Искусство вторжения
Шрифт:
«То, что мы отгадали пароль, был наш первый крупный успех в этой работе. Далее все шло по обычной схеме. Мы работали на разных машинах. Вначале мы проводили сканирование сети независимо и обменивались результатами. Но после того, как мы обнаружили возможность доступа через конкретный порт, я перешел на его машину и мы начали работать вместе на одном и том же компьютере.
Это было прекрасно. Мы вошли в устройство 3Com и получили полный доступ к нему, а может — и широкую улицу к другим достижениям. Прежде всего мы хотели понять, что это за устройство и почему доступ к нему реализован через порт с таким большим номером на маршрутизаторе Cisco».
При
ИЗУЧЕНИЕ КОНФИГУРАЦИИ УСТРОЙСТВА 3Com
Наши герои поняли, что устройство 3Com расположено за межсетевым экраном и что ошибка администратора предоставила им неожиданный кружной путь, позволяющий атакующим соединиться с портом с большим номером в обход межсетевого экрана.
Теперь, имея доступ к панели управления 3Com, они стали искать записи о конфигурации, включая и то, какие устройства с какими IP-адресами соединены, и какие протоколы используются для реализации локальной сети. Они обнаружили, что устройство находится в том же диапазоне адресов, что и почтовый сервер, и вне внутреннего межсетевого э к р а н а , в DMZ. « М ы сделали вывод, что устройство находится под защитой межсетевого экрана и защищено от подключений из Интернета неизвестным нам набором фильтров».
Они попытались определить конфигурацию самого устройства, чтобы понять, как устанавливаются входящие соединения, но через имеющийся интерфейс они не смогли получить нужной информации. Они продолжали размышлять, почему, когда пользователь соединялся с портом 4065 в маршрутизаторе Cisco из любого места Интернета, соединение происходило с устройством 3Com, которое было включено в маршрутизатор Cisco.
«В этот момент мы были почти уверены, что получим доступ ко входам в с е т ь и проберемся в ее сердцевину. Мы находились в прекрасном настроении, но, как говорится, были порядком утомлены, поскольку интенсивно работали в течение двух дней.
Мы отправились в пивную, чтобы обсудить, как сделать следующие дни не менее удачными, поскольку мы собирались начать просматривать конкретные системы и проникать вглубь сети».
Продолжая думать все о том же устройстве 3Com, они установили режим записи активности управляющей консоли. Если что-то случится ночью, то они увидят все сделанное следующим утром…
ТРЕТИЙ ДЕНЬ
Когда Брок просматривал эти записи на следующий день, то обнаружил, что там появлялись различные IP-адреса. Луис поясняет: «после более пристального изучения устройства 3Com мы поняли, что это была разновидность VPN, которую удаленные пользователи использовали для соединения с сетью компании из любого м е с т а Интернета. В этот момент мы были уверены, что попадем в сеть тем же путем, как это делают авторизованные пользователи».
Они
Это не сработало. Они обнаружили, что устройство не может быть сконфигурировано без нарушения существующей системы услуг. Они не могли создать новую VPN-систему, поскольку архитектура устройства была такова, что их возможные действия в нем были весьма ограничены.
«Наши надежды на быстрый доступ внутрь сети быстро таяли. Мы расстроились и притихли. Но это была лишь одна из наших первых попыток, и просто обязан был существовать еще один путь. У нас был сильный стимул, ведь доступ к одному из устройств — это хороший плацдарм для атаки. Просто надо было работать интенсивнее».
Они находились в DMZ сети компании, но когда попытались соединиться оттуда со своим компьютером, им это не удалось. Они хотели выяснить, какие системы присутствуют в сети (так называемый ping), но сделать это из устройства 3Com за межсетевым экраном, чтобы расширить свой список возможных мишеней для атаки. Если бы там были какие-нибудь адреса устройств в оперативной памяти, это означало бы, что какое-то устройство блокирует доступ к протоколам самого высокого уровня. «После нескольких попыток», — говорит Луис, «мы обнаружили входы в оперативную ARP-памятъ, указывающую на то, что некоторые компьютеры сообщают свои адреса». (ARP — Adress Resolution Protocol — это метод для обнаружения адресов узлов. Каждый узел держит в буфере набор адресов, которые через него прошли, чтобы ускорить передачу пакетов данных).
В домене определенно были другие компьютеры, «но на запрос ping они не давали ответа, что было классическим признаком межсетевого экрана. Для тех, кто не знаком с техникой „pinging“, это техника сканирования сети, которая состоит в передаче пакетов определенного типа (ICMP) на компьютер-мишень, чтобы определить — включен он или нет. Если узел работает, то он отвечает своеобразным пакетом ICMP-echo. Это только подтвердило наши подозрения, что есть еще один межсетевой экран и еще один уровень безопасности между устройством 3Com и их внутренней сетью». Луис почувствовал, что они зашли в тупик.
«Мы получили доступ к их VPN-устройству, но не могли с его помощью создать собственную VPN-сеть. Н а ш энтузиазм начал снижаться. Появилось ощущение, что проникнуть в эту сеть будет не так-то просто. Необходим был „мозговой штурм“ для свежих идей».
Они решили исследовать IP-адреса, которые нашли в записи об активности консоли. « М ы решили посмотреть, кто же соединяется с нашим устройством 3Com удаленно, поскольку, если вам удается проникнуть в устройство, то вы можете перехватить его соединения». Или же они могли получить там необходимую для авторизации информацию, которая помогла бы им выдать себя за законных пользователей.
Они знали определенный набор фильтров, говорит Луис, и искали пути обхода этих фильтров в межсетевом экране. Он надеялся на то, что они смогут «найти защищенную систему, в которую им удастся проникнуть через межсетевой экран. Нас очень интересовали IP-ад-реса».
Когда они соединялись с консолью системы 3Com, объясняет он, при соединении с ней удаленного пользователя или изменении конфигурации на экране появлялось соответствующее сообщение. « М ы могли видеть все соединения, идущие на этот IP-адрес».