Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

11.4. ALLGEMEINE CRACKERTAKTIK
Shell-Zugang läßt sich aber auch durch das Mithören des Verkehrs in einem Ethernet (sniffing),
wobei telnet- und ftp-Passworte aufgezeichnet werden, oder durch unvorsichtige Benutzer erlangen,
wenn diese leere oder triviale Passwörter verwenden.
Administrator-Privilegien erhalten: Gesetzt den Fall, es wurden im vorherigen Schritt nur ein oder
mehrere Shellzugänge von Benutzern erlangt, so können nun die im System vorhandenen Programme
z.B. auf Unix-Systemen auf das setuid-bit untersucht werden. Die Auswahl an lokalen
Programmen mit root-Privilegien dürfte noch zusätzliche Möglichkeiten aufzeigen, Sicherheitslöcher
auszunutzen, nachdem man bereits widerrechtlich in das System eingedrungen ist. Bei
Sicherheitslücken in setuid-Programmen handelt es sich oft ebenfalls um „Buffer-overflows“,
mit denen sich leicht eine „rootshell“ erzeugen läßt.
Spuren verwischen: Dies ist ein heikler Punkt. Auf einem System, auf dem intensiv protokolliert
wird, ist es kaum möglich, alle Spuren zu verwischen.
Wenn z.B. die Logdateien auf einem entfernten Host gehalten werden, ist ein Fälschen der
Logs entweder mit der Notwendigkeit eines Angriff auf den Loghost verbunden, was deutlich
schwieriger sein kann, als der bereits gelungene Angriff, da ein „Loghost“ speziell gesichert
sein sollte. Wenn die Logdateien z.B. ständig auf einem Zeilendrucker mit genügend Endlospapier
ausgedruckt werden, besteht keine Chance diese zu fälschen.
Das Fälschen von Logdateien, die im Klartext vorliegen, ist an sich trivial. Binäre Logdateien
(wie z.B. utmp) sind in der Regel sehr gut dokumentiert. Auch Prüfsummen des Systems, welche
mit dem Tool „Tripwire“ erstellt wurden, erweisen sich als nutzlos, wenn die Prüfsummen
oder das Tripwire Programm auf einem Medium liegen, auf das vom Cracker zugegriffen werden
kann. Das Medium läßt sich schreibbar mounten und die Prüfsummen fälschen, oder das
Programm kann durch einen Trojaner ausgetauscht werden, so daß es immer korrekte Prüfsummen
liefert 20 .
Mit einem so modifizierten „Tripwire“ Programm, können z.B. die im folgenden Absatz „Hintertüren
und Verstecke“ erwähnten Trojaner verborgen werden.
Ein oft angewandtes Mittel, um die eigenen Spuren (von vorneherein) nicht einfach aufspüren
zu lassen, besteht darin, sich auf einen bereits gestohlenen Benutzeraccount auf einem fremden
Systems einzuloggen, von dem aus man sich wieder auf einen anderen Account begibt. Dies
kann über mehrere Accounts hinweg geschehen, was zwar die Antwortzeiten für den Cracker
deutlich vergrößert, aber die Spuren undurchsichtiger werden läßt, da sie schwerer zurückzuverfolgen
sind.
Hintertüren und Verstecke: Die oben angesprochene Möglichkeit, z.B. das Programm Tripwire zu
verändern, um die eigenen Aktivitäten zu verbergen, läßt sich auch auf viel grundlegendere Teile
des Systems anwenden. Systemdienste lassen sich durch Versionen ersetzen, die Hintertüren
enthalten, so daß z.B. das login-Programm jeden hineinläßt, der ein bestimmtes Paßwort eingibt.
Programme, die Auskunft über den Zustand des Systems geben (wie z.B. top, ps oder who)
lassen sich durch Versionen austauschen, die die Aktivitäten des Crackers verbergen.
Eine einfache Hintertür besteht in einem Eintrag in /.rhosts oder /etc/hosts.equiv auf
Systemen, auf denen „rlogin“ Server verfügbar sind. Über einen einfachen Eintrag in diesen
20 Darum wird auch empfohlen, sowohl die Daten als auch das Programm „tripwire“ auf einem separaten Medium, z.B.
einer Diskette, einem Tape o.ä. zu halten.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 177