Инструменты хакинга

На всех этапах сражений в киберпространстве хакеры и антихакеры применяв: виртуальное оружие - специальные программные инструменты, для каждог конкретного сценария атаки - свои. Все это соответствует реальной жизни -самом деле, отправляясь на разбой незачем брать с собой отмычки, а для взлох сейфа не требуется парабеллум. С другой стороны, чтобы защититься от атак DoS вовсе не обязательно шифровать все свои файлы, а для защиты от хищени номеров кредитных карточек вовсе не обязательно устанавливать систему IDS.

В предыдущей главе мы упоминали о средствах пассивной обороны, традицн онных для современных систем защиты. Было отмечено, что инструменты ан-тивной обороны антихакера включают в себя методы и инструменты, которьи используют хакеры. Среди всех этих инструментов имеются универсальные применяемые при любых сценариях вторжения, например, средства сокрыти следов, а также специализированные, например, сканеры открытых портов применяемые только при сетевых вторжениях. В этой главе мы перечислим вс. описываемые в книге инструменты хакинга вместе с кратким описанием и: функций. Это позволит вам быстро сориентироваться в содержимом книги и н^ тратить время на изучение тех средств, которые вы не собираетесь применят! на практике.

Говоря понятнее, социальная инженерия - это мошенничество, которое представляет собой универсальный и всемогущий инструмент, применяемый практически при всех сценариях вторжения. К социальной инженерии относится рассылка электронной почты с вирусами и Троянами, телефонные звонки в атакуемую организацию с целью выведать полезную для вторжения информацию, переговоры в чатах с целью выведать нужные хакеру данные и многое другое.

В Уроке 1 мы уже приводили пример письма, с помощью которого разного рода личности «напаривают лохов» с целью халявного доступа к Интернету. Другие примеры писем подобного рода можно найти в журналах «Хакер»; их содержание меняется в зависимости от наклонностей авторов, но есть и нечто общее. Суть этих писем одна - заставить «ламера» раскрыться и выдать конфиденциальную информацию или выполнить действия, разрушающие систему защиты компьютера, к примеру, запустить прикрепленное к письму вложение с хакер-ской программой, скажем, троянского коня.

Что удивительно, так это простота, с помощью которой можно обойти все препятствия системы защиты, воспользовавшись доверчивостью сотрудников атакуемой фирмы. Например, в [3] приводится пример взлома почтового ящика сотрудника фирмы, выполненный с помощью звонка в справочный отдел организации. Выдав себя за директора информационного отдела, «забывшего» свой пароль, позвонивший в справочный отдел один из авторов книги [3] тут же получил пароль прямо по телефону!

Еще более интересный метод взлома почтового ящика предлагается в [1]. Общаясь в чатах, хакер выведывает адрес почтового ящика своей жертвы (якобы для последующего общения). Далее хакер пытается открыть этот ящик и, не зная пароля, прибегает к услуге, часто предоставляемой почтовыми серверами забывчивым клиентам - предоставлению пароля при ответе на контрольный вопрос. Как правило, список этих вопросов невелик, и включает такие пункты, как «Любимое блюдо», «Имя вашей собачки», «Девичья фамилия матери» и тому подобное. Допустим, при попытке взлома почтового ящика будет задан вопрос «Любимое блюдо». Все, что теперь нужно сделать хакеру - это, общаясь в чате, выведать у своей жертвы гастрономические пристрастия.

По мере изложения материала мы будем постоянно обращаться к теме социальной инженерии, поскольку эта тема неисчерпаема. Всем, кто захочет еще больше углубить свои познания в этой области, рекомендуем обратиться к выпускам журнала «Хакер», все время преподносящего новинки в деятельности такого рода. Главное условие для их применения - наличие определенных специфических наклонностей и некоторые познания в человеческой психологии.

В приведенном выше примере хакинга почтового ящика имя и фамилию директора информационного отдела взломщики узнали из регистрационной информации доменных имен Интернета. Эту информацию без ограничений предоставляют многие Web-сайты Интернета (например, сайт компании RIPE NCC по адресу http://www.ripe.net). Такие Web-сайты, содержащие базы данных Whols, весьма полезны для выполнения хакерских атак, тем более, что они не требуют никаких расходов и специальных программных инструментов.

