«Мы относились к этому, как к проблеме, которая должна быть решена. Поэтому сначала мы должны были отыскать как можно больше информации об этой компании», — говорит Луис. Они начали с того, что стали искать упоминания о компании в Google, используя Google даже для перевода текстов, поскольку никто из них не говорил на языке той страны, где была расположена их мишень.
Автоматический перевод давал им вполне достаточное представление о том, чем занимается компания и насколько велик ее бизнес. Но им было непросто организовывать атаки социальной инженерии из-за языкового барьера.
Они смогли определить общедоступные IР-адреса компании для Интернет-сайта и почтового сервера из европейского регистра IP-ад-ресов (RIPE), аналогичного A R I N в США.
(ARIN — American Registry of Internet Numbers — американский регистр Интернет-адресов — это организация, которая управляет номерами IP-адресов для США и примыкающих к ним стран. Поскольку Интернет-адреса должны быть уникальными, должна существовать специальная организация, которая будет следить за этим и выделять компаниям блоки IP-адресов. RIPE — Reseaux IP Europeens — организация, распределяющая номера IP-адресов для Европы).
Они поняли, что хостингом внешнего сайта занималась специальная компания. Но IP-адрес их почтового сервера был зарегистрирован на саму компанию и располагался внутри их корпоративных адресов. Поэтому наши ребята могли запросить DNS компании и получить IP-адреса, проверяя записи обмена письмами.
Луис попробовал применить технику посылки электронной почты на несуществующий адрес. Вернувшееся к нему письмо с уведомлением о том, что оно не может быть доставлено, могло содержать в своем заголовке некоторые IP-адреса компании и некоторую информацию о маршруте доставки электронной почты.
Однако в нашем случае Луис получил ответ от внешнего почтового ящика компании, поэтому в нем не содержалось никакой полезной для него информации.
Брок и Луис понимали, что их жизнь стала бы легче, если бы у компании был собственный Domain Name Server. В этом случае они могли бы сделать запросы, чтобы попытаться получить больше сведений о внутренней сети компании или использовать какие-то лазейки, связанные с конкретной версией DNS. Им не повезло: DNS компании был расположен у местного Интернет-провайдера.
ОПРЕДЕЛЕНИЕ СТРУКТУРЫ СЕТИ
В качестве следующего шага Луис и Брок использовали обратное сканирование DNS, чтобы получить имена узлов различных систем, расположенных в диапазоне IP-адресов компании (как уже не раз объяснялось в главе 4 и других местах). Чтобы сделать это, Луис использовал «просто текст REFL», который написали сами ребята. (Обычно атакующие используют имеющееся в наличии ПО для обратного DNS-сканирования, например, такое, как на сайте http://www.samspade.org ).
Они заметили, что «от некоторых систем компании к ним возвращалось достаточно много информативных имен», которые служили ключом к тому, кто какие функции выполняет внутри компании. Это давало также некоторое представление о стиле мышления сотрудников ИТ-департамента компании. «Выглядело так, как будто администратор не полностью контролирует всю информацию о своей сети, а это был первый ответ на вопрос: смогут ли они проникнуть внутрь или нет». По мнению Брока и Луиса, полученные сведения давали основания для оптимизма.
Это один из примеров того, как кроме чисто технических методов проникновения хакеры занимаются и своеобразным психоанализом, стараясь проникнуть в головы администраторов и понять, как они создавали свою сеть. Для наших конкретных атакующих «это было основано частично на уже имеющемся у нас знании о сетях и компаниях, которые мы уже видели в европейский странах, на наших ИТ-знаниях и на том факте, что в этой стране люди отставали от Англии на год-полтора».
ОПРЕДЕЛЕНИЕ МАРШРУТИЗАТОРА
Они анализировали сеть, используя обычный метод отслеживания путей UNIX, который показывает число маршрутизаторов, через которые прошли пакеты данных к определенной цели; на жаргоне это называется числом «скачков». Они проанализировали подобные пути для почтового сервера и для пограничного межсетевого экрана. Отслеживание путей показало им, что почтовый сервер находится на один скачок за межсетевым экраном.
Эта информация дала понять, что почтовый сервер либо находится в DMZ, либо все системы за межсетевым экраном расположены в одной сети. (DMZ — это так называемая демилитаризованная зон а — электронная область, где нет людей, расположенная между двумя межсетевыми экранами и обычно доступная как из внутренней сети, так и из Интернета. Цель DMZ состоит в защите внутренней сети на тот случай, если какая-то из систем, доступная из Интернета, будет взломана).
