Искусство вторжения - Кевин Митник

«Я наблюдал за человеком, который писал электронное письмо жене или еще кому-то, а сам двигал его мышку по всему экрану. Очень забавно.

Однажды я проник в компьютер какого-то парня и начал двигать его курсор. Он открыл свой блокнот. Я напечатал там «Привет, дружок!»

Естественно, хакер, который стремится получить контроль над чьим-то компьютером, должен выбрать время, когда никого нет вокруг. «Я это обычно делаю после полуночи», — объясняет Габриэль, — «чтобы быть уверенным, что никого больше нет. Я иногда проверяю состояние экрана компьютера. Если работает „скринсейвер“, значит, никого за компьютером нет».

Однажды тот, за кем он наблюдал, заметил его. На экране Габриэля появились слова «Я знаю, что ты за мной наблюдаешь!». «Я мгновенно вышел из компьютера». В другой раз были зафиксированы файлы, которые он просматривал. «Они уничтожили их и послали мне такое письмо — „ ВЫ БУДЕТЕ НАКАЗАНЫ ПО ВСЕЙ СТРОГОСТИ ЗАКОНА“.

ВЗЛОМ БАНКА

Когда Габриэль бродил по Интернету, собирая сведения об IP-адре-се банка Dixie, он обнаружил след, который показал, что это не маленький банк, а крупный с большим числом национальных и интернациональных связей. Еще более интересным было то, что на серверах банка работали приложения Citrix MetaFrame, то есть ПО для сервера, которое позволяет пользователю удаленно управлять его рабочей станцией. На основании прежнего опыта Габриэлю и его другу стало ясно, что здесь может произойти что-то интересное. «Мы с моим другом обнаружили, что большинство систем, использующих серверы Citrix, не имеют хорошего пароля. Они поставляются готовыми к использованию, но без пароля для конечного пользователя».

Габриэль начал работать с портативным сканером, специальным хакерским средством (или средством аудита, в зависимости от склонностей пользователя), которое сканирует другие сетевые компьютеры, чтобы обнаружить открытые порты. Он направленно искал системы с открытым портом 1494, поскольку именно этот порт используется для удаленного доступа к терминальным сервисам Citrix. Поэтому любая система с открытым портом 1494 являлась его потенциальным «владением».

Как только он находил то, что его интересовало, он исследовал каждый файл на компьютере на наличие слова «password». Все это похоже на работу старателей, ищущих золото. Большую часть времени вы промываете пустую породу, но иногда набредаете на самородок. В данном случае таким самородком могла быть невинная запись в каком-то файле «пароль администратора для mail2 — „happyday“».

Таким образом он обнаружил пароль для межсетевого экрана банка. Он попробовал соединиться с маршрутизатором, зная, что чаще всего на них остаются изначально установленные пароли «admin» или «administrator», поскольку пользователи — бесхитростные сотрудники и даже ИТ-профессионалы — начинают использовать новое устройство, даже не задумываясь о том, чтобы сменить этот пароль. Именно это и обнаружил Габриэль — маршрутизатор с изначальным паролем.

После того, как он получил доступ, он добавил в межсетевой экран специальное правило, разрешающее соединяться с портом 1723 — этот порт предназначен для услуг виртуальной частной сети V P N Microsoft, которая обеспечивает безопасное соединение авторизованных пользователей с корпоративной сетью. После того, как он успешно авторизовался в VPN-услугах, его компьютер получил доступ к IP-адресу во внутренней сети банка. К счастью для него, сеть была «гладкой», то есть все системы ее доступны из любого сегмента сети, так что хакер, проникший в один компьютер, получает доступ ко всем другим компьютерам этой сети.

Проникновение в сеть банка, говорит Габриэль, было настолько простым, что «даже стыдно об этом говорить». Банк однажды пользовался услугами целой группы консультантов в области безопасности, которые оставили серьезный отчет о своей работе. Габриэль обнаружил этот конфиденциальный отчет на сервере. Он содержал подробный список всех лазеек, которые обнаружили эксперты — и был прекрасным руководством по захвату сети.

В качестве сервера банк использовал компьютер IBM AS/400, с которым Габриэль еще не встречался. Тем не менее, он нашел на Windows сервере домена полное руководство для приложений, используемых этой системой, которое он и перекачал себе. Когда он напечатал в качестве пароля «administrator» (пароль, используемый на сервере IBM по умолчанию), система впустила его.