Другую, не менее обширную информацию о взламываемой системе можно получить из Интернета с помощью различных поисковых систем, например, предоставляемых различными Web-сайтами. К их числу относится Yahoo (http://www.yahoo.com), или русскоязычный сайт Rambler (http://www.rambler.ru). Применение этих сайтов весьма разнообразно. Например, просматривая разделы, посвященные финансовым организациям, хакеры ищут компании, находящиеся в процессе реорганизации. Как правило, в таких компаниях царит беспорядок, системы защиты ослабевают, и у хакера появляется шанс запустить коготок в нужный ему информационный ресурс [3].

Очень полезные для хакера сведения предоставляет поисковая система Google (http://www.google.com), позволяющая найти в Интернете серверы с определенной структурой каталогов. Например, выполнив поиск серверов, содержащих каталог C:\WINNT, можно выявить серверы с операционной системой Windows NT/2000.

Тем самым будет решена одна из задач инвентаризации компьютерной системы -определение операционной системы, что весьма важно для выбора стратеги-хакинга системы.

Более эффективный поиск нужной информации в Интернете хакер может вь: полнить с помощью специальных программ, например, утилиты Teleport Prc описанной в Главе 12. Эта утилита позволяет выполнять поиск в Интернете интересующей хакера информации по указанному ключевому слову, загружат отдельные Web-сайты на жесткий диск, и исследовать их с целью выявлени; полезной информации. Например, хакеры ищут информацию, оставленную i коде HTML Web-страниц по недосмотру или по неосторожности - телефоны адреса электронной почты сотрудников, структуру каталогов сервера HTTP \ так далее. Все это весьма ценное приобретение, поскольку, зная, скажем, телефонный номер организации, хакер может прозвонить целый диапазон телефонных номеров, близких к найденному номеру, и найти телефонную линию с модемом, подключенным к сетевому компьютеру организации (все это описано Е Главе 18 книги).

Ну и наконец, очень много ценной информации можно найти в рекламных буклетах и содержимом Web-сайтов организаций - телефоны, адреса электронной почты сотрудников, их имена. Все эти сведения могут оказаться ниточкой, которая приведет хакера к бреши в системе защиты компьютерной системы.

В Уроке 1 мы уже говорили, что информационные ресурсы, которые хакер может извлечь из атакуемой системы, хранятся в файлах документов и базах данных. Получив компьютера. Решение этой задачи распадается на два этапа.

Во-первых, войдя в систему, хакер должен выполнить то, что называется расти -рением привилегий, т.е. попытаться получить права пользователя системы с как можно более широкими правами доступа к ресурсам системы, лучше всего, администратора. Один из путей решения этой задачи - взлом базы данных SAM (Security Account Manager - Диспетчер учетных записей системы защиты), хранящей пароли доступа к операционной системе в зашифрованном виде. Взлом базы SAM - весьма заманчивая для хакера цель, и методы ее достижения мы описываем в Главе 5 этой книги на примере знаменитой программы, ставшей классикой взлома, доступ к ресурсам файловой системы, неважно, локальный или удаленный, хакер попытается взломать доступ к документам и базам данных, хранимым на жестком диске LOphtCrack версии LC4 (http://www.atstake.com).

Во-вторых, хакер должен взломать защиту файлов с интересующими его данными, например, почтовый ящик с текущей перепиской, кошелек Windows с номерами кредитных карточек, документы MS Office и так далее. Если файлы данных зашифрованы, то перед хакером встает задача взлома пароля доступа. Для решения такой задачи существует множество программ, обсуждаемых в Уроке б этой книги. Мы описываем целый пакет программ Office Password 3.5 http://lastbit.com/download.asp) для взлома множества информационных ре-сурсов Windows - электронной почты, кошельков, архивов и других.

Другие задачи решает описанная в Главе 6 программа Revelation от компании SnadBoy (http://www.snadboy.com). Эта программа позволяет определить пароли, скрытые за строкой «*****» в поле ввода пароля - к сожалению, новые приложения уже не допускают такого простого взлома своих паролей, но кое-какую ломощь программа Revelation оказать в состоянии.

