Удаленный доступ 229

самостоятельно. Для этого он может применить такие средства, как NAT, SMBGrind, L0phcrack, NT RAS, winhlp32, IISHack (Windows NT/2000/XP), Brutus, brute_web.c, pop.c, middlefinger, TeeNet (Unix) и множество специализированных программ взлома, рассчитанных на применения против конкретных приложений.

Если АС предоставляет удаленный доступ к системе, например, на гостевом уровне, злоумышленник может предпринять попытку применения методов и средств, используемых при локальном доступе (например, скопировать файл паролей из небрежно настроенной системы).

Однако в некоторых случаях злоумышленникам вообще не приходится что-либо предпринимать, а просто воспользоваться “любезностью” легального пользователя, непредусмотрительно установившего какую-либо систему удаленного доступа с настроенным по умолчанию паролем (или даже вообще без пароля), например pcAnywhere, VNC

или Remotely Anywhere.

В последнее время особенно часто жертвами злоумышленников становятся Webсерверы и работающие под их управлением приложения. Опытному взломщику Webсерверов достаточно провести несколько минут за исследованием Web-сервера, администраторы которого имеют поверхностное представление о безопасности, чтобы, не прибегая к особым ухищрением, получить доступ на уровне пользователя (а нередко и на системном или административном уровне), пользуясь одним лишь стандартным Webклиентом.

Расширение полномочий

Если на предыдущем этапе злоумышленник получил несанкционированный доступ на гостевом или пользовательском уровне он, как правило, постарается расширить свои полномочия и получить, как минимум, административный уровень. Для этого в большинстве случаев применяются такие же средства взлома и подбора паролей, а также программы взлома, что и при доступе на локальном уровне.

Расширение полномочий позволяет злоумышленнику не только получить полный доступ к интересующей его АС, но и внести себя в список легальных администраторов, а также, возможно, сразу же получить административный доступ к другим АС организации.

Исследование системы и внедрение

Получив доступ на административном уровне, злоумышленник изучает все имеющиеся на взломанной АС файлы и, найдя интересующую его информацию, завершает несанкционированный сеанс связи либо, если такая информация отсутствует или целью проникновения было не получение информации, а само проникновение, приступает к изучению других доступных ему в качестве администратора взломанной АС систем.

При этом процесс повторяется, начиная с этапа идентификации ресурсов, и заканчивается внедрением в следующую АС организации и т.д., и т.п.

Сокрытие следов

230 Глава 13. Методы и средства несанкционированного получения...

Получение административного доступа также может понадобиться злоумышленнику в том случае, если ему по каким-то причинам нужно скрыть следы проникновения. Часто для облегчения своей задачи в будущем злоумышленники оставляют на подвергшихся взлому АС утилиты, маскируя их под системные файлы. Однако к таким приемам прибегают только в тех случаях, когда вероятность обнаружения взлома оценивается злоумышленником как очень высокая. В большинстве же случаев после первого успешного проникновения в АС злоумышленник создает на ней тайные каналы доступа.

Создание тайных каналов

К методам создания тайных каналов, с помощью которых злоумышленник может получать многократный доступ к интересующей его АС, относятся:

•создание собственных учетных записей;

•создание заданий, автоматически запускаемых системным планировщиком (cron в Unix, AT в Windows NT/2000/XP);

•модификация файлов автозапуска (autoexec.bat в Windows 98, папка Startup, системный реестр в Windows, файлы rc в Unix);

•внедрение программных закладок, обеспечивающих удаленное управление взломан-

ной АС (netcat, remote.exe, VNC, Back Orifice);

•внедрение программных закладок, перехватывающих нужную злоумышленнику информацию (регистраторы нажатия клавиш и т.п.)

•внедрение программных закладок, имитирующих работу полезных программ (например, окно входа в систему).

Блокирование

Иногда злоумышленники, не получив доступа к нужной им системе, прибегают к блокированию (DoS — Denial of Service). В результате подвергнувшаяся блокированию АС перестает отвечать на запросы легальных пользователей, т.е. возникает состояние “отказ в обслуживании”. Причем далеко не всегда состояние DoS АС является самоцелью злоумышленников. Часто оно инициируется для того, чтобы вынудить администратора перезагрузить систему. Однако нередко это нужно злоумышленнику, чтобы выдать свою систему за систему, намеренно переведенную им в состояние DoS. Наконец, в последнее время состояние DoS, от которого не застрахована ни одна современная АС, подключенная к Internet, используется в качестве средства кибертерроризма.