролем «password». Другими словам и , у н и х не было вообще н и к а к о й безопасности, что, к а к отмечалось в прежних рассказах, к несчастью, является обычным делом для компьютеров, расположенных в пределах охраняемой зоны корпоративной сети. Компании обычно концентрируются на охране периметра, чтобы защититься от «плохих парней», но оставляют компьютеры внутри совершенно уязвимыми. Тот, кто проберется внутрь, может чувствовать себя, как дома.

Проникнув в один из таких компьютеров, Дастин извлек все пароли для каждого пользователя и пропустил этот файл через программу l0phtCrack.

LOPHTCRACK ЗА РАБОТОЙ

На компьютере с ОС Windows пароли пользователей хранятся в зашифрованном виде (это обычно обозначается словом «hash» — мешанина) в области под названием SAM (Security Accounts Manager— управление безопасностью): пароли зашифрованы не в полном смысле этого слова, но с последующим перемешиванием «в одну сторону», что означает, что алгоритм шифрования может преобразовать текстовой пароль в зашифрованную форму, но не может вернуть зашифрованную форму обратно.

Windows содержит в S A M две версии «hash». Одна из них « L A N Manager hash» или L A N M A N , является старой версией, сохранившейся еще со времен до появления WindowsNT. Перемешивание LANMAN производится на основе заглавных букв пароля пользователя, который потом делится на две части из семи символов. Эту разновидность перемешивания гораздо легче разгадать, чем следующую версию N T L M ( N T Lan Manager), которая распознает и строчные буквы.

В качестве иллюстрации я приведу здесь реальный пример такого перемешивания для системного администратора одной из компаний, название которой я говорить не буду:

Administrator:500:AA33FDF289D20A799FB3AF221F3220DC:0AB C818FE05A120233838B9131F36BB1:::

Часть между двумя двоеточиями, которая начинается с «АА33» и заканчивается «20DC» — это LANMAN-перемешивание. Часть от «0АВС» до «6ВВ1» — это NTLM-перемешивание. Оба имеют длину в 32 символа, оба представляют собой один и тот же зашифрованный пароль, но первый легче расшифровать.

Поскольку большинство пользователей выбирают пароль, который является именем или простым словом, атакующие начинают обычно с запуска l0phtCrack (или другой программы, которую они используют) для проведения «словарной атаки» — проверки всех слов из словаря, не выбраны ли они в качестве пароля. Если эта первая попытка не увенчивается успехом, то программа переходит к «атаке грубой силы», когда перебираются все возможные сочетания букв (например, A A A , А А В , А А С … A B A … ABB, ABC и т.д.), затем пробуются всевозможные сочетания заглавных и строчных букв, цифр и символов.

Такая эффективная программа, как l0phtCrack может взламывать простые, очевидные пароли (которые используют более 90% всех пользователей компьютеров) буквально за секунды. Раскрытие более сложного пароля может занять часы или даже дни, но практически все пароли в конце концов поддаются.

ДОСТУП

Вскоре Дастин раскрыл большинство паролей. «Я попробовал войти в первичный контроллер домена с паролем администратора, и это сработало. Они использовали один и тот же пароль на одном из компьютеров и в доменном аккаунте. Теперь у меня были права администратора во всем домене».

Первичный контроллер домена (PDC — primary domain controller) поддерживает главную базу данных всех пользовательских аккаун-тов. Когда пользователь входит в домен. PDC авторизирует его запрос с помощью информации, хранящейся в базе данных PDC. Эта база данных всех аккаунтов копируется в BDC (Backup domain controller — контроллер копирования домена) в качестве предосторожности на случай выхода из строя PDC. Эта архитектура существенно изменилась с выпуском Windows 2000. Более поздние версии Windows используют то, что у них называется «Активная директория», но для обратной совместимости с более старыми версиями Windows, у них есть по крайней мере одна система, которая действует как PDC для домена.