Вообще, задачи взлома доступа к шифрованной информации составляют целую научную дисциплину, называемую криптоанализом, которая, в свою очередь, является целым разделом отрасли знаний, называемой криптографией. Для задач хакинга криптография представляет настолько большую важность, что в Приложении D этой книги дано краткое введение в криптографию, прочитав кото-эое, вы сможете более уверенно оперировать такими понятиями, как «ключ шифрования», «электронная подпись», «сертификат» и тому подобными.

Антихакеру инструменты взлома паролей также могут пригодиться - кто из нас не терял пароли доступа к шифрованным файлам или провайдеру Интернета? Вдобавок, знание возможностей хакерских программ сильно помогает при на-ггройке системы защиты, поскольку заставляет более ответственно подходить к задаче выбора паролей - вы поймете, что короткий простой пароль - это зияющая дыра в системе защиты.

Беспечные путешественники по виртуальным просторам Интернета - это любимая пожива для хакеров. Мало кто задумывается, открывая очередной Web-сайт, какие цели преследовали создатели сайта, а ведь они вполне способны изрядно потрепать нервы и опустошить кошелек доверчивого клиента очередного "бесплатного" сервиса или Интернет-магазина.

Хакер может, пользуясь некоторыми недостатками системы защиты Web-браузеров, сконструировать такую Web-страничку, что браузер доверчивого Web-путешественника превратится в оружие хакера, размещая и запуская без ведома хозяина в памяти компьютера враждебные программы. Способы конструирования таких Web-страничек описаны в Главе 8 этой книги, а если вы не знакомы с языком HTML, то можете обратиться к Приложению А в конце книги, содержащем краткое введение в язык HTML 4.

Другой популярной забавой хакеров можно назвать использование электронной почты, которая ныне все больше превращается в самый настоящий рассадник вирусов. В самом деле, открывая ленты новостей различных Web-сайтов, то и лело сталкиваешься с предупреждениями и страшными историями о только что появившемся вирусе. Вот и сейчас, в момент, когда пишутся эти строки, новости сайта Rambler (http://www.rambler.ru) сообщают о вирусной атаке новой разновидностью вируса «Чернобыль»...

Более того, квалифицированный хакер может составить свое письмо так, что ег вложение будет содержать любую, самую злонамеренную программу, а почте вый клиент автоматически запустит эту программу безо всякого уведомлени пользователя, что может привести к самым печальным последствиям. В Главе мы опишем, как составляются письма с активной «начинкой» и какие для этот используются программные средства.

Спамминг также можно отнести к распространенному явлению нынешнего ки берпространства. В распоряжении хакера находятся «мейлбомберы», забрасы вающие почтовый ящик жертвы разным мусором, и в Главе 10 описана про грамма с устрашающим названием Death & Destruction Email Bomber - Смер тельный и Всесокрушающий мейлбомбер. Цели таких акций могут быть самым! разнообразными, в том числе самыми злонамеренными. Еще интереснее для хакера - залезть в почтовый ящик своего ближнего, а это можно сделать с помощью программы взлома доступа к почтовому серверу, например, описываемой Е Главе 10 популярной утилиты Brutus.

Вниманием хакеров не обойдены и другие службы Интернета, например, ICQ. Чтс может быть забавнее - выявить IP-адрес своего ICQ-собеседника и с помощьк программы так называемого «флудера» (от английского слова flood - заливать послать ICQ-собеседнику целую лавину пакетов, подвешивающих его компьютер! Для этого существует множество программ - например, обсуждаемая в Главе 11 программа ICQ Flooder, входящая в пакет программ ICQ-MultiVar, содержащего целый комплект весьма полезных инструментов для подобного рода проделок в киберпространстве.

Эти инструменты одинаково пригодны и хакеру и антихакеру - например, отслеживая IP-адрес и поведение ICQ-собеседника и имея под рукой флудер ICQ. можно достичь гораздо большего взаимопонимания обоих сторон, особенно если дать своему собеседнику возможность узнать о наличии у вас таких средств. Следует только не увлекаться и не стремиться к большему эффекту, чем это необходимо для обороны.

Web-серверы весьма привлекательны для хакера, поскольку эти серверы открыты для атак из Интернета, включая такие опасные атаки, как вторжение в корпоративную сеть и атаки DoS, выводящие из строя Интернет-сервисы сайта. Недостатки же защиты серверов Интернета, включая сервер IIS 5 (Internet Information Server - Информационный сервер Интернета) компании Microsoft делают шансы на успех таких атак достаточно реальными.

