Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 11. CRACKER-TOOLS AM BEISPIEL
ein grobes Angriffsziel schon vorgegeben haben, sich dann aber aufgrund der Netzstruktur zum
Beispiel für einen bestimmten Host entscheiden wollen.
Allgemeine Informationen sammeln: Interessant sind hier z.B. Fragen über die Netzwerktopologie
des Systems. Wo sind Netzsegmente (physikalisch oder durch Switches), wo kann z.B. ein Netzwerksniffer
sinnvoll eingesetzt werden? Wo in dieser Topologie befinden sich Router, Gateways
und Firewalls?
Interessant kann aber auch sein, ob das Gebäude, in dem die Rechner stehen, öffentlich zugänglich
sind, und ob es Bereiche gibt, in denen Publikumsverkehr herrscht. Aufschlußreich ist
auch, wie die Systeme genutzt und administriert werden, um z.B. beurteilen zu können, ob ein
Ausfall eines Systems eher zur Tagesordnung gehört oder ein ungewöhnlicher Vorfall ist.
Die Gewohnheiten von Usern können zu den allgemeinen Informationen gehören, die hier gesammelt
werden.
Ob zwischen den Systemen eines Netzes bestimmte Grade von „Trust“ (Vertrauen) bestehen,
ist sehr interessant, da z.B. manche Sites von jedem Rechner im eigenen Netz aus den Shell-
Zugang per rlogin erlauben. Somit ließen sich ganze Sites übernehmen, zwischen deren Rechnern
ein solches Vertrauensverhältnis zu erkennen ist.
Diese allgemeinen Informationen haben zum einen den Wert, mögliche Angriffspunkte auszumachen,
aber auch Möglichkeiten zu finden, wie ein Angriff verborgen oder verdeckt werden
kann.
Zu den möglichen Methoden gehört neben dem schon angesprochenen „Portscanning“ und
dem Betrachten der Login-Meldungen verschiedener Dienste auch das sogenannte „Social-
Engineering“. Hierbei werden durch sozialen Kontakt zu Mitarbeitern der betreffenden Behörde/Firma
Informationen „ausgehorcht“ (z.B. per Email, oder im irc, denkbar ist aber auch etwa
ein fingierter Anruf eines Support-Technikers 19 oder eines potentiellen Kunden).
Informationen über einen bestimmten Host sammeln: Hat man einen Hostrechner oder Router als
Ziel ausgewählt, ist die Art der Hardware, das Betriebssystem, die User und vorhandene Ressourcen
interessant. Auch will der Cracker herausfinden, welche Dienste laufen, welche Version
einer bestimmten Serversoftware stellt den jeweiligen Dienst bereit und unter welchen Benutzerrechten
diese läuft.
Über einen Portscanner lassen sich die Serverdienste leicht herausfinden (siehe Abschnitt 11.5.1).
Wenn an irgendeinem Punkt eine Sicherheitslücke offenbar wird, kann es opportun sein, sich
Zugang zu dem System zu verschaffen, um sich erst einmal genauer umzusehen. Der Cracker
kann aber auch entscheiden, noch eine Weile zu lauern, um mit genaueren Informationen leichter
und unauffälliger eindringen zu können.
Shell-Zugang erlangen: Zugang zu einer Kommandoshell kann mit normalen Benutzerprivilegien,
aber auch mit erweiterten Privilegien erfolgen. Wenn ein Dienst gefunden wird, der eine Sicherheitslücke
aufweist (wie z.B. die Möglichkeit, einen „Buffer overrun“ auszuführen, wie in
Abschnitt 11.3.1 beschrieben), kommt es darauf an, wie sich dieser „Bug“ ausnutzen läßt, und
mit welchen Privilegien dieser Dienst läuft.
19 wie [Fyodor 1998] vorschlägt.
176 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen