Что произойдет, если хакер со средней квалификацией решит взломать несколько компьютеров, а затем продавать доступ к ним? Эту интригующую тему мы рассмотрим в следующих нескольких статьях. Как всегда, мы в основном будем останавливаться на технических деталях, благодаря которым вы сможете повторить все, что сделал я.
Те из вас, у кого было время прочитать мою серию статей о трояне Optix Pro, вспомнят нашего друга хакера. Он был достаточно ленивым парнем и не хотел готовиться к тесту по математике, а вместо этого установил трояна на компьютер своего профессора. Но его опрометчивый поступок имел неприятные последствия, и все закончилось тем, что его выгнали из колледжа.
Теперь перенесемся на несколько месяцев вперед, когда John с пользой проводит свое время. С тех пор он решил, что школа не для него и он будет улучшать свой хакерские способности. Поэтому, большое количество времени John тратил на различные чаты и на посещение сомнительных сайтов. Потраченное время не прошло зря, и у него действительно наблюдается некоторый прогресс.
John организованно подошел к обучению и потратил свое время на изучение сетевых протоколов, некоторых принципов программирования и разработку примитивных программ, использующих уязвимости. Все это было сделано с помощью компьютерной лаборатории, которую он создал для себя. Он пошел дальше и купил себе копию VMWare, а также установил на него различные операционные системы Microsoft Windows, в добавление к Linux.
Это компьютерная лаборатория для исследования различных концепций сильно помогла в его разработке. Во время разговора с одним из его друзей в голове John возникла идея. Они разговаривали о DoS атаках, и методах, благодаря которым некоторые хакеры наращивают свою армию зомби. И к Джону пришла идея, как на этом заработать. Была только одна проблема, он недостаточно знал о коде, использующем уязвимости, чтобы взрастить эти огромные армии паразитов.
John был совершенно уверен в использовании одной части кода, который поможет получить системный доступ к Windows 2K/XP/2K3. Он использовал уязвимость M3-026 , чтобы изучить, что делать с компьютером, после того, как ты получил к нему доступ. И хотя этому коду было уже несколько лет, он до сих пор оставался очень эффективным. И в конце концов существовало не много таких кодов, результатом которых было получение удаленного доступа к компьютеру. Но это было святым граалем для взломщика; получить или перенаправить оболочку, с помощью которой можно выполнять свои команды.
По мнению Джона использование уязвимости MS03-026 до сих пор оставалось очень полезным, т.к. он просканировал большой интервал портов с помощью кабельного модема и нашел очень много компьютеров, не защищенных сетевыми фильтрами с открытым портом 135. И хотя не все из этих компьютеров могут быть уязвимы, по крайней мере, на нескольких, хозяева которых не установили нужное обновление, эту уязвимость можно будет использовать в своих целях. И хотя пока Джон еще не так талантлив, как специалист по компьютерной безопасности, как говорит Mike Sues, он знал, что если он смог взломать компьютер, с помощью использования этой уязвимости, то кто-нибудь еще может захватить управление над компьютером, просто сканируя хорошо известные порты 4000 или 4444.
Итак, Джон знал, что если он хочет осуществить свой план массового использования уязвимостей для продажи доступа к оболочке этих уязвимых компьютеров, сперва ему необходимо устранить уязвимость, которую он использовал для взлома. Это не казалось слишком сложной задачей, т.к. все, что ему необходимо было сделать, это загрузить обновление с сайта Microsoft, а затем установить его. Как бы это не было легко, он решил сначала попрактиковаться сначала на своей компьютерной лаборатории, чтобы не быть пойманным, как в колледже.
Итак, Джону необходимо организовать и спланировать его атаку и схему установки обновления. Какие инструменты ему для этого нужны, и какое обновление ему необходимо установить, чтобы устранить уязвимость MS03-26. Сперва ему необходимо найти обновление. После непродолжительного поиска он нашел это. Как Джон и ожидал, прямо на той же странице он нашел информацию о том, как установить обновление. Хотя, Джон не заметил ничего по поводу того, как установить обновление удаленно, он решил, что это возможно. После этого Джон решил удаленно взломать компьютер, и затем удаленно, с помощью реверсивной оболочки устранить уязвимость.
Наиболее важная часть загадки решена: обновление для MS03-206 на месте, теперь необходимо выбрать остальные инструменты. Джон мог бы использовать код для использования уязвимостей, размещенный на сайте FRSirt или использовать Metasploit Framework, который также имеет это код в своем арсенале. Ему также нужен хороший сканер портов, основанный на win32, поэтому он выбрал Superscan. Он уже использовал этот сканер до этого, и он ему понравился.
Он имеет много замечательных встроенных возможностей, почти столько же, сколько его брат Nmap, написанный под Linux, и с тех пор перенесенный на win32. Также Джону необходим способ для переноса файлов на компьютеры, на которых он собирался использовать уязвимости. Для этой цели он использовал бесплатный сервер TFTP от Solarwinds. Последнее, что ему осталось сделать, это найти что-то, что дало бы ему возможность получить реверсивную оболочку для выполнения команд. Это простую задачу он мог решить использованием Netcat или winport nc.exe.
Со всеми инструментами, собранными вместе, ему осталось решить последнюю часть задачи. Будучи пойманным в колледже, Джон помнил, что они отследили его присутствие на компьютере профессора с помощью утилиты, сканирующей порты, под названием netstat. Более того, он был пойман также потому, что подсоединился к компьютеру профессора в рабочее время. Джону определенно не хотелось быть пойманным опять. Поэтому он решил использовать уязвимость на компьютерах, которые принадлежат к той же подсети, что и он, а также он решил делать это поздно ночью.
Джону теперь лишь осталось решить проблему, как получить реверсивную оболочку в предопределенное время поздно ночью. После недолго поиска он решил остановиться на использовании команды AT. Эта команда позволяет вызывать порт Netcat в определенное время при помощи простого скрипта. Он также понимал, что ему необходимо будет подтвердить локальное время на компьютере с помощью команды time.
Ну, теперь все части головоломки на месте и Джону необходимо лишь опробовать свой сценарий в лаборатории. На этом мы закончим эту часть статьи. Увидимся во второй части!
Источник www.windowsecurity.com