Для атаки Web-серверов хакер может использовать многочисленные инструменты, которые позволяют сканировать уязвимые сценарии на Web-серверах, отыскивать в коде HTML полезные для взлома системы сведения и выполнять другие действия. В Главе 12 описаны некоторые популярные инструменты этого рода, в частности, программа CGIScan поиска уязвимых сценариев и программа Brutus, позволяющая взломать защиту серверов IIS методом простого перебора всех паролей доступа. В Главе 13 мы описываем инструменты, применяемые для наиболее популярных атак DoS.

Для антихакера инструменты атаки Web-серверов также представляют интерес, поскольку позволяют выполнять ответные действия против хакеров, мешающих нормальной работе Web-сервера. Например, распределенную атаку DoS можно пресечь, посылая на компьютеры-зомби пакеты, препятствующие их работе. Антихакеру следует также знать возможности инструментов хакинга Web-серверов и, например, избегать применения уязвимых CGI-сценариев. Далее, для проверки своих сайтов на уязвимость антихакеру очень полезно прибегнуть к инструментам, применяемым хакерами при сканировании уязвимостей сайтов.

Для взлома доступа к компьютерам сети TCP/IP хакеру, прежде всего, следует изучить ее структуру, определив подсоединенные к сети компьютеры, их локальные IP-адреса, выявить открытые порты компьютеров и функционирующие на них операционные системы, службы и приложения. Для этого и существуют программы сетевых сканеров, функции которых подобны инструментальным средствам анализа функционирования компьютерной сети.

В Уроке 14 мы описываем одну из наиболее популярных хакерских утилит сканирования сети - программу SuperScan, входящую в набор программ foundstone_tools (http://www.foundstone.com). Также не обойден вниманием пакет программ W2RK (Windows 2000 Resource Kit - Комплект инструментов администратора Windows 2000), который настолько полюбился хакерам, что стал называться комплектом W2HK (Windows 2000 Hacker Tools - Комплект инструментов хакера Windows 2000).

Для администрирования сети TCP/IP компьютеров Windows также используются утилиты, работа которых основана на протоколе SNMP (Simple Network Management Protocol - Простой протокол сетевого управления). В Главе 14 мы описываем некоторые из этих утилит, входящие в пакет программ SOLARWINDS (http://www.solarwinds.com) - программу просмотра сетевых ресурсов IP Network Browser, а также взломщики паролей доступа к базам данных SNMP - утилиты SNMP Brute Force Attack и SNMP Dictionary Attack. Средства пакета W2RK и SOLARWINDS прекрасно дополняют друг друга, поскольку средства W2RK для работы с протоколом SNMP недостаточны для решения задач хакинга.

Антихакеру средства сканирования сети полезны в том смысле, что позволяют выяснить ее уязвимость, не дожидаясь, пока это сделает хакер.

Программы перехвата сетевого трафика позволяют хакерам вытворять очень многие штучки, подсоединившись к сетевой кабельной системе с помощью специальных приспособлений, либо просто запустив хакерскую утилиту на легаль ном сетевом компьютере. Учитывая хаос, который чаще всего царит в локальных сетях организаций с множеством никем не контролируемых компьютеров пользователи которых имеют права на установку и запуск каких-угодно служб и программ, последний вариант действий хакера представляется оптимальным. Дополнительные возможности предоставляет наличие беспроводных сетей, обмен информацией в которых выполняется по радиоканалам. В таком случае достаточно за стенкой поставить свой компьютер с радиомодемом, чтобы получить полный доступ к информации, циркулирующей в сети.

Простейшей атакой перехвата данных является снифинг - прослушивание передаваемой по сети информации. В состав этой информации входят пароли доступа к общесетевым ресурсам, сообщения электронной почты, циркулирующие как внутри сети, так и пересылаемые внешним адресатам, передаваемые по сети информационные файлы и прочие весьма лакомые для хакера данные. В Главе 17 описан один из наиболее популярных сниферов - программа SpyNet, которая позволяет выполнять весь набор описанных выше процедур и имеет весьма удобный графический интерфейс.

