С помощью фундамента, заложенного в первой части этой статьи, теперь мы приступим непосредственно к взлому. Хотя, это взлом с привлечением высокой степени мастерства. Продолжайте читать, чтобы узнать больше.
Если вы пропустили предыдущую статью из этого цикла, прочитайте Оболочки на продажу (Часть 1)
В первой части статьи мы остановились на том, что Джон приготовил все инструменты, а также, разработал методологию. Он знал, что может взломать некоторые компьютеры, но он также захотел защитить свои только что захваченные жертвы. Для этого, он планировал удаленно установить обновление, чтобы залатать дыру, с помощью которой он совершил взлом. Он думал, что это будет не плохо. Такой способ деятельности мы уже видели и он был отмечен выполнением исследований над компьютерами, подверженными захвату. Теперь Джон готов начать практику на своей компьютерной лаборатории. Вся работа будет проделана с помощью двух образов W2K Pro VMWare. Таким способом Джон не сможет испортить свой собственный компьютер. Также, он сможет сделать много копий своих образов, ускоряя свои разработки в случае ошибок. На этом, Джон начинает свою практику.
На первом образе W2K Pro Джон запустил сканер портов, как можно увидеть ниже.
Рисунок 1
Мы видим, что он только ввел IP адрес другого образа W2K Pro, а большинство других установок Superscan оставил по умолчанию. В результате сканирования мы получили богатую информацию об источнике атаки.
Рисунок 2
Мы видим, что, в самом деле, порт 135 открыт и действительно ожидает соединения по UDP и TCP. Более того, DCE или Distributed Computer Environment endpoint resolution. Эта уязвимая служба, которую Джон собирался использовать. Как мы видим, Superscan отлично справился с работой. На рисунке выше мы видим подробную информацию о NetBIOS. С помощью суффикса NetBIOS мы можем сказать, какой тип операционной системы запущен на компьютере, и какие пользователи сейчас работают на нем. Это очень ценная информация, и поэтому эти порты всегда должны быть защищены межсетевыми экранами от внешнего доступа.
Имея эту ценную информацию, Джон может продолжать свою практику. Первый шаг заключался в простом сканировании в попытке отыскать потенциальные жертвы. Теперь пришло время атаковать обнаруженные IP адреса.
Рисунок 3
Для простоты Джон решил использовать Metasploit Framework. Этот инструмент был опробован в результате многих экспериментов по использованию уязвимостей в компьютерной лаборатории. Как вы можете увидеть на рисунке, оно управляется с помощью браузера. msfweb. После этого, просто указываете ваш браузер, набрав в командной строке http://127.0.0.1:55555
Рисунок 4
Здесь мы может увидеть, что необходимо также задать некоторые другие переменные, такие как IP удаленной машины. Как видно из рисунка, существуют еще несколько опция для выбора, но все они выбираются интуитивно.
Рисунок 5
Теперь как мы видим на рисунке 5, в результате практического занятия Джону удалось успешно взломать образ W2K Pro VMWare. Вы видите, что надпись на рисунке гласит: «командная оболочка запущена в сессии 1». Это означает, что у Джона теперь есть ожидающая его реверсивная командная строка. Все что ему нужно, лишь нажать на ссылку «сессия 1». Metasploit Framework, в самом деле, очень хорошее средство, которое позволяет вам захватывать компьютеры. Настоящее назначение этого инструмента – помочь системному администратору или специалисту по безопасности проверить целостность их сети. Это средство абсолютно бесплатно, и эквивалентно многим коммерческим аналогам.
Рисунок 6
Теперь, когда у Джона есть удаленный cmd.exe жертвы его практического занятия, он может перейти к следующему этапу симулированной атаки. Он включает в себя передачу с помощью сервера TFTP некоторых файлов и программ. Он будет использовать следующее;
Следующим шагом для Джона является использование сервера TFTP, который он запустил на атакованном компьютере для передачи файлов и программ, необходимых для дальнейшего использования компьютера.
Рисунок 7
Из простого синтаксиса на рисунке 7 понятно, как вы можете передать такой файл. Это также делается с помощью клиента TFTP, встроенного в операционные системы win32. Следует сделать важное замечание: TFTP передача производится с помощью реверсивной командной строки, поэтому файлы передаются с TFTP сервера атакующего. После того как все файлы переданы, переходим к следующему этапу. Джон испольует команду “time”, чтобы выяснить как время на компьютере жертвы соотносится с его временем. Он видит, что они находятся в одной временной зоне.
Рисунок 8
Это важно, так как Джон будет использовать разницу во времени, чтобы знать, на какое время ему запланировать возвращение командной строки. Это создание временной взаимосвязи между двумя компьютерами, является ключевой для Джона, так как он собирается настроить оболочку для дальнейшей продажи. Благодаря этому он сможет сказать своим покупателям, когда они смогут иметь удаленный доступ. Мало толку в Netcat, установленном на вашем компьютере и слушающим порты, если вы не знаете время, когда сможете получить доступ к удаленному cmd.exe.
На этом мы остановимся. В последней части этой статьи, мы увидим, как Джон устанавливает обновление для защиты от потенциальной атаки его только что захваченного компьютера. Также, мы увидим, как он запланирует возвращение реверсивной командной строки во время сессии прослушивания Netcat. И наконец, мы увидим его окончательный крах, когда он решит продавать захваченные компьютеры и будет схвачен федеральной полицией. Увидимся в третьей части!
Источник www.windowsecurity.com
Tags: ftp