«По-моему, девяносто девять процентов людей, работающих на этом компьютере, использовали пароль „password123“. У них не было и антивирусной программы, которая постоянно работала бы в фоновом режиме. Они запускали ее не чаще, чем раз в неделю».

Габриэль спокойно установил программу Spy Lantern Keylogger, любимую им за ее уникальную способность записывать информацию одновременно о любом количестве пользователей, работающих на сервере Citrix. После этого Габриэль стал ждать, когда в систему войдет администратор, чтобы перехватить его пароль.

Вооруженный всеми паролями, Габриэль получал в свое распоряжение доступ ко всем руководствам по использованию приложений на сервере AS/400. Он получил возможность делать все то. что делает кассир — иметь доступ к наличности, просматривать и изменять информацию о счетах пользователей, проверять активы банка и его перечисления, иметь доступ к системе Equifax для кредитов. Он обнаружил также, что с сайта банка он может получить доступ к компьютерной базе данных государственного Департамента автомобилей.

Далее он решил получить всю «мешанину» зашифрованных паролей первичного контроллера доменов (PDC — primary domain controller), который авторизует любой вход в домен. Для этого он выбрал программу PwDump3, которая извлекает все пароли из защищенной части регистра системы. Он получил доступ с привилегиями администратора к компьютеру, затем добавил текст для исполнения PwDump3 в стартовую программу, замаскировав ее под что-то безвредное. (На самом деле он мог избежать этих действий, если бы извлек последние десять паролей из регистра, хотя эти пароли могли принадлежать и обычным пользователям).

Габриэль ожидал, пока администратор домена войдет в машину, за которой он следил. Его программа работала, как ловушка, проявляясь только при определенном событии — в данном случае при входе в систему сисадмина. Когда администратор входит в машину, его зашифрованный пароль тихо копируется в файл. Программа PwDump3 работает из папки администратора. «Иногда приходится ждать нужного момента (входа администратора) по нескольку дней, — говорит Габриэль — Но овчинка стоит выделки».

Когда ничего не подозревающий администратор вошел в машину, его пароль незаметно скопировался в спрятанный файл. Габриэль вернулся к работе, получил зашифрованный пароль и запустил программу для его расшифровки, используя самый мощный компьютер, к которому мог получить доступ.

При таком методе работы расшифровка самого простого пароль типа «password» занимает секунды. Пароли для Windows тоже расшифровываются также достаточно быстро, а сложные пароли с использованием специальных символов могут занять достаточно много времени. «Один такой я расшифровывал целый месяц», — грустно вспоминает Габриэль. Пароль администратора банка состоял всего из четырех строчных букв. На его расшифровку ушло времени меньше, чем вы потратили на чтение этого параграфа.

КОГО-ТО ИНТЕРЕСУЕТ ИНФОРМАЦИЯ О ШВЕЙЦАРСКОМ БАНКЕ?

Некоторые из находок Габриэля были столь впечатляющи, что на их фоне остальные казались ничтожными горошинами.

Он отыскал путь для проникновения в самые т а й н ы е недра банковских операций — процесс переводов. Он обнаружил меню для запуска этого процесса. Он также обнаружил онлайновую форму, которую заполняют авторизованные сотрудники для того, чтобы переводить деньги со счетов пользователей на другие счета (возможно даже в швейцарских банках).

Однако пустая форма не имеет смысла до тех пор, пока вы не умеете правильно заполнить ее. Оказалось, что и это — не проблема. В руководстве, которое он себе уже сгрузил, особенно интересной была одна из глав. Ему не пришлось углубляться в нее, он быстро нашел все, что требовалось.

20.1.2 Ввод/обновление передачи сведений по проводам

Меню: передача сведений (Wires)

Функция: ввести/обновить передачу сведений

Эта возможность используется для входа в неповторяемые линии и выбора повторяемых линий. Неповторяемые линии предназначены для тех пользователей, которые редко осуществляют переводы или для тех, кто не является пользователем, но хочет совершить перевод. С помощью этой функции, входящие линии также могут использоваться после разгрузки. Когда выбрана эта функция, появляется такой экран.

Wire transfers

Wire transfers 11:35:08

Outgoing

Type options, press Enter.

2=Change, 4=Delete, 5=Display Position to …

Opt From account To beneficiary Amount