Снифинг не ограничивается только перехватом передаваемой информации -подсоединившись к локальной сети, хакер может выполнять и другие интересные вещи, например, перехват и переадресацию на свой компьютер передаваемых по сети данных. Для этого используется достаточно тонкая техника, основанная на протоколе ARP (Address Resolution Protocol - Протокол разрешения адресов), с помощью которого сетевые компьютеры узнают о существовании друг друга. Используя некоторые свойства протокола ARP, можно сделать так, что два сетевых собеседника будут посылать друг другу сообщения через посредничество хакера. Возможности таких методов хакинга просто безграничны - от выведывания секретов у своих собеседников, до компрометации участников переговоров. К сожалению, в сетях Windows практическая реализация таких атак значительно отстает от сетей Unix, однако в Главе 17 описаны некоторые теоретические аспекты атак перехвата сетевых данных, исходя из того, что жизнь не стоит на месте, и надо ожидать развития этого интересного направления хакинга.

Антихакер, зная о таких методах хакинга, может предпринять свои меры защиты -шифровать передаваемые данные с помощью технологии VPN (Virtual Private Network - Виртуальные частные сети) или использовать программы, называемые антисниферами, которые выявляют хакерские компьютеры-перехватчики сетевых данных. Более того, сниферы, как и сетевые сканеры, представляют собой мощные инструменты анализа функционирования сети, и их возможности по поиску вторжения неисчерпаемы, чем и должен пользоваться любой квалифицированный антихакер.

Мы уже говорили, как хакеры переименовали пакет утилит W2RK (инструменты обслуживания Windows 2000) в пакет W2HK - инструменты хакинга Windows 2000, поскольку утилиты из этого пакета прекрасно подходят для исследования атакуемой системы. В операционной системе Windows имеется и другое средство -Проводник (Explorer) Windows, весьма удобный для исследования информаци-онных ресурсов хакнутой системы. Скажем, хакер может прибегнуть к поиску файлов по определенному ключевому слову, например, password, или пароль. как указано в [3], просто удивительно, насколько распространена порочная практика хранения паролей доступа к закрытым информационным ресурсам, типа номеров кредитных карточек, в незащищенных текстовых файлах. Так что взломавший компьютерную систему хакер сможет без труда получить доступ и к другим интересным ресурсам, найдя, допустим, файл с названием password.txt или файл, содержащий строку пароль к провайдеру ISP.

Антихакер должен уметь прятать ценные данные от таких инструментов хакинга -делать файлы невидимыми, сохранять в шифрованных дисках, присваивать нейтральные имена и так далее. Неплохо также научиться применять средства шиф-рования, встроенные в файловую систему NTFS компьютеров Windows 2000/XP, или предоставляемые другими криптографическими приложениями, например, PGP Desktop Security.

Эксплойты - это программы, которые используют уязвимости для вторжения в компьютер, т.е. наиболее важные для хакера инструменты. В Главе 1 мы уже упоминали про Web-сайты различных организаций, поддерживающих базы данных уязвимостей и эксплойтов компьютерных систем (см., например, сайт http://www.securitylab.ru). В Главе 12 мы опишем технологию применения экс-плойтов на примере хакинга сервера IIS. Найдя с помощью сканера CGIScan уязвимый сценарий, хакер может обратиться к базе данных уязвимостей и эксплойтов и попытаться взломать доступ к серверу. К сожалению, нынче в Интерчете очень трудно найти настоящий исполняемый файл эксплойта для современных приложений - в отличие от предыдущего поколения программ, например, для серверов IIS 4. В лучшем случае эксплойты в Web представлены в виде исходных программных кодов, с которыми еще нужно долго разбираться. Так что эксплойты - это отнюдь не ключик, открывающий двери к искомому ресурсу, а скорее заготовка для этого ключика. Так что все в ваших руках.

Для антихакера обязательно знание всех уязвимостей и эксплойтов, угрожающих его системе; более того, эти сведения должны непрерывно обновляться, поскольку «безопасность - это процесс» (Брюс Шнайер). То, что надежно защищает вас сегодня, завтра будет непригодно - кто-нибудь, да найдет маленькую дырочку в системе защиты, а уж расширить ее - это дело техники.

