Искусство вторжения
Шрифт:
Поскольку на улице было необычно холодно, ни Дастин, ни его коллеги, носящие теперь джинсы и майки, чтобы не отличаться от сотрудников Biotech, не хотели мерзнуть, подолгу сидя в машине на парковке. Поэтому они с удовольствием восприняли тот факт, что Biotech предложил им использовать для работы небольшую неохраняемую комнату в соседнем здании. Ничего особенного, но комната была теплой и в пределах достижимости беспроводного устройства. Они всегда были на связи, что было не очень хорошо для Biotech.
Первая же пробная разведка начавшей работать группы выявила сорок компьютеров с Windows, на которых был административный
Проникнув в один из таких компьютеров, Дастин извлек все пароли для каждого пользователя и пропустил этот файл через программу l0phtCrack.
LOPHTCRACK ЗА РАБОТОЙ
На компьютере с ОС Windows пароли пользователей хранятся в зашифрованном виде (это обычно обозначается словом «hash» — мешанина) в области под названием SAM (Security Accounts Manager— управление безопасностью): пароли зашифрованы не в полном смысле этого слова, но с последующим перемешиванием «в одну сторону», что означает, что алгоритм шифрования может преобразовать текстовой пароль в зашифрованную форму, но не может вернуть зашифрованную форму обратно.
Windows содержит в S A M две версии «hash». Одна из них « L A N Manager hash» или L A N M A N , является старой версией, сохранившейся еще со времен до появления WindowsNT. Перемешивание LANMAN производится на основе заглавных букв пароля пользователя, который потом делится на две части из семи символов. Эту разновидность перемешивания гораздо легче разгадать, чем следующую версию N T L M ( N T Lan Manager), которая распознает и строчные буквы.
В качестве иллюстрации я приведу здесь реальный пример такого перемешивания для системного администратора одной из компаний, название которой я говорить не буду:
Administrator:500:AA33FDF289D20A799FB3AF221F3220DC:0AB C818FE05A120233838B9131F36BB1:::
Часть между двумя двоеточиями, которая начинается с «АА33» и заканчивается «20DC» — это LANMAN-перемешивание. Часть от «0АВС» до «6ВВ1» — это NTLM-перемешивание. Оба имеют длину в 32 символа, оба представляют собой один и тот же зашифрованный пароль, но первый легче расшифровать.
Поскольку большинство пользователей выбирают пароль, который является именем или простым словом, атакующие начинают обычно с запуска l0phtCrack (или другой программы, которую они используют) для проведения «словарной атаки» — проверки всех слов из словаря, не выбраны ли они в качестве пароля. Если эта первая попытка не увенчивается успехом, то программа переходит к «атаке грубой силы», когда перебираются все возможные сочетания букв (например, A A A , А А В , А А С … A B A … ABB, ABC и т.д.), затем пробуются всевозможные сочетания заглавных и строчных букв, цифр и символов.
Такая эффективная программа, как l0phtCrack может взламывать простые, очевидные пароли (которые используют более 90%
ДОСТУП
Вскоре Дастин раскрыл большинство паролей. «Я попробовал войти в первичный контроллер домена с паролем администратора, и это сработало. Они использовали один и тот же пароль на одном из компьютеров и в доменном аккаунте. Теперь у меня были права администратора во всем домене».
Первичный контроллер домена (PDC — primary domain controller) поддерживает главную базу данных всех пользовательских аккаун-тов. Когда пользователь входит в домен. PDC авторизирует его запрос с помощью информации, хранящейся в базе данных PDC. Эта база данных всех аккаунтов копируется в BDC (Backup domain controller — контроллер копирования домена) в качестве предосторожности на случай выхода из строя PDC. Эта архитектура существенно изменилась с выпуском Windows 2000. Более поздние версии Windows используют то, что у них называется «Активная директория», но для обратной совместимости с более старыми версиями Windows, у них есть по крайней мере одна система, которая действует как PDC для домена.
В руках Дастина были ключи от «королевства» Biotech, он получил доступ ко многим внутренним документам с пометкой «конфиденциально» или «только для внутреннего пользования». Интенсивно трудясь, Дастин провел долгие часы за сбором важной информации из секретных файлов о безопасности лекарств, где содержалось подробное описание побочных эффектов, вызываемых лекарствами, которые компания исследовала в то время. Доступ к этим файлам очень строго регулировался комитетом по контролю над лекарствами и продуктами питания, поэтому о проникновении в них в процессе проведения проверок должен был быть составлен специальный доклад для этого правительственного агентства.
Дастин получил доступ и к базе данных сотрудников, где содержались их полные имена, адреса электронной почты, телефонные номера, места работы, должности и т.п. Используя эти сведения, он мог выбрать мишень для следующей фазы атаки. Он выбрал системного администратора компании, который контролировал проведение проверок. «Я подумал, что хотя у меня уже было достаточно важной информации, надо показать им, что атака может идти в самых разных направлениях», то есть, что есть более одного пути для добычи информации.
Команда Callisma давно поняла, что если вы хотите проникнуть в охраняемую область, нет лучше метода, чем смешаться с группой разговаривающих сотрудников компании, возвращающихся с обеда. В отличие от утренних и вечерних часов, когда люди бывают раздраженными и усталыми, после обеда они всегда терпимы и расслаблены, чувствуя некоторую заторможенность, пока организм переваривает съеденный обед. Все разговоры доброжелательны, этим настроением буквально наполнена атмосфера. Любимый прием Дастина заключается в том, чтобы заметить кого-то, выходящего из кафе. Он идет впереди «жертвы» и пропускает его перед собой у самой двери. В девяти случаях из десяти, даже если эта дверь ведет в охраняемое помещение, «жертва» делает ответный жест и придерживает дверь. позволяя ему пройти вместе с собой. И он входит безо всяких проблем.