Они знали, что у почтового сервера открыт порт 25 и, проделав traceout, поняли, что могут проникнуть через межсетевой экран для связи с почтовым сервером. «Вначале нам показалось, что мы сбились с пути, но потом мы быстро поняли, что перескочили маршрутизатор, и находимся уже за межсетевым экраном, а еще на один скачок за ним мы увидели почтовый сервер, и мы начали понимать, как устроена сеть».
Луис говорил, что они часто начинают свою атаку с проверки нескольких общедоступных портов, которые, как известно, остаются открытыми для межсетевого экрана: среди них он называл порт 53 (используемый Domain Name Service); порт 25 (почтовый сервер SMTP); порт 21 (FTP); порт 23 (telnet); порт 80 (HTTP); порты 139 и 445 (оба используются для NetBIOS в различных версиях Windows).
«Перед тем, как проводить сканирование портов, мы очень точно убедились, что имеем список узлов для атаки, в котором нет неиспользуемых IP-адресов. На самом начальном этапе надо иметь список реальных мишеней, а не перебирать все IP-адреса слепо. После перечисления потенциальных мишеней мы поняли, что есть пять-шесть систем, которыми имеет смысл заниматься и дальше».
Они обнаружили только три открытых порта: почтовый сервер, Интернет-сервер со всеми установленными заплатками в системе безопасности, которые на самом деле даже не использовались и telnet на порте 23. Когда они пытались проникнуть в систему через telnet, то всегда получали типичный для оборудования компании Cisco ответ «Проверка права доступа», Таким образом, единственное, что им удалось узнать на этом этапе, это тип маршрутизатора.
Луис знал из своего опыта, что пароль на маршрутизаторах Cisco часто устанавливался каким-то очевидным. « Н а этот раз мы попробовали три разных пароля „имя компании“, „blank“ и „Cisco“, но не смогли проникнуть в маршрутизатор. Поэтому, чтобы не создавать лишнего шума, мы решили прекратить попытки проникновения через эту услугу».
Они попробовали просканировать устройство Cisco на предмет открытых общеизвестных портов, но не смогли никуда попасть. «Итак, в первый день нашей работы мы потратили много времени и сил на изучение компании и ее сети и начали первичное сканирование некоторых портов. Не могу сказать, что мы были готовы отказаться от своей затеи, поскольку у нас в запасе еще было несколько приемов, которые мы всегда пробовали в своей практике перед тем, как прекращали атаку».
В общем, все, что они сделали за первый день, это идентифицировали один маршрутизатор.
ДЕНЬ ВТОРОЙ
Настал второй день и Луис и Брок решили н а ч а т ь более интенсивное сканирование портов. Вот что рассказывает Луис, используя термин «услуги» для обозначения открытых портов.
«В этот момент мы думали о том, что надо найти больше услуг на этих компьютерах. Поэтому мы несколько изменили стратегию атаки и решили поискать их более тщательно. Мы расширили объем поисков, чтобы отыскать что-нибудь, что помогло бы нам проникнуть в сеть. Мы видели, что у них стоял межсетевой экран с очень хорошей фильтрацией. Мы искали в нем хотя бы небольшую ошибку или неправильную конфигурацию».
Затем, используя программу Nmap — стандартное средство для сканирования портов — они проделали сканирование набора услуг при помощи файла, который просматривал каждый из 1600 портов; и опять не нашли ничего интересного.
«Итак, мы провели максимально полное сканирование, проверив маршрутизатор и почтовые сервера». Максимально полное означает проверку более 65 т ы с я ч портов. « М ы проверили к а ж д ы й ТСР-порт и искали возможные услуги на таких портах, которые были в нашем списке».
Наконец они нашли нечто интересное, немного странное и поставившее их в тупик.
Порт 4065 был открыт. Странно было, что порт с таким большим номером используется. Луис о б ъ я с н я е т : « М ы подумали, что, может быть, они сконфигурировали telnet на этот порт. Поэтому мы послали telnet-сигнал на этот порт и стали ждать отклика». (Telnet — это протокол для удаленного управления компьютером в любом месте Интернета). Используя telnet, Луис присоединялся к удаленному порту, который воспринимал команды от его компьютера и отвечал на них так, что ответы попадали на экран компьютера Луиса.