Вирусы - это тоже инструменты атаки, которые позволяют внедрить в систем} соглядатая или просто злонамеренную программу. Особую опасность представляют троянские кони - программы, которые внедряются в систему и позволяют хакеру удаленно управлять хакнутым компьютером. В Главе 14 мы опишем возможности старого и заслуженного троянского коня NetBUS, который делает взломанный компьютер практически рабом хакера. А установка троянов на атакуемом компьютере - не такое уж и сложное дело, как это может показаться Для этого следует только разослать письма с вложением — программой троянского коня и дождаться, пока очередной «ламер» щелкнет на ссылке с заманчивым предложением, скажем, обновить с помощью присланного вложения свой браузер Интернета.

Для борьбы с такими инструментами хакинга существуют антивирусы и специализированные программы удаления троянов. Для антихакера трояны также могут пригодиться - скажем, получив от хакера письмецо с вирусной начинкой, выявите его злонамеренное содержимое антивирусом и отошлите начинку обратно авторам вместе с благодарностью за заботу. Или, например, вдруг кто-тс украдет ваш компьютер - и тогда, быть может, хитро запрятанный троянский конь может облегчить поиски вора... Помните однако, что распространение вирусов карается по закону, и автор ни в коем случае не одобряет таких действий.

Наиболее оснащенные и квалифицированные хакеры имеют в своем распоряжении совсем уж продвинутую возможность - перехватывать электромагнитное излучение, идущее от сетевых кабелей и разных компонентов компьютеров, и извлекать из этого потока сигналов полезные данные. Несколько лет назад в прессе даже мелькали сообщения о системах тотальной слежки спецслужбами США за ВСЕМИ диапазонами радиоволн, которые только существуют на земном шаре. На менее глобальном уровне атаки перехвата электромагнитного излучения могут выполняться с помощью фургона с оборудованием, принимающим сигналы от работающего монитора компьютера в офисе конкурента.

Такая угроза - отнюдь не пустая выдумка создателей популярных сериалов, и на хакерских сайтах имеется множество сведений о технологиях и оборудовании, используемом для таких атак. В США даже существует федеральный стандарт TEMPEST, регламентирующий построение защиты от угроз перехвата электромагнитного излучения. Однако такие атаки - это сложное и дорогостоящее предприятие, и они угрожают только весьма серьезным организациям, которые, надо думать, не нуждаются в наших советах по защите. Поэтому такие атаки далее мы рассматривать не будем.

В этой главе мы попытались облегчить читателям работу с книгой - по крайней мере, теперь вам стала ясна ее структура, и понятно, что следует прочитать, что-бы научиться выполнять определенную атаку. И в самом деле, зачем знакомить-ся с сетевыми атаками, если можно залезть через форточку в комнату с компью-тером (автор не советует), извлечь жесткий диск, быстро убежать и познакомиться с ним в спокойной обстановке? Или, к примеру, стоит ли пытаться за-лезть через Интернет на сервер организации, политика безопасности которой сводится к листочкам со списками паролей, приклеенным скотчем к мониторам компьютеров?

В самом деле, почитайте содержимое хакерских сайтов Интернета - и что же? Оказывается, можно просто залезть в мусорный ящик организации, использующей компьютерные технологии (а кто их не использует), чтобы добыть целый мешок дискет, документов, всяких бумажек, содержащих практически все - от паролей доступа к компьютерной сети до самых конфиденциальных данных. Но в этой книге мы ограничимся хакерскими технологиями, не связанными с такими экзотическими методами.

Инструменты хакинга весьма разнообразны и выбор наиболее эффективных из них зависит от опыта и возможностей хакера. Причем, если вас интересует-именно информация, а не всякие интересные штучки, свойственные личностям наподобие доктора Добрянского из Главы 1, следует избирать наиболее оптимальную тактику вторжений. Антихакеру же следует уделить самое пристальное внимание всем технологиям хакинга, чтобы не стать субъектом, которого "кул хацкеры" в просторечии называют «ламером».

А теперь приступим к изучению самих инструментов хакинга, которые позволяют выполнять все эти удивительные вещи, про которые мы часто читаем в прессе и видим на экранах телевизоров, иногда видим пользователей этих инструментов в сопровождении джентльменов в фуражках и комментариев на тему •вот что бывает, если не слушаться старших...». Поэтому, чтобы избежать многих неприятностей в дальнейшем, начнем с изучения своего противника - системы защиты компьютеров Windows 2